Digitalisierung und Datenschutz: Fragen vor dem Start

Das Wichtigste in Kürze

• Erfassen Sie zuerst den Ablauf und den Zweck der Datenverarbeitung. Nicht jede Information, die sich abfragen lässt, ist für den Prozess erforderlich.
• Fragen Sie nur Daten ab, die für den konkreten Zweck benötigt werden. Zusätzliche Pflichtfelder schaffen Aufwand und können unnötige Datenschutzrisiken mit sich bringen.
• Legen Sie fest, wer Daten sehen, bearbeiten oder exportieren darf und wie lange sie benötigt werden.
• Prüfen Sie, welche Systeme und Dienstleister beteiligt sind, wo Daten verarbeitet werden und welche Schutzmaßnahmen vorgesehen sind.
• Datenschutz ist kein einmaliger Formularcheck. Änderungen am Prozess oder an den eingesetzten Werkzeugen können eine erneute Prüfung erforderlich machen.

Worum es geht

Bei der Digitalisierung werden Informationen häufig neu erfasst, zusammengeführt oder automatisiert weiterverarbeitet. Dadurch ändern sich nicht nur Abläufe, sondern oft auch die Zahl der Personen und Systeme, die auf Daten zugreifen können. Datenschutzfragen gehören deshalb zur Prozessplanung und sollten nicht erst auftauchen, wenn ein digitales Werkzeug bereits eingeführt ist.

Im Mittelpunkt steht eine einfache Frage: Welche Daten sind für den Zweck wirklich nötig? Ein Rückrufformular braucht meist einen Weg, die anfragende Person zu erreichen. Geburtsdatum und Privatanschrift sind dafür möglicherweise nicht erforderlich. Werden solche Felder trotzdem abgefragt, entsteht zusätzlicher Erklärungs-, Speicher- und Schutzaufwand.

Die passende Prüfung hängt vom konkreten Einsatz ab. Dieser Artikel bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Fragen zur DSGVO, zu besonderen Datenkategorien oder zu individuellen Pflichten sollten im Einzelfall mit fachkundiger Unterstützung geklärt werden.

Typische Ausgangslage

Stellen Sie sich einen mittelständischen Handwerksbetrieb vor, der Rückrufwünsche künftig über ein Online-Formular entgegennimmt. Das Formular fragt Name, Telefonnummer, Geburtsdatum und Privatanschrift ab. Im Betrieb weiß niemand genau, ob die Angaben automatisch in ein Ticketsystem übernommen oder zusätzlich per E-Mail an mehrere Mitarbeitende versendet werden.

Der Wunsch nach einem digitalen Ablauf ist nachvollziehbar: Anfragen sollen schneller an die richtige Person gelangen. Doch wenn für den Rückruf nur Name und Telefonnummer gebraucht werden, sind weitere Pflichtangaben nicht automatisch sinnvoll. Vor der Umsetzung sollte der Betrieb klären, welche Informationen benötigt werden, wer die Anfrage bearbeitet und wann sie nicht mehr gebraucht wird.

So gehen Sie vor

1. Den Ablauf und seinen Zweck beschreiben. Halten Sie fest, was vor der Digitalisierung passiert und welches Problem sich ändern soll. Geht es um einen Rückruf, eine Terminvereinbarung oder die Bearbeitung eines Auftrags? Ein klarer Zweck hilft, unnötige Datenfelder und Funktionen zu erkennen.

2. Benötigte Daten von möglichen Zusatzangaben trennen. Fragen Sie für jedes Feld: Was können wir ohne diese Angabe nicht erledigen? Wenn eine Information nur „vorsichtshalber“ erhoben wird, prüfen Sie, ob sie wirklich notwendig ist. Im Beispielszenario könnte die Telefonnummer für den Rückruf genügen; Geburtsdatum und Privatanschrift wären gesondert zu begründen.

3. Zugriffe und Weitergaben nachvollziehen. Notieren Sie, wer die Daten im Alltag sehen oder ändern muss. Prüfen Sie auch automatische Weiterleitungen, gemeinsame Postfächer, Exporte und Schnittstellen zu anderen Systemen. Ein Werkzeug sollte nicht mehr Zugriffe ermöglichen, als der Prozess benötigt.

4. Speicherung und Löschung mitdenken. Klären Sie, wo die Informationen abgelegt werden und wann sie für den Zweck nicht mehr gebraucht werden. Prüfen Sie, ob Daten in E-Mails, Downloads oder Sicherungen zusätzlich auftauchen. Konkrete Aufbewahrungs- und Löschregeln hängen vom jeweiligen Vorgang ab und sollten fachlich geprüft werden.

5. Werkzeuge und Dienstleister prüfen. Erstellen Sie einen Überblick über die Systeme, die Daten erfassen, übertragen oder speichern. Klären Sie mit den zuständigen Personen, welche Informationen Anbieter erhalten, welche Schutzmaßnahmen vorgesehen sind und welche vertraglichen oder rechtlichen Prüfungen erforderlich sind.

6. Mit einem begrenzten Pilot starten. Testen Sie den Ablauf zunächst mit einem überschaubaren Prozess und echten Verantwortlichkeiten. Legen Sie fest, wer Rückmeldungen prüft und wie Fehler korrigiert werden. So lassen sich unnötige Felder, unklare Zuständigkeiten oder unerwartete Datenflüsse vor einer breiteren Einführung eher erkennen.

Entscheidungskriterien und typische Fehler

Eine praktische Entscheidungshilfe ist, jedes Datenfeld und jede Automatisierung am Zweck zu messen. Wenn der Nutzen einer Angabe unklar ist, sollte sie nicht automatisch übernommen werden. Ebenso sollte eine Funktion nicht allein deshalb eingerichtet werden, weil sie im Werkzeug verfügbar ist.

Häufige Fehler sind:

• Bestehende Papierformulare unverändert digital zu übernehmen, obwohl einzelne Angaben historisch gewachsen oder nicht mehr nötig sind.
• Pflichtfelder einzurichten, ohne zu klären, ob der Prozess ohne diese Information tatsächlich nicht funktioniert.
• Zugriffe zu breit zu vergeben, etwa für ganze Teams statt für die Personen, die eine Anfrage bearbeiten.
• Daten gleichzeitig in Formular, E-Mail, Tabellen und Fachsystem zu speichern, ohne die zusätzlichen Ablagen zu berücksichtigen.
• Datenschutz als abschließende Freigabe zu behandeln, statt Zuständigkeiten und Prüfungen früh einzuplanen.

Bei der Auswahl eines Werkzeugs zählen neben der Bedienbarkeit auch die Datenflüsse, Rollen und Möglichkeiten zur Zugriffskontrolle. Wichtig ist außerdem, ob sich der vorgesehene Prozess verständlich dokumentieren und im Alltag betreiben lässt.

Grenzen und Risiken

Auch ein sorgfältig gestalteter Prozess schließt Fehler nicht aus. Mitarbeitende können Informationen versehentlich weiterleiten, Zugriffsrechte können unpassend eingerichtet sein oder ein Dienstleister kann Daten anders verarbeiten, als es intern angenommen wurde. Deshalb braucht es klare Zuständigkeiten und regelmäßige Aufmerksamkeit, nicht nur eine einmalige technische Einrichtung.

Besonders sorgfältig sollten Unternehmen vorgehen, wenn sensible Informationen, Beschäftigtendaten oder Daten vieler Personen betroffen sind oder wenn automatisierte Entscheidungen eine Rolle spielen. Welche Anforderungen gelten, ist vom konkreten Vorhaben abhängig. Die datenschutzrechtliche Bewertung sollte bei Bedarf durch qualifizierte Stellen erfolgen; technische Umsetzung allein klärt keine Rechtsfragen.

Ein weiterer Grenzpunkt: Datenminimierung bedeutet nicht, notwendige Informationen wegzulassen. Wenn Angaben für eine Leistung, eine sichere Identifikation oder eine andere legitime Prozessanforderung tatsächlich gebraucht werden, muss der Zweck nachvollziehbar sein. Entscheidend ist eine begründete Abwägung statt pauschaler Regeln.

Woran Sie den Nutzen erkennen

Der Nutzen zeigt sich nicht nur daran, dass ein Formular online verfügbar ist. Achten Sie darauf, ob Mitarbeitende klar wissen, welche Daten sie erfassen sollen, ob Anfragen an die zuständige Stelle gelangen und ob doppelte Ablagen abnehmen. Auch Rückfragen wegen fehlender oder überflüssiger Angaben können ein Hinweis darauf sein, dass der Ablauf verbessert werden sollte.

Legen Sie vor dem Pilot fest, woran Sie eine Verbesserung erkennen wollen. Das kann zum Beispiel sein, dass Anfragen vollständig beim zuständigen Team ankommen oder dass weniger Informationen manuell übertragen werden müssen. Beobachten Sie zugleich, ob neue Probleme entstehen, etwa zusätzliche E-Mail-Kopien oder unklare Zugriffsrechte. So beurteilen Sie Nutzen und Nebenwirkungen gemeinsam.

Häufige Fragen

Muss jedes Digitalisierungsprojekt datenschutzrechtlich geprüft werden?

Wie umfangreich eine Prüfung sein sollte, hängt vom Vorhaben und den verarbeiteten Daten ab. Bei personenbezogenen Daten sollten Zweck, Datenumfang, Zugriffe und beteiligte Systeme früh betrachtet werden. Ob weitere rechtliche Schritte nötig sind, muss im Einzelfall beurteilt werden.

Darf ein Online-Formular zusätzliche Angaben abfragen?

Das hängt davon ab, ob die Angaben für den beschriebenen Zweck erforderlich und rechtlich zulässig sind. Fragen Sie bei jedem Feld, wie es im Prozess genutzt wird. Angaben ohne klaren Zweck sollten Sie nicht vorsorglich zur Pflicht machen.

Wer sollte im Unternehmen beteiligt sein?

Mindestens die Person, die den Prozess fachlich verantwortet, und die zuständige Stelle für Datenschutz oder IT sollten früh einbezogen werden. Je nach Thema kommen weitere Verantwortliche hinzu, etwa für Personal, Kundenservice oder Informationssicherheit.

Was ist ein sinnvoller erster Schritt?

Nehmen Sie einen konkreten Ablauf, etwa ein Rückrufformular, und zeichnen Sie nach, welche Daten von der Eingabe bis zur Bearbeitung durchlaufen. Markieren Sie für jedes Feld den Zweck, die zugriffsberechtigten Personen und die Ablageorte. Unklare Punkte können Sie anschließend gezielt fachlich prüfen lassen.