Datenschutz in automatisierten Abläufen

Automatisierung macht Datenschutz nicht komplizierter – sie macht sichtbar, was ohnehin gilt. Der Unterschied liegt in der Menge und in der Geschwindigkeit: Ein Ablauf überträgt Daten in Sekunden in drei Systeme, und was dabei entsteht, bleibt oft an Stellen liegen, an die niemand denkt. Diese Lektion ordnet die Pflichten praxisnah und zeigt, wo in automatisierten Abläufen die typischen Lücken sitzen. Sie ersetzt keine Rechtsberatung, macht aber die richtigen Fragen sichtbar.

1. Die sechs Pflichten

Besonders unterschätzt wird die fünfte: Protokolle. Ein Ablauf, der jeden Vorgang mit Namen, Adresse und Anliegen mitschreibt, erzeugt eine Datensammlung, die weder im Verzeichnis steht noch eine Löschfrist hat. Sinnvoll ist eine Frist von 30 bis 90 Tagen für ausführliche Protokolle und eine dauerhafte, aber anonymisierte Aufbewahrung der Kennzahlen.

2. Auftragsverarbeitung und Verarbeitungsort

Für Automatisierungswerkzeuge heißt das drei Fragen vor der Auswahl: Gibt es einen solchen Vertrag? Wo werden die Daten verarbeitet, und wenn außerhalb der EU, auf welcher Grundlage? Werden Inhalte für das Training von Modellen verwendet, und lässt sich das abschalten? Bei der dritten Frage lohnt ein Blick in die Bedingungen statt in die Werbeaussage – die Antworten unterscheiden sich zwischen Tarifen desselben Anbieters.

3. Automatisierte Entscheidungen

Eine besondere Regel gilt für Entscheidungen, die ausschließlich automatisiert ergehen und rechtliche Wirkung entfalten oder Menschen erheblich beeinträchtigen – etwa eine automatische Ablehnung einer Bewerbung, einer Finanzierung oder eines Vertrags. Solche Entscheidungen sind nach Art. 22 DSGVO grundsätzlich unzulässig, mit engen Ausnahmen. Für die Praxis ist die Folge einfach: Ein Ablauf darf alles vorbereiten, sortieren und vorschlagen – die Entscheidung trifft ein Mensch, und zwar nachweisbar. Genau diese Trennung haben die Module 4 und 5 bereits technisch beschrieben; hier ist sie zusätzlich rechtlich geboten.

4. Aufräumen, bevor es jemand verlangt

Die unangenehmste Situation im Datenschutz ist eine Auskunftsanfrage bei unklarer Datenlage. Wer nicht sagen kann, wo überall Daten einer Person liegen, hat ein Problem – und automatisierte Abläufe vervielfachen die Orte: Fachsystem, Werkzeug, Protokoll, Prüfliste, Sicherung, vielleicht ein Zwischenspeicher. Legen Sie deshalb je Ablauf fest, welche Speicher entstehen und wie lange sie bestehen. Diese Liste beantwortet Auskunftsanfragen in Minuten statt in Tagen – und sie deckt regelmäßig Speicher auf, die niemand beabsichtigt hatte.

5. Ein Beispiel

Ein Onlinehändler ließ Retourengründe automatisch auswerten. Die Auswertung selbst war unproblematisch, der Ablauf aber speicherte zu jedem Vorgang den vollständigen Freitext samt Kundennamen dauerhaft in einer Tabelle – als Nebenprodukt, das niemand geplant hatte. Bei einer Auskunftsanfrage fiel es auf. Die Korrektur bestand aus drei Schritten: Der Ablauf überträgt nur noch Kategorie und Bestellnummer, der Freitext bleibt im Shop, und die alte Tabelle wurde nach Prüfung gelöscht. Aufwand: zwei Stunden. Der Vorgang steht heute im Verzeichnis, und die Löschfrist läuft automatisch.

6. Häufige Fragen

Brauchen wir für jeden Ablauf eine Datenschutz-Folgenabschätzung? Nein, nur bei voraussichtlich hohem Risiko – etwa bei umfangreicher Verarbeitung besonderer Kategorien oder systematischer Überwachung. Für die üblichen Abläufe im Mittelstand genügen Verzeichnis und Verträge. Im Zweifel hilft die Liste der Aufsichtsbehörden, die Fälle mit Pflicht zur Folgenabschätzung benennt.

Was ist mit KI-Modellen und personenbezogenen Daten? Dieselben Regeln wie bei jedem Dienstleister, plus die Frage nach dem Training. Wo besondere Kategorien im Spiel sind, ist eine Verarbeitung in kontrollierter Umgebung der sicherste Weg – und die Entscheidung gehört dokumentiert.

Wer ist im Betrieb zuständig? Verantwortlich ist das Unternehmen, praktisch die Geschäftsführung. Gibt es eine Datenschutzbeauftragung, gehört sie früh eingebunden – nicht erst, wenn der Ablauf läuft.

7. Übung zum Selbermachen

Nehmen Sie Ihren wichtigsten Ablauf und listen Sie jeden Ort auf, an dem dabei personenbezogene Daten entstehen oder liegen bleiben – einschließlich Protokoll, Prüfliste und Sicherungen. Tragen Sie je Ort eine Löschfrist ein. Prüfen Sie zum Schluss, ob dieser Ablauf im Verzeichnis der Verarbeitungstätigkeiten steht. Erfahrungsgemäß fehlen dort die meisten automatisierten Abläufe – und genau danach wird bei einer Prüfung zuerst gefragt.

Vertiefung im Kurs Datenschutz nach DSGVO. Dieser Kurs betrachtet die Pflichten aus Sicht automatisierter Abläufe.

Stand: September 2026. Kursmaterial der Klarwerk Akademie. Preise und Funktionsumfang der genannten Werkzeuge ändern sich laufend – maßgeblich sind die Angaben der Anbieter.