Die DSGVO ist seit Jahren in Kraft. Trotzdem kämpfen viele deutsche Unternehmen noch immer nicht mit den Grundsätzen, sondern mit der praktischen Umsetzung. Das Problem ist meist nicht, dass niemand je von Datenschutz gehört hätte. Das Problem ist, dass Datenschutz in vielen Firmen noch immer als Pflichtordner verstanden wird, nicht als funktionierendes System.
Genau dort beginnt das eigentliche Risiko: bei Prozessen, die im Alltag nicht sauber aufgesetzt sind, bei Verantwortlichkeiten, die niemand wirklich trägt, und bei Daten, die man einfach behält, weil „man sie vielleicht irgendwann noch braucht“.
1. Datenschutz ist oft dokumentiert, aber nicht organisiert
Viele Unternehmen haben heute Datenschutzerklärungen, Vorlagen und Checklisten. Was fehlt, ist die operative Steuerung. Das zeigt sich auch in der Wahrnehmung der Unternehmen selbst: Laut Bitkom berichten 97 Prozent der befragten Unternehmen von hohem Datenschutzaufwand, und für 69 Prozent hat sich dieser Aufwand im vergangenen Jahr weiter erhöht. Gleichzeitig haben 70 Prozent schon einmal Innovationsprojekte wegen Datenschutzvorgaben oder Unsicherheiten bei der Rechtsanwendung gestoppt. Das spricht nicht nur für Regulierung, sondern auch für Überforderung und fehlende Umsetzungsroutine.
Der eigentliche Engpass liegt dabei oft nicht im Willen, sondern in der Struktur. Sobald Datenschutz nicht als laufender Managementprozess aufgesetzt ist, sondern als Einzelmaßnahme, stauen sich die Probleme automatisch: Verzeichnisse sind veraltet, Löschfristen unklar, Betroffenenanfragen landen irgendwo zwischen Fachabteilung und Outlook-Ordner, und am Ende hofft man, dass sich schon niemand beschwert. Genau dieses Muster beschreiben auch Aufsichtsbehörden immer wieder als Ausdruck schlechten Datenmanagements.
2. Cookie-Banner und Tracking sind weiter ein Dauerbrenner
Auf Webseiten scheitert DSGVO-Konformität häufig an etwas, das eigentlich längst Standard sein müsste: einer echten, verständlichen und freiwilligen Einwilligung. Der Bundesbeauftragte für den Datenschutz macht klar, dass Informationen vor der Einwilligung zugänglich und verständlich sein müssen. Außerdem muss die Ablehnung einer Verarbeitung genauso einfach sein wie die Zustimmung. Ein Banner mit nur einem „Zustimmen“-Button reicht gerade nicht. Der BfDI empfiehlt ausdrücklich, auf der ersten Ebene auch „Alles ablehnen“ bereitzustellen.
Das ist für viele Firmen deshalb heikel, weil Marketing, Analyse und Tracking oft historisch gewachsen sind. Da wurde ein CMP eingebaut, irgendein Script nachgeladen, ein Pixel ergänzt, dann noch ein Tool fürs Retargeting drübergeklebt, und am Ende weiß keiner mehr sauber, was wirklich auf welcher Rechtsgrundlage läuft. Genau da kippt Datenschutz von „haben wir doch“ zu „haben wir irgendwie“. Und „irgendwie“ ist bekanntlich kein Rechtsbegriff.
3. Es werden noch immer zu viele Daten erhoben und zu lange gespeichert
Ein besonders typischer Fehler ist die schlichte Übererhebung von Daten. Die niedersächsische Datenschutzaufsicht hat 2024 bei Vor-Ort-Kontrollen in der Immobilienwirtschaft eine Reihe von Verstößen festgestellt. Dabei ging es unter anderem um die Speicherung von Ausweiskopien und Gehaltsnachweisen von Mietinteressierten, obwohl dies in den jeweiligen Phasen des Vermietungsprozesses nicht erforderlich war. Die Behörde betont ausdrücklich, dass bloßes Einsehen und dokumentierter Abgleich ausreichen können und dass Kopien oder Archivierung regelmäßig unzulässig sind. Zudem müssen über die Verarbeitungsvorgänge Verzeichnisse geführt werden.
Das Beispiel stammt aus der Wohnungswirtschaft, aber das Muster ist branchenübergreifend identisch: Unternehmen fragen lieber mehr ab als nötig, speichern lieber länger als nötig und klären später, ob es dafür eigentlich einen tragfähigen Zweck gab. Genau das widerspricht dem Prinzip der Datenminimierung und der Speicherbegrenzung. DSGVO-konform ist nicht, wer viele Daten hat. DSGVO-konform ist, wer nur die Daten hat, die er wirklich braucht.
4. Löschkonzepte fehlen oder funktionieren nur auf dem Papier
Nichts zeigt den Unterschied zwischen Theorie und Praxis so brutal wie das Thema Löschen. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat 2024 gegen ein Unternehmen aus dem Forderungsmanagement ein Bußgeld von 900.000 Euro verhängt. Hintergrund war unter anderem, dass über 420.000 Datensätze ohne rechtliche Grundlage gespeichert wurden und ein wirksames Löschkonzept fehlte. Teilweise waren Daten noch vorhanden, obwohl ihre rechtmäßige Speicherung schon Jahre zuvor geendet hatte.
Das ist einer der zentralen Schwachpunkte in deutschen Firmen: Daten werden eingesammelt, verarbeitet, verschoben, gesichert, gespiegelt, archiviert und gebackupt. Aber niemand definiert sauber, wann sie wieder verschwinden müssen. Solange ein Unternehmen kein funktionierendes Löschkonzept mit Verantwortlichkeiten, Fristen und technischer Umsetzung hat, ist jede Datenschutz-Behauptung nur halbgar.
5. Dienstleister, Cloud und Auftragsverarbeitung werden oft falsch eingeordnet
Ein weiterer Klassiker ist der Umgang mit externen Dienstleistern. Das BayLDA weist darauf hin, dass die Frage, ob ein Dienstleister Auftragsverarbeiter oder eigener Verantwortlicher ist, zu den in der Praxis am häufigsten gestellten Fragen gehört. Gleichzeitig betont die Behörde, dass nicht jede externe Dienstleistung automatisch Auftragsverarbeitung ist. Entscheidend ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Verantwortliche müssen zudem vor der Beauftragung prüfen, ob ein Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen bietet, und einen Vertrag nach Art. 28 DSGVO schließen.
In der Praxis heißt das: Viele Unternehmen haben zwar AV-Verträge, aber oft nach dem Gießkannenprinzip. Mal wird aus Bequemlichkeit alles als Auftragsverarbeitung etikettiert, mal fehlt ein Vertrag komplett, obwohl systematischer Zugriff auf personenbezogene Daten besteht. Besonders heikel wird das bei Cloud-Diensten, Support, Kollaborationstools und internationalen Tool-Stacks. Gerade dort reicht „wird schon passen“ ungefähr so weit wie ein Regenschirm aus Papier.
6. Datenpannen entstehen oft nicht durch Hightech, sondern durch Alltagsfehler
Datenschutzverstöße passieren nicht nur bei spektakulären Hacks. Ein großer Teil entsteht durch banale, aber folgenreiche Alltagsfehler. Die Berliner Datenschutzbeauftragte meldete für 2024 insgesamt 1.262 Datenpannen, also mehr als drei pro Tag. Als häufige Ursachen nennt die Behörde Fehlversand, Phishing, Ransomware und kompromittierte E-Mail-Accounts. Sie empfiehlt unter anderem Verschlüsselung mobiler Datenträger, Sensibilisierung der Beschäftigten und sichere Login-Verfahren wie Zwei-Faktor-Authentisierung.
Das ist ein wichtiger Punkt, weil viele Firmen Datenschutz noch immer fast nur juristisch betrachten. In Wirklichkeit ist Datenschutz immer auch Prozessqualität, IT-Sicherheit und Mitarbeiterschulung. Wer seine Leute nicht trainiert, seine Postläufe nicht sauber organisiert und seine Accounts nicht schützt, baut Datenpannen im Grunde schon in den Alltag ein.
7. KI verschärft die Lage, ersetzt aber die DSGVO nicht
Spätestens seit generative KI in Unternehmen angekommen ist, wird das Thema noch komplexer. Die Datenschutzkonferenz hat 2024 eine Orientierungshilfe zu „Künstliche Intelligenz und Datenschutz“ veröffentlicht und 2025 bereits weitere Hilfen zu technischen und organisatorischen Maßnahmen für KI-Systeme nachgelegt. Auch das BayLDA weist darauf hin, dass die KI-Verordnung seit dem 1. August 2024 in Kraft ist, verbotene Praktiken bereits seit dem 2. Februar 2025 untersagt sind und die DSGVO parallel weiter gilt, sobald personenbezogene Daten verarbeitet werden. Zugleich bestehen laut BayLDA deutliche Überschneidungen zwischen KI-Risikomanagement und Datenschutz-Folgenabschätzung.
Für Unternehmen bedeutet das: KI ist kein datenschutzfreier Sonderraum. Wer Mitarbeitende mit Chatbots, Copiloten, Transkriptionsdiensten oder KI-Analyse-Tools arbeiten lässt, braucht klare Regeln für Eingabedaten, Rollen, Freigaben, Rechtsgrundlagen, TOMs und Dokumentation. Sonst läuft Shadow AI schneller durch die Firma als jede Compliance-Richtlinie.
Fazit: Wo es in Deutschland wirklich hakt
Das Kernproblem in deutschen Firmen ist nicht mangelndes Wissen über die DSGVO. Es ist die Lücke zwischen Wissen und Alltag. Es hakt vor allem an fünf Stellen:
- an fehlender Prozessverantwortung
- an schlechten Lösch- und Berechtigungskonzepten
- an unklaren Rollen bei Dienstleistern und Cloud-Tools
- an manipulativen oder technisch unsauberen Webseiten-Setups
- und zunehmend an KI-Nutzung ohne sauberes Datenschutz-Framework.
Wer DSGVO ernst nimmt, braucht deshalb keine dickere Datenschutzerklärung, sondern bessere Prozesse. Datenschutz ist kein Textproblem. Datenschutz ist ein Führungs- und Systemproblem. Und genau deshalb hakt es in so vielen deutschen Unternehmen noch immer.