ROPA & DSGVO-Dokumentation für KMU - Verzeichnis, Datenschutzerklärung & TOM richtig aufsetzen

Aufsichtsbehörden verlangen Nachweise. Kunden und Geschäftspartner auch. Die meisten deutschen KMU wissen, dass sie DSGVO-Dokumentation brauchen - die wenigsten haben sie in einem Zustand, der einer Kontrolle standhält. Diese Seite zeigt Schritt für Schritt, was Sie aufbauen müssen, und stellt geprüfte Vorlagen bereit.

Warum saubere DSGVO-Dokumentation für KMU entscheidend ist

Behörden und Kunden fragen zunehmend nach Nachweisen - nicht nach Absichten.

Die Datenschutz-Grundverordnung ist seit 2018 in Kraft. Die Aufsichtsbehörden der Bundesländer haben in den letzten Jahren zunehmend nicht nur auf Verstöße reagiert, sondern aktiv Dokumentationsnachweise eingefordert - auch bei KMU. Wer keine vollständige, aktuelle Dokumentation vorweisen kann, hat keine Verteidigung, auch wenn die eigentlichen Verarbeitungen korrekt sind.

Was droht konkret?

DSGVO-Bußgelder erreichen bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes - je nachdem, was höher ist. Die Geschäftsführung kann bei Aufsichtspflichtverletzungen zusätzlich persönlich haften (§130 OWiG, §43 GmbHG). Neben Bußgeldern drohen Reputationsschäden, und in der Praxis entstehen häufig Projektverzögerungen: Auftraggeber, Investoren und Technologiepartner fragen routinemäßig nach DSGVO-Dokumentation, bevor Verträge unterzeichnet werden.

Was bringt strukturierte Dokumentation?

Dokumentation schützt nicht nur vor Bußgeldern - sie schafft intern Klarheit darüber, welche Daten wo verarbeitet werden, wer dafür verantwortlich ist und welche Systeme welche Risiken tragen. Das ist keine Bürokratie. Das ist die Grundlage für sicheres Arbeiten mit Kundendaten und schafft Vertrauen der Kunden in Ihr Unternehmen.

ETHYX bringt Ordnung rein - mit Vorlagen statt Blankoseiten, und einem externen Datenschutzbeauftragten, der die Arbeit gegenliest.

Was ist das Verzeichnis der Verarbeitungstätigkeiten (ROPA)?

Ich habe von einem „Verarbeitungsverzeichnis“ gehört - was ist das genau?

Das Verzeichnis der Verarbeitungstätigkeiten (englisch: Record of Processing Activities, ROPA) ist das zentrale Dokument Ihrer DSGVO-Dokumentation. Es listet alle Prozesse in Ihrem Unternehmen auf, bei denen personenbezogene Daten verarbeitet werden - mit Angabe des Zwecks, der Datenkategorien, der Empfänger, der Speicherfristen und der technischen Schutzmaßnahmen. Artikel 30 DSGVO schreibt es für die meisten Unternehmen ab 250 Mitarbeitenden vor - aber faktisch brauchen auch kleinere Unternehmen ein ROPA, sobald sie regelmäßig personenbezogene Daten verarbeiten, was auf nahezu jeden KMU zutrifft.

Welche Prozesse gehören ins Verzeichnis - und welche nicht?

Alles, was mit personenbezogenen Daten zu tun hat: das Newsletter-System, das CRM, die Bewerberdatenbank in HR, das Support-Ticketsystem, die Website-Analyse. Auch externe Dienstleister, die Daten in Ihrem Auftrag verarbeiten - Cloud-Hoster, Zahlungsanbieter, KI-Tools - gehören dokumentiert.

Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter?

Als Verantwortlicher entscheiden Sie über Zweck und Mittel der Verarbeitung - das ist Ihr Unternehmen. Als Auftragsverarbeiter verarbeitet jemand Daten in Ihrem Auftrag - zum Beispiel ein E-Mail-Dienstleister oder ein Cloud-Anbieter. Für Auftragsverarbeiter brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) und ein eigenes ROPA-Kapitel für die Auftragsverarbeitung. Beide Perspektiven müssen dokumentiert sein. Gleichzeitig benötigt auch ein Auftragsverarbeiter ein eigenes ROPA (Art. 30 Abs. 2 DSGVO), nicht nur für seine eigenen Verarbeitungstätigkeiten, sondern auch für solche, die er im Auftrag durchführt.

Schritt-für-Schritt: ROPA für Ihr Unternehmen erstellen

Schritt 1 - Alle Prozesse sammeln

Fangen Sie nicht mit dem Template an - fangen Sie mit einer Liste an. Befragen Sie die Abteilungsverantwortlichen: Welche Tools nutzen Sie? Welche Verarbeitungszwecke werden verfolgt? Welche Kundendaten landen wo? Schauen Sie in die IT-Landschaft: Welche SaaS-Tools sind im Einsatz, auch inoffiziell? Shadow IT ist ein reales Problem - Datenschutzbeauftragte sprechen von „nicht genehmigten Tools“ in nahezu jedem KMU. Erst wenn Sie wissen, was tatsächlich läuft, können Sie es dokumentieren.

Schritt 2 - Pflichtfelder nach Art. 30 DSGVO ausfüllen

Für jeden Prozess tragen Sie ein:

• Zweck der Verarbeitung - warum werden die Daten verarbeitet? (z.B. „Versand von Marketingnewslettern“)
• Kategorien betroffener Personen - wessen Daten? (z.B. Kunden, Interessenten, Bewerber)
• Kategorien personenbezogener Daten - welche Daten? (z.B. Name, E-Mail, Kaufhistorie)
• Empfänger - wer bekommt die Daten? (z.B. E-Mail-Dienstleister, Auftragsverarbeiter)
• Drittlandtransfers - werden Daten in Länder außerhalb der EU übertragen?
• Speicherfristen - wie lange werden die Daten aufbewahrt?
• Technisch-organisatorische Maßnahmen (TOM) - wie sind die Daten geschützt?

Kein Feld auslassen. Fehlende Einträge sind bei einer Prüfung genauso problematisch wie fehlendes ROPA.

Schritt 3 - ROPA pflegen und aktualisieren

Ein ROPA, das einmal erstellt und nie wieder angefasst wird, ist oft nach sechs Monaten veraltet. Legen Sie von Anfang an fest: Wer ist verantwortlich für die Pflege? Wann findet der nächste Review statt? Was löst eine außerplanmäßige Aktualisierung aus - zum Beispiel die Einführung eines neuen Tools?

Datenschutzerklärung erstellen (Website, App, Kundenkommunikation)

Welche Informationen müssen in die Datenschutzerklärung?

Die Datenschutzerklärung informiert Betroffene darüber, wie ihr Unternehmen personenbezogene Daten verarbeitet. Artikel 13 und 14 DSGVO legen den Mindestinhalt fest - in verständlicher Sprache, nicht als Juristendeutsch-Block.

Pflichtinhalt:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden oder bestellt)
• Zwecke und Rechtsgrundlagen jeder Verarbeitung
• Empfänger und Auftragsverarbeiter
• Übermittlungen in Drittländer
• Speicherfristen
• Betroffenenrechte (Auskunft, Berichtigung, Löschung, Widerspruch)
• Recht auf Beschwerde bei der Aufsichtsbehörde

Häufige Fehler beim Erstellen einer Datenschutzerklärung

Die meisten Datenschutzerklärungen deutscher KMU haben eines oder mehrere dieser Probleme:

• Copy-Paste aus einem Generator: Generatoren erstellen Standardtexte. Wenn Ihr Unternehmen HubSpot, Intercom, OpenAI oder ein spezifisches CRM nutzt, muss das explizit drin stehen - ein Standardtext deckt das nicht ab.
• Fehlende Verarbeitungstätigkeiten: Die Erklärung erwähnt nur die Website, nicht das CRM, den Newsletter oder den Support-Chat.
• Keine Aktualisierung: Jedes neue Tool, jeder neue Dienstleister, jede neue Verarbeitung erfordert eine Anpassung.
• Rechtsgrundlage fehlt oder ist falsch: „Wir verarbeiten Ihre Daten auf Basis unseres berechtigten Interesses“ ist keine ausreichende Begründung, wenn in Wirklichkeit eine Einwilligung benötigt wird.

Wie halte ich die Datenschutzerklärung aktuell, wenn sich Tools ändern?

Bauen Sie einen einfachen Prozess auf: Wenn ein neues Tool oder eine neue Verarbeitungstätigkeit eingeführt wird, prüft eine definierte Person, ob es personenbezogene Daten verarbeitet. Wenn ja, wird die Datenschutzerklärung innerhalb von zwei Wochen aktualisiert. Kein aufwändiges Komitee - eine Person, ein Prozess, ein Datum.

Technisch-organisatorische Maßnahmen (TOM) - pragmatische Checkliste

Welche technischen Maßnahmen brauche ich?

TOM sind die konkreten Schutzmaßnahmen, mit denen Sie den Zugriff auf personenbezogene Daten absichern. Technische Maßnahmen umfassen:

• Verschlüsselung - Daten im Transit (TLS) und im Ruhezustand (AES-256 oder vergleichbar)
• Zugriffskontrolle - nur wer Zugriff braucht, bekommt ihn; Rollen und Rechte dokumentiert
• Backups - regelmäßige, getestete Sicherungen mit definierten Wiederherstellungszeiten
• Logging - Nachvollziehbarkeit, wer wann auf welche Daten zugegriffen hat
• Pseudonymisierung - wo möglich, Identifikatoren von Inhaltsdaten trennen

Welche organisatorischen Maßnahmen brauche ich?

• Rollen und Verantwortlichkeiten - wer ist für welche Verarbeitung zuständig?
• Schulungen - Mitarbeitende müssen wissen, wie sie mit personenbezogenen Daten umgehen
• Löschkonzept - was wird wann nach welchem Prozess gelöscht?
• Richtlinien - Bring-Your-Own-Device, Clean Desk, Passwortregeln
• Vorfallmanagement - was passiert, wenn eine Datenpanne auftritt? Wer wird wann informiert?

Wie gehören TOM ins ROPA und in Verträge?

Im ROPA verweisen Sie für jeden Prozess auf die relevanten TOM - entweder als direkten Eintrag oder als Verweis auf ein separates TOM-Dokument. In AVVs schreibt die DSGVO vor, dass die technischen und organisatorischen Maßnahmen des Auftragsverarbeiters beschrieben werden. Ohne TOM ist ein AVV unvollständig - und damit angreifbar.

ETHYX fungiert auch als TOM Dokumentation Tool: Alle technisch-organisatorischen Maßnahmen werden direkt im ROPA-Eintrag referenziert und auf Aktualität geprüft.

Auftragsverarbeitungsvertrag (AVV) & Auftragsverarbeitung richtig regeln

Wann brauche ich einen AVV?

Die Auftragsverarbeitung nach DSGVO (Art. 28) regelt, wie externe Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeiten dürfen. Immer dann, wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet - und das betrifft fast jedes Tool im modernen KMU. Typische Beispiele:

• Hoster und Cloud-Anbieter (AWS, Google Cloud, Hetzner)
• Newsletter und Marketing (Mailchimp, Brevo, HubSpot)
• CRM-Systeme (Salesforce, Pipedrive)
• Support-Tools (Zendesk, Intercom)
• KI-Tools (ChatGPT über API, Microsoft Copilot, Notion AI)
• HR-Software (Personio, Workday)

Wenn ein Dienstleister Daten verarbeitet und keinen AVV anbietet, ist das selbst ein Datenschutzverstoß.

Was muss ein AVV mindestens enthalten?

Ein rechtssicherer AVV enthält:

• Gegenstand, Dauer und Art der Verarbeitung
• Zweck der Verarbeitung
• Art der personenbezogenen Daten und Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen
• Technisch-organisatorische Maßnahmen des Auftragsverarbeiters
• Regelung zu Subunternehmern (Unterauftragsverarbeitern)
• Rückgabe oder Löschung der Daten nach Vertragsende
• Audit-Rechte des Verantwortlichen

Häufige Fehler in AVVs

• Fehlende oder unspezifische TOM: „Angemessene Maßnahmen“ ist keine ausreichende Beschreibung.
• Subunternehmer nicht geregelt: Viele SaaS-Anbieter nutzen weitere Dienstleister - das muss dokumentiert und genehmigt sein.
• Audit-Rechte nicht klar definiert: Wenn Sie im Streitfall nachweisen müssen, dass der Auftragsverarbeiter korrekt gehandelt hat, brauchen Sie das Recht auf Prüfung.
• Veraltete Versionen: Wenn sich die Verarbeitungen ändern, muss der AVV angepasst werden.

Datenschutz-Folgenabschätzung (DPIA/DSFA) - wann wird es ernst?

Wann ist eine DPIA zwingend erforderlich?

Eine Datenschutz-Folgenabschätzung (DPIA, auf Deutsch: DSFA) ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die Aufsichtsbehörden haben Listen solcher Verarbeitungen veröffentlicht - typische Pflichtfälle im KMU-Kontext:

• KI-gestütztes Scoring oder Profiling von Kunden oder Mitarbeitenden
• Biometrische Daten (Gesichtserkennung, Fingerabdruck)
• KI in HR-Entscheidungen (Bewerbervorauswahl, Leistungsbewertung)
• Tracking und Verhaltensanalyse auf breiter Basis
• Verarbeitung sensibler Datenkategorien (Gesundheit, politische Überzeugungen)

Wenn Sie KI-Tools im Einsatz haben und diese Entscheidungen über Personen treffen oder vorbereiten, ist eine DPIA sehr wahrscheinlich Pflicht - auch für KMU. → Wie dokumentiere ich KI-Verarbeitungen korrekt?

Wie spielen DPIA und ROPA zusammen?

Das ROPA ist der Ausgangspunkt: Für jeden Prozess, der ein hohes Risiko trägt, löst das ROPA die DPIA aus. Das ROPA-Feld „Risikoeinschätzung“ zeigt an, wo eine DPIA nötig ist. Die DPIA dokumentiert dann die Risiken im Detail, die Maßnahmen zur Risikoreduktion und - wenn ein hohes Restrisiko bleibt - die Konsultation der Aufsichtsbehörde.

DPIA in 6 Schritten

1. Identifizieren - Welche Verarbeitung löst die DPIA-Pflicht aus?

2. Beschreiben - Verarbeitungsprozess, beteiligte Systeme, Datenflüsse dokumentieren.

3. Risiken bewerten - Was kann schiefgehen? Für wen? Wie wahrscheinlich, wie schwerwiegend?

4. Maßnahmen festlegen - Welche TOM, vertraglichen oder organisatorischen Maßnahmen reduzieren das Risiko?

5. Freigabe einholen - Datenschutzbeauftragter prüft und zeichnet ab; bei verbleibendem Hochrisiko: Behörde konsultieren.

6. Review planen - DPIA ist kein Einmaldokument; bei Änderungen der Verarbeitung wiederholen.

So behalten Sie den Überblick: ROPA, Datenschutzerklärung, TOM & AVV verbinden

Wie hängen alle Dokumente zusammen?

Das ROPA ist die Master-Liste. Alles andere hängt daran:

• Die Datenschutzerklärung spiegelt die im ROPA dokumentierten Verarbeitungen nach außen - was im ROPA steht, muss in der Erklärung auftauchen.
• Die TOM sind für jeden ROPA-Eintrag referenziert und bilden die Schutzebene jedes Prozesses.
• Die AVVs decken jeden externen Auftragsverarbeiter ab, der im ROPA als Empfänger steht.
• Die DPIA wird für jeden ROPA-Prozess mit hohem Risiko ausgelöst.

Ein Prozess, der im ROPA fehlt, wird auch in der Datenschutzerklärung fehlen, hat keinen AVV und keine DPIA - und ist damit auf allen Ebenen nicht abgedeckt.

Wie bildet ETHYX das im Tool ab?

Die ETHYX-Plattform ist eine integrierte Software zur Verwaltung der Auftragsverarbeitung: Sie führt Sie durch ROPA-Anlage, TOM-Zuordnung und AVV-Tracking in einem integrierten Workflow. Wenn Sie einen neuen Prozess anlegen, prüft das System automatisch, ob ein AVV fehlt und ob eine DPIA-Pflicht besteht. Änderungen im ROPA lösen automatische Review-Aufgaben aus - so bleibt die Dokumentation aktuell, ohne manuelles Tracking.

Typische Fehler von KMU bei der DSGVO-Dokumentation

Welche Fehler sehen wir am häufigsten?

• ROPA einmalig erstellt, nie aktualisiert. Jede neue Software, jeder neue Dienstleister, jeder neue Prozess verändert die Datenlage. Ein veraltetes ROPA ist bei einer Prüfung wertlos.
• Nur die Website ist dokumentiert. CRM, HR-System, Support-Tool, Newsletter-Plattform - all das verarbeitet personenbezogene Daten und gehört ins ROPA.
• Kein Mapping zu tatsächlich genutzten Tools. Die Dokumentation nennt generische Kategorien, aber nicht die konkreten Systeme. Behörden fragen nach konkreten Tools.
• Keine definierten Verantwortlichen. Wer pflegt das ROPA? Wer genehmigt neue Verarbeitungen? Ohne klare Ownership passiert nichts.
• AVVs fehlen für Selbstverständlichkeiten. Cloud-Hoster, E-Mail-Dienste und KI-Tools sind Auftragsverarbeiter - ohne AVV ist jede Datenübermittlung an sie rechtswidrig.
• TOM sind zu allgemein. „Wir sichern unsere Systeme angemessen“ ist kein TOM. Konkrete Maßnahmen, konkrete Systeme.
• DPIA wurde nie geprüft. Wer KI im Einsatz hat und nie gefragt hat, ob eine DPIA nötig ist, hat ein offenes Risiko.
• Datenschutzerklärung stammt vom Generator und wurde nie angefasst. Wenn das Unternehmen seit der Erstellung drei neue Tools eingeführt hat, ist die Erklärung unvollständig.

Wie ETHYX Sie bei der Dokumentation unterstützt

Verarbeitungsverzeichnis Software: Vorlagen + geführte Workflows (ROPA, TOM, AVV, DPIA)

ETHYX ist eine ROPA-Software und ein Datenschutz-Dokumentationstool in einem: keine leeren Formulare, sondern geführte Workflows: Für jeden Dokumentationsschritt gibt es Erklärungen, Beispiele aus Marketing, HR und Support, und automatische Checks, die auf Lücken hinweisen. Das ROPA-Template ist auf die Pflichtfelder nach Art. 30 DSGVO ausgerichtet - inklusive Verweise auf TOM und AVV-Status für jeden Prozess.

Kostenlose DSGVO-Dokumentationspakete downloaden (Bundle: ROPA Excel · Datenschutzerklärung DOCX · TOM-Checkliste PDF · AVV-Muster DOCX · DPIA-Vorlage DOCX)

Review durch externen Datenschutzbeauftragten

ETHYX-Kunden erhalten Zugang zu einem zertifizierten externen Datenschutzbeauftragten, der die erstellte Dokumentation rechtlich prüft und freigibt. Das ist kein Beratungsgespräch mit vagen Empfehlungen - es ist eine konkrete Durchsicht mit schriftlichem Feedback.

AI Act Integration

Wer KI-Tools einsetzt - ChatGPT, Copilot, Notion AI oder andere - dokumentiert damit nicht nur DSGVO-Verarbeitungen, sondern auch Deployer-Pflichten nach dem EU AI Act, die bis 2027-2028 stufenweise greifen. ETHYX bildet beides in einem integrierten Workflow ab: ROPA-Eintrag für die KI-Verarbeitung, DPIA+FRIA wenn nötig, und Deployer-Dokumentation nach Art. 26 AI Act in einem Schritt.

30-Tage Aktionsplan für Ihr KMU

Wie kommt meine Dokumentation in einem Monat auf Stand?

Aufgeschobene Dokumentation lässt sich nicht in einem Tag aufholen. Ein strukturierter Monat legt das Dokumentations-Fundament - die erste Etappe des vollständigen 90-Tage-DSGVO-Plans.

Woche 1 - Ist-Analyse & ROPA-Grundgerüst

Tool-Liste erstellen: Welche Systeme sind im Einsatz? Welche davon verarbeiten personenbezogene Daten? Erste ROPA-Einträge für die wichtigsten Prozesse anlegen (Marketing, HR, Support).

Woche 2 - Datenschutzerklärung & TOM-Checkliste

Datenschutzerklärung auf Vollständigkeit prüfen: Sind alle Tools, alle Verarbeitungen, alle Rechtsgrundlagen drin? TOM für die dokumentierten Prozesse festhalten.

Woche 3 - AVVs prüfen und schließen

Für alle externen Dienstleister prüfen: Gibt es einen AVV? Ist er vollständig? Fehlende AVVs anfordern oder kündigen.

Woche 4 - DPIA-Prüfung, Lücken schließen, Verantwortlichkeiten festlegen

Für jeden ROPA-Prozess prüfen: Ist eine DPIA nötig? Offene Punkte aus Wochen 1-3 schließen. Festlegen, wer ROPA-Verantwortlicher ist und wann der erste Review stattfindet.

Quellen & weiterführende Links