.svg)
Das Wichtigste in Kürze
- Data Discovery ist die systematische Ermittlung, wo in einem Unternehmen personenbezogene Daten liegen, wie sie dorthin gelangt sind und wer darauf zugreift. Sie ist keine eigene DSGVO-Pflicht, sondern die Voraussetzung für mindestens fünf davon.
- Ohne aktuelle Bestandsaufnahme sind Art. 30 (Verzeichnis), Art. 15 (Auskunft), Art. 17 (Löschung), Art. 33 (Meldung binnen 72 Stunden) und Art. 32 (Sicherheit) nicht belastbar erfüllbar.
- Der blinde Fleck liegt fast nie in der Datenbank, sondern in den Systemen, die ohne Beteiligung der Compliance-Funktion eingeführt wurden: das Marketing-Tool mit Testzugang, der KI-Assistent auf Teamrechnung, die Tabelle im geteilten Laufwerk.
- Eine Bestandsaufnahme, die einmal jährlich stattfindet, ist im Ernstfall zwischen null und zwölf Monaten alt, im Mittel sechs. Bei einer Meldung nach Art. 33 haben Sie 72 Stunden, um zu sagen, welche Datenkategorien betroffen sind.
- Die Ausnahme von der Verzeichnispflicht nach Art. 30 Abs. 5 gilt weiterhin nur unterhalb von 250 Beschäftigten und greift ohnehin nicht, wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien beziehungsweise Daten über strafrechtliche Verurteilungen betrifft. Die geplante Ausweitung auf 750 Beschäftigte (Omnibus IV) ist bis August 2026 nicht beschlossen.
Was ist Data Discovery, und warum verlangt die DSGVO sie?
Data Discovery ist der Prozess, personenbezogene Daten in allen Systemen eines Unternehmens aufzufinden, zu klassifizieren und ihren Weg nachzuvollziehen. Das Ergebnis ist keine Liste von Systemen, sondern eine Antwort auf drei Fragen: Welche personenbezogenen Daten verarbeiten wir, wo liegen sie und wer hat Zugriff darauf.
Die DSGVO verwendet den Begriff nicht, setzt das Ergebnis aber voraus. Art. 5 Abs. 2 verpflichtet Sie zur Rechenschaft, also zum Nachweis, dass Sie die Grundsätze der Verordnung einhalten. Diesen Nachweis können Sie für eine Verarbeitung, von der Sie nichts wissen, nicht führen. Der Leitfaden zur DSGVO ordnet ein, wo diese Nachweispflicht neben den übrigen Pflichten der Verordnung steht.
Deshalb ist Data Discovery in der Praxis kein Datenschutzprojekt, sondern ein Inventurproblem. Wie jede Inventur bildet sie nur den Stand des Erhebungstags ab.
Welche DSGVO-Pflichten ohne Data Discovery nicht erfüllbar sind
Fünf Pflichten scheitern unmittelbar an einer unvollständigen Bestandsaufnahme. Der Grund ist nicht, dass das Gesetz eine Bestandsaufnahme verlangt, sondern dass die geforderte Angabe ohne sie nicht entsteht.
Die Verbindung zwischen Art. 30 und Art. 15 wird dabei regelmäßig unterschätzt. Seit dem Urteil des Europäischen Gerichtshofs vom 12. Januar 2023 (C-154/21) müssen Sie auf ein Auskunftsersuchen hin die konkreten Empfänger der Daten benennen, nicht nur deren Kategorien. Diese Liste kommt aus dem Verzeichnis, und das Verzeichnis kommt aus der Bestandsaufnahme. Welche Fristen dabei laufen und wie weit die Auskunft reicht, behandeln wir im Beitrag zum Auskunftsersuchen nach Art. 15 DSGVO.
Wo personenbezogene Daten tatsächlich liegen
Die Bestandsaufnahme scheitert selten an den Systemen, an die man denkt. CRM, Personalsystem und Buchhaltung stehen in jedem Verzeichnis. Übersehen werden die Ablagen, die nebenbei entstanden sind.
Die Kategorie mit dem schnellsten Wachstum ist die letzte. Ein Transkriptionsdienst, der Kundengespräche mitschreibt, verarbeitet personenbezogene Daten beider Gesprächsseiten und braucht einen Vertrag nach Art. 28. Eingeführt wird er meistens von der Person, die das Meeting protokollieren muss, nicht von der Compliance-Funktion. Wie sich solche nicht freigegebenen Systeme systematisch auffinden lassen, beschreiben wir unter Shadow IT und Data Discovery.
Ein Zahlenbeispiel zur Größenordnung, illustrativ gerechnet für ein B2B-SaaS-Unternehmen mit 60 Beschäftigten: In der IT-Freigabe stehen 14 Systeme. Die erste vollständige Bestandsaufnahme findet 23. Die neun zusätzlichen sind kein Regelverstoß, sondern das normale Ergebnis von drei Jahren Wachstum, in denen Teams Werkzeuge beschafft haben, die für sich genommen unauffällig waren. Von diesen neun brauchen sechs einen Auftragsverarbeitungsvertrag, und drei verarbeiten Daten außerhalb der EU.
Der Data-Discovery-Prozess in fünf Schritten
Schritt 3 ist der, an dem rein technische Werkzeuge aufhören. Ein Scanner findet ein Feld mit einer Telefonnummer. Ob dieses Feld zur Verarbeitungstätigkeit "Bestellabwicklung" gehört und auf Art. 6 Abs. 1 lit. b gestützt ist oder zur Direktwerbung nach lit. f mit vorheriger Interessenabwägung, kann er nicht entscheiden. Diese Zuordnung ist eine fachliche Bewertung und bleibt es.
Die drei Fehler, die eine Bestandsaufnahme wertlos machen
Erstens: sie einmalig durchzuführen. Wenn eine Aufsichtsbehörde das Verzeichnis anfordert oder ein Vorfall gemeldet werden muss, zählt der Stand von heute, nicht der der letzten Erhebung. Der Unterschied zwischen einer Bestandsaufnahme und einem gepflegten Verzeichnis ist nicht die Gründlichkeit, sondern die Frequenz.
Zweitens: nur strukturierte Daten zu betrachten. Datenbanken lassen sich scannen, Postfächer und geteilte Laufwerke nicht mit demselben Aufwand. Genau dort liegt aber der Teil, der bei einem Auskunftsersuchen die meiste Arbeit macht, weil er Daten Dritter enthält, die geschwärzt werden müssen.
Drittens: die Bestandsaufnahme für die Bewertung zu halten. Ein Werkzeug findet Systeme. Es entscheidet nicht, welche Verarbeitungen daraus folgen, welche Rechtsgrundlage trägt, welche Aufbewahrungsfrist gilt und ob eine Datenschutz-Folgenabschätzung nach Art. 35 nötig ist. Ein exportierter Werkzeugbericht ist eine Systemliste, kein Verzeichnis.
Ein vierter Punkt gehört dazu, auch wenn er kein Fehler im engeren Sinn ist: Die Bestandsaufnahme deckt regelmäßig Verarbeitungen auf, für die keine Rechtsgrundlage besteht. Das ist unangenehm und trotzdem der Zweck der Übung. Eine Verarbeitung, die Sie nicht kennen, können Sie weder rechtfertigen noch beenden.
Wie Kertos Data Discovery umsetzt
Kertos verbindet die technische Erkennung mit der fachlichen Bewertung, weil die Trennung der beiden genau der Punkt ist, an dem Bestandsaufnahmen liegen bleiben. Die Erkennung findet die tatsächlich genutzten Systeme, auch die ohne Freigabe, und ordnet ihnen die verarbeiteten Datenkategorien zu; die Seite zu Shadow IT und Data Discovery zeigt, wie das funktioniert.
Aus demselben Datenbestand entstehen anschließend das Verzeichnis von Verarbeitungstätigkeiten, die technischen und organisatorischen Maßnahmen und die Auftragsverarbeitungsverträge, statt in drei getrennten Dateien geführt zu werden. Änderungen werden aus den angebundenen Systemen abgeleitet, sodass der Stand nicht zwischen zwei Jahresabfragen altert. Wie die drei Dokumente zusammenlaufen, steht auf der Seite zu VVT, TOM und DSFA.
Die fachliche Zuordnung übernehmen zertifizierte Experten, auf Wunsch als externer Datenschutzbeauftragter. Wenn Sie wissen möchten, wie viele Systeme eine Bestandsaufnahme in Ihrem Setup findet, buchen Sie ein Gespräch.
Häufig gestellte Fragen
Was ist Data Discovery im Datenschutz?
Data Discovery ist die systematische Ermittlung, in welchen Systemen eines Unternehmens personenbezogene Daten verarbeitet werden, welche Kategorien das sind und wer darauf zugreift. Sie ist die Grundlage für das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO und damit für den Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2.
Ist Data Discovery nach der DSGVO verpflichtend?
Die DSGVO verlangt Data Discovery nicht ausdrücklich. Sie verlangt aber Ergebnisse, die ohne sie nicht entstehen: ein vollständiges Verzeichnis nach Art. 30, eine Kopie der Daten nebst Empfängerliste nach Art. 15, eine wirksame Löschung nach Art. 17 und die Angabe der betroffenen Datenkategorien binnen 72 Stunden nach Art. 33.
Wie oft sollte eine Bestandsaufnahme wiederholt werden?
Fortlaufend statt periodisch. Eine jährliche Abfrage liefert im Ernstfall einen Stand, der im Mittel sechs Monate alt ist. Sinnvoller ist es, Änderungen aus den angebundenen Systemen abzuleiten und die Bestandsaufnahme zusätzlich bei jedem neuen Tool, jedem neuen Dienstleister und größeren organisatorischen Änderungen anzustoßen.
Was ist der Unterschied zwischen Data Discovery und Shadow IT?
Shadow IT bezeichnet Systeme, die ohne Freigabe der IT- oder Compliance-Funktion genutzt werden. Data Discovery ist der übergeordnete Prozess, personenbezogene Daten aufzufinden, unabhängig davon, ob das System freigegeben ist oder nicht. Shadow IT ist also ein Teilergebnis der Data Discovery und meistens ihr unangenehmster.
Reicht ein automatisches Werkzeug für die DSGVO-Dokumentation aus?
Nein. Ein Werkzeug findet Systeme und Datenfelder. Die Zuordnung zu einer Verarbeitungstätigkeit, die Wahl der Rechtsgrundlage nach Art. 6 Abs. 1, die Aufbewahrungsfrist und die Frage, ob eine Datenschutz-Folgenabschätzung nach Art. 35 erforderlich ist, sind fachliche Bewertungen. Die Automatisierung verkürzt die Bestandsaufnahme, sie ersetzt die Beurteilung nicht.
