Umfrage: 80 Prozent der Unternehmen verstoßen gegen DSGVO.
Sechs von zehn Unternehmen in Deutschland arbeiten mit veralteten Fassungen eines für die DSGVO wesentlichen Dokuments. Gemeint ist das sogenannte Verzeichnis von Verarbeitungstätigkeiten (VVT), das gesetzlich vorgeschrieben ist und dokumentieren soll, wie mit personenbezogenen Daten umgegangen wird.
Zusammenfassung (TL; DR):
- Laut einer Umfrage von Dury Consult verstoßen rund 80 Prozent der deutschen Großunternehmen gegen die DSGVO, da sie entweder kein Verzeichnis von Verarbeitungstätigkeiten (VVT) führen oder dieses veraltet ist.
- Dies stellt ein erhebliches Organisationsverschulden der Geschäftsführung dar, das zu hohen Bußgeldern, persönlichen Konsequenzen und Problemen bei Auskunftsansprüchen führen kann.
- Hauptursache für die Mängel ist, dass Datenschutzbeauftragte bei der Einführung neuer Software, KI-Systeme oder Personalprojekte in den meisten Fällen nicht rechtzeitig mitwirkt.
Viele Unternehmen führen kein VVT – trotz DSGVO
Jedes fünfte Unternehmen gibt sogar an, kein VVT zu führen, ein direkter Verstoß gegen die Datenschutzgrundverordnung. Dies geht aus einer Umfrage von Dury Consult hervor. Befragt wurden 500 Verantwortliche für den Datenschutz in Unternehmen mit mehr als 500 Mitarbeitern.
Auf dem aktuellen Stand beim VVT sind gerade mal 21 Prozent der Betriebe. Sie haben innerhalb der letzten drei Monate das wichtigste Datenschutzdokument im Unternehmen gepflegt. Weitere rund 20 Prozent der VVT-Änderungen sind älter, teilweise liegen sie sogar mehr als ein Jahr zurück. 39 Prozent der Datenschützer können dagegen nicht genau sagen, wann sie das VVT überhaupt zuletzt aktualisiert haben. Dadurch entstehen immense Risiken für die Unternehmen. Gegenüber Aufsichtsbehörden müssen sie nachweisen können, bei welchen Abläufen sie personenbezogene Daten verarbeiten und wie diese dabei geschützt werden.
VVT für gesetzliche Rechenschaftspflicht
“Mit dem VVT legen Unternehmen ihre gesetzliche Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ab”, erläutert Sandra Dury, Inhaberin von Dury Consult. “Auf EU-Ebene werden derzeit zwar Erleichterungen für kleinere Betriebe diskutiert, für viele bleibt das VVT aber eine harte und unumstößliche Pflicht.”
Ein fehlendes oder veraltetes VVT zählt nicht als bloßer Formfehler, sondern als ein klassisches Organisationsverschulden der Geschäftsführung. Kann das Top-Management im Ernstfall keine angemessene Organisationsstruktur nachweisen, drohen neben hohen Bußgeldern für das eigene Unternehmen womöglich auch persönliche Konsequenzen. “Ohne ein aktuelles VVT müssen sich Geschäftsführer vorwerfen lassen, personenbezogene Daten gar nicht wirksam schützen zu können, weil sie gar nicht wissen wo sie überall verarbeitet werden”, so Dury. “Die Unternehmen riskieren dabei, dass sie bei Audits durchfallen oder bei einem Datenschutzvorfall nicht belegen können, dass sie wirksame Vorkehrungen getroffen haben, um dies zu vermeiden.”
Datenschützer schlecht informiert
Häufig erfahren die Datenschützer auch zu spät oder gar nicht davon, wenn sich etwas am Umgang mit personenbezogenen Daten ändert. Besonders bedenklich: Selbst bei HR- und Personalprojekten bleiben fast 86 Prozent der Datenschützer außen vor. Geht es um neue Software, wie CRM, Cloud oder KI, verzichten 79 Prozent auf den Rat ihrer Datenschützer. Bei der IT-Sicherheit, die Zugriffe und Verschlüsselungen regelt, arbeiten drei Viertel ohne die für den Datenschutz zuständigen Kolleginnen und Kollegen einzubinden. Bei Kundenprojekten sieht es noch am besten aus, doch auch dort werden die Datenschützer in knapp drei von vier Fällen übergangen. Das Problem: Art. 38 DSGVO schreibt genau das Gegenteil vor, Datenschutzbeauftragte frühzeitig einzubinden.
Erschwerend kommt hinzu, dass sich Auskunftsansprüche nach Art. 15 DSGVO kaum erfüllen lassen, wenn das Unternehmen mit einem mangelhaften oder sogar ohne VVT arbeitet. Dadurch entstehen auch operative und kostenintensive Risiken, weil solche Anfragen kostenfrei und unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags beantwortet werden müssen. Sind die Angaben fehlerhaft oder lassen sie sich nicht rechtzeitig beschaffen, drohen Aufsichtsverfahren, Bußgelder und zunehmend teure Schadensersatzklagen. Allerdings begründet eine bloße Fristüberschreitung allein laut Rechtsprechung keinen automatischen Anspruch auf Schadenersatz.
Bußgelder können bei DSGVO gravierend sein
“Viele Unternehmen sehen im Datenschutz vor allem Kosten, die ihnen niemand erstattet”, erklärt Dury. “Dabei ist er ein entscheidendes Instrument, um Unternehmen vor kostspieligen Auseinandersetzungen zu bewahren.”
Neben möglichen Bußgeldern oder Schadenersatz können dies auch Reputationsschäden sein, die sich schwer wieder gutmachen lassen. In der Gesundheitswirtschaft beispielsweise steht sowohl für die Unternehmen als auch die Patienten viel auf dem Spiel, wenn personenbezogene Daten nur unzureichend geschützt werden. Darum sollten Unternehmen penibel darauf achten, Datenschutz als echten Vertrauensanker in ihre Geschäftsprozesse zu integrieren. Dazu gehört ein gepflegtes und aktuelles VVT als belastbares Fundament.
Über die Umfrage: Dury Consult hat 500 Verantwortliche für den Datenschutz in Unternehmen in Deutschland mit mehr als 500 Mitarbeitern befragen lassen. Die Umfrage wurde im April und Mai 2026 von Civey Deutschland durchgeführt.
