Warum Datenschutz eine Projektaufgabe ist
Projekte verändern, wie Daten verarbeitet werden: Ein neues CRM, eine App, eine Prozessdigitalisierung, ein KI-Assistent oder schon die Einführung eines neuen Kollaborationstools. Genau an diesen Stellen setzt die DSGVO an. Sie verlangt, dass Datenschutz bereits bei der Festlegung der Mittel für die Verarbeitung berücksichtigt wird, nicht erst im laufenden Betrieb.[1] Was in der Konzeption versäumt wird, lässt sich nach der Einführung meist nur mit hohem Aufwand korrigieren.
Für Projektleitende heißt das nicht, selbst Datenschutzexperte zu werden. Es heißt aber, die richtigen Fragen zur richtigen Zeit zu stellen und den Datenschutzbeauftragten früh einzubeziehen. Dieser Leitfaden ordnet die Pflichten der DSGVO den Phasen eines Projekts zu und zeigt, welche Dokumente am Ende vorliegen sollten. Ergänzend beschreibt Flenio in eigenen Leitfäden einzelne Themen vertieft, etwa Wann eine DSFA nötig ist und Privacy by Design.
Welche Grundsätze gelten?
Art. 5 DSGVO nennt die Grundsätze für jede Verarbeitung personenbezogener Daten: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit. Der Verantwortliche muss die Einhaltung nachweisen können (Rechenschaftspflicht).[1] Für Projekte sind diese Grundsätze die Prüffragen, die bei jeder Anforderung gestellt werden sollten: Wofür brauchen wir die Daten? Brauchen wir wirklich alle? Wie lange? Wer darf darauf zugreifen?
| Grundsatz | Prüffrage im Projekt |
|---|---|
| Rechtmäßigkeit und Transparenz | Auf welcher Rechtsgrundlage verarbeiten wir, und wie informieren wir die Betroffenen? |
| Zweckbindung | Für welchen Zweck werden die Daten erhoben, und bleibt es dabei? |
| Datenminimierung | Welche Daten sind wirklich nötig? |
| Richtigkeit | Wie halten wir die Daten aktuell? |
| Speicherbegrenzung | Wann werden die Daten gelöscht? |
| Integrität und Vertraulichkeit | Wie schützen wir die Daten vor unbefugtem Zugriff und Verlust? |
| Rechenschaftspflicht | Wie dokumentieren wir die Einhaltung? |
Datenschutz entlang der Projektphasen
In der Initialisierung wird geklärt, ob und welche personenbezogenen Daten das Projekt betrifft. Schon hier lässt sich abschätzen, ob eine Datenschutz-Folgenabschätzung nötig sein wird und ob Auftragsverarbeiter beteiligt sind. In der Konzeption werden die Anforderungen nach Art. 25 umgesetzt: Datenminimierung, Zugriffskonzepte, Löschfristen und datenschutzfreundliche Voreinstellungen. Bei der Auswahl von Lösungen und Dienstleistern werden Auftragsverarbeitungsverträge geprüft. In der Realisierung werden die technischen und organisatorischen Maßnahmen umgesetzt und getestet, möglichst ohne echte Personendaten in Testsystemen. Vor der Einführung werden das Verzeichnis ergänzt, Informationspflichten erfüllt und Prozesse für Betroffenenrechte und Datenschutzverletzungen etabliert.
| Phase | Aufgabe | Ergebnis |
|---|---|---|
| Initialisierung | Betroffenheit klären, Risiken grob einschätzen | Datenschutz-Erstbewertung |
| Konzeption | Privacy by Design, Rechtsgrundlagen, Löschkonzept | Datenschutzanforderungen im Lastenheft |
| Auswahl | Dienstleister und Tools prüfen | Auftragsverarbeitungsverträge |
| Realisierung | TOM umsetzen, Testdaten anonymisieren | Sicherheitskonzept, Testprotokolle |
| Einführung | Verzeichnis, Information der Betroffenen, Prozesse | Aktualisiertes Verzeichnis, Datenschutzhinweise |
| Betrieb | Übergabe an die Linie | Verantwortlichkeiten im Betrieb |
Datenschutz durch Technikgestaltung
Ein Beispiel aus der Praxis: Bei der Einführung eines neuen Projekttools ist die Voreinstellung entscheidend, ob alle Mitarbeitenden alle Projekte sehen oder nur die eigenen. Datenschutzfreundlich ist die zweite Variante, mit gezielter Freigabe. Ähnlich verhält es sich mit Kommentarfunktionen, Profilinformationen und Auswertungen über einzelne Personen.
Art. 25 DSGVO verpflichtet den Verantwortlichen, sowohl zum Zeitpunkt der Festlegung der Mittel als auch zum Zeitpunkt der Verarbeitung geeignete technische und organisatorische Maßnahmen zu treffen, um die Datenschutzgrundsätze wirksam umzusetzen. Außerdem müssen die Voreinstellungen so gewählt sein, dass grundsätzlich nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet werden.[1] In der Praxis heißt das: Datenschutzanforderungen gehören ins Lastenheft und in die Abnahmekriterien, genauso wie funktionale Anforderungen.
Typische Anforderungen sind Rollen- und Berechtigungskonzepte, Pseudonymisierung, Löschroutinen nach festgelegten Fristen, Protokollierung von Zugriffen und datensparsame Standardeinstellungen, etwa bei Sichtbarkeiten in einem Tool. Wer diese Anforderungen früh festlegt, vermeidet teure Umbauten vor dem Go-live.
Wann ist eine Datenschutz-Folgenabschätzung nötig?
Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, ist vorab eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35 DSGVO). Die Verordnung nennt als Beispiele die systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling, die umfangreiche Verarbeitung besonderer Kategorien von Daten und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.[1] Die Aufsichtsbehörden veröffentlichen zudem Listen von Verarbeitungen, für die eine DSFA stets erforderlich ist.
Für Projekte ist der Zeitpunkt entscheidend: Die DSFA muss vor Beginn der Verarbeitung abgeschlossen sein. Wer sie erst kurz vor dem Go-live beginnt, riskiert, dass festgestellte Risiken Anpassungen am System erfordern, für die keine Zeit mehr bleibt. Bewährt hat sich, die Schwellwertprüfung in der Initialisierung durchzuführen und die DSFA parallel zur Konzeption zu erstellen. Den Ablauf beschreibt der Leitfaden Wann eine DSFA nötig ist.
Dienstleister und Tools: Auftragsverarbeitung
Für Übermittlungen in die USA ist seit Juli 2023 das EU-US Data Privacy Framework maßgeblich, das das Gericht der EU am 3. September 2025 bestätigt hat.[2][3] Für Projekte heißt das: Tools von zertifizierten US-Anbietern sind nutzbar, eine Prüfung bleibt aber nötig. Wie Mitarbeitende im Projekt Zeiten erfassen, ohne Datenschutzgrundsätze zu verletzen, beschreibt das Kapitel Arbeitszeiterfassung.
Fast jedes Projekt nutzt externe Dienstleister oder SaaS-Werkzeuge, die personenbezogene Daten im Auftrag verarbeiten. Dafür verlangt Art. 28 DSGVO einen Vertrag, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Weisungsgebundenheit, Vertraulichkeit, Sicherheitsmaßnahmen, den Einsatz von Unterauftragsverarbeitern und die Rückgabe oder Löschung der Daten regelt.[1] Werden Daten in Länder außerhalb der EU übermittelt, gelten zusätzlich die Regeln der Art. 44 ff. DSGVO. Das Kapitel AVV bei SaaS-Tools zeigt, wie man Werkzeuge prüft.
Datenschutzverletzungen im Projekt
Auch in Projekten kommt es zu Datenschutzverletzungen: eine falsch versandte Datei, ein offenes Testsystem, ein verlorenes Notebook. Der Verantwortliche muss eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Art. 33 DSGVO). Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34).[1] Für Projektteams heißt das: Jeder muss wissen, wem ein Vorfall sofort zu melden ist, damit die Frist eingehalten werden kann.
Welche Dokumente am Projektende vorliegen sollten
| Dokument | Grundlage |
|---|---|
| Eintrag im Verzeichnis der Verarbeitungstätigkeiten | Art. 30 DSGVO |
| Datenschutz-Folgenabschätzung, falls erforderlich | Art. 35 DSGVO |
| Auftragsverarbeitungsverträge | Art. 28 DSGVO |
| Beschreibung der technischen und organisatorischen Maßnahmen | Art. 32 DSGVO |
| Datenschutzhinweise für Betroffene | Art. 13 und 14 DSGVO |
| Lösch- und Berechtigungskonzept | Art. 5, 25 und 32 DSGVO |
Diese Dokumente sind nicht Selbstzweck. Sie erfüllen die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und sind die Grundlage, wenn die Aufsichtsbehörde nachfragt oder Betroffene ihre Rechte geltend machen.
Was passiert bei Verstößen?
Wer frühzeitig mit Kunden spricht und Testrechnungen austauscht, erkennt Probleme, bevor sie Zahlungen verzögern. Gerade für Projektdienstleister mit wenigen großen Kunden ist das eine einfache Absicherung.
Hinzu kommt der praktische Aufwand: Wird eine Rechnung vom Kunden zurückgewiesen, weil sie nicht den Anforderungen entspricht, verzögert sich die Zahlung. In Projekten mit hohen Abschlagsrechnungen kann das die Liquidität spürbar belasten.
Die DSGVO sieht Geldbußen vor, die je nach Verstoß bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes erreichen können, je nachdem, welcher Betrag höher ist (Art. 83).[1] Daneben haben Betroffene einen Anspruch auf Schadenersatz (Art. 82). Für Projekte sind die praktischen Folgen oft gravierender als die Bußgelder: gestoppte Einführungen, Nacharbeiten an Systemen und Vertrauensverlust bei Kunden und Mitarbeitenden.
Rollen im Projekt
Diese Klärung gehört an den Anfang des Projekts.
Eine einfache Regel für die Abgrenzung: Wer über Zwecke und Mittel der Verarbeitung entscheidet, ist Verantwortlicher; wer nur nach Weisung verarbeitet, ist Auftragsverarbeiter.
Verantwortlich im Sinne der DSGVO ist das Unternehmen, nicht die Projektleitung persönlich. Im Projekt sollte aber klar sein, wer die Datenschutzthemen treibt. Bewährt hat sich, eine Person im Projektteam zu benennen, die Datenschutzanforderungen sammelt und mit dem Datenschutzbeauftragten abstimmt. Der Datenschutzbeauftragte berät und überwacht; er entscheidet nicht anstelle des Verantwortlichen. Bei Projekten mit externen Dienstleistern ist zudem zu klären, ob diese als Auftragsverarbeiter oder als eigene Verantwortliche handeln, weil davon die vertragliche Gestaltung abhängt.
Den Überblick über weitere Rechtsthemen bietet der Recht-Leitfaden Deutschland; für Projekte in der Schweiz mit dem revidierten DSG beschreibt Flenio die Anforderungen im Leitfaden revDSG im Projektmanagement.