Die Nachweispflichten — und warum sie zur Verwaltung passen

Für öffentliche Stellen gelten dieselben Nachweispflichten wie für alle anderen. Eine davon passt besonders gut zur Verwaltung: Das Verzeichnis nach Art. 30 ist nach Zuständigkeit gegliedert — wie Ihre Arbeit.

Warum das wichtig ist

Art. 24 verlangt geeignete Maßnahmen, um sicherzustellen und den Nachweis dafür erbringen zu können. Zwei Pflichten, und die zweite wird häufiger übersehen.

Art. 30 benutzt dasselbe Wort wie § 3 BDSG: Zuständigkeit. Und das passt zur Verwaltung besser als zu jedem Unternehmen, denn Ihre Arbeit ist in Verfahren gegliedert. Je Verfahren ein Eintrag — und die Unterlagen dafür gibt es oft schon.

Bei der Folgenabschätzung nach Art. 35 trägt ein einziges Wort: vorab. Für Sie heißt das: Die Frage gehört in die Vorbereitung eines Verfahrens, nicht in die Einführung. Sie ist am billigsten, wenn noch nichts beschafft ist.

Art. 32 verlangt ein dem Risiko angemessenes Schutzniveau. In der Verwaltung heißt das vor allem drei Dinge: Rechte, Räume, Papier. Und Art. 33 verpflichtet zur Meldung einer Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden. Ihr Teil ist nicht die Meldung — Ihr Teil ist, nicht zu zögern, denn die Frist beginnt mit der Kenntnis der Stelle.

Was das Gesetz sagt

Art. 24 Abs. 1 S. 1 DSGVO

„Der Verantwortliche setzt … geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt."

Art. 30 Abs. 1 S. 1 DSGVO

„Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen."

Art. 35 Abs. 1 S. 1 DSGVO

„Hat eine Form der Verarbeitung … voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch."

Art. 32 Abs. 1 DSGVO

„geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten"

So macht man es richtig

1. Das Verzeichnis nach Verfahren gliedern — eine Zeile je Verfahren, nicht je Programm.
2. Vorhandene Verfahrensunterlagen benutzen, statt neu zu beginnen.
3. Die Frage nach der Folgenabschätzung in die Vorbereitung legen, nicht in die Einführung.
4. Bei der Sicherheit zuerst an Rechte, Räume und Papier denken.
5. Bei einem Vorfall sofort melden — die Frist beginnt mit der Kenntnis der Stelle.

Stand: 26.10.2026