Umfrage: 80 Prozent der Unternehmen verstoßen gegen DSGVO

Sechs von zehn Unternehmen in Deutschland arbeiten mit veralteten Fassungen eines für die DSGVO wesentlichen Dokuments. Gemeint ist das sogenannte Verzeichnis von Verarbeitungstätigkeiten (VVT), das gesetzlich vorgeschrieben ist und dokumentieren soll, wie mit personenbezogenen Daten umgegangen wird. Jedes fünfte Unternehmen gibt sogar an, kein VVT zu führen, ein direkter Verstoß gegen die Datenschutzgrundverordnung. Dies geht aus einer Umfrage von Dury Consult hervor. Befragt wurden 500 Verantwortliche für den Datenschutz in Unternehmen mit mehr als 500 Mitarbeitern.

Auf dem aktuellen Stand beim VVT sind gerade mal 21 Prozent der Betriebe. Sie haben innerhalb der letzten drei Monate das wichtigste Datenschutzdokument im Unternehmen gepflegt. Weitere rund 20 Prozent der VVT-Änderungen sind älter, teilweise liegen sie sogar mehr als ein Jahr zurück. 39 Prozent der Datenschützer können dagegen nicht genau sagen, wann sie das VVT überhaupt zuletzt aktualisiert haben. Dadurch entstehen immense Risiken für die Unternehmen. Gegenüber Aufsichtsbehörden müssen sie nachweisen können, bei welchen Abläufen sie personenbezogene Daten verarbeiten und wie diese dabei geschützt werden.

„Mit dem VVT legen Unternehmen ihre gesetzliche Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ab“, erläutert Sandra Dury, Inhaberin von Dury Consult. „Auf EU-Ebene werden derzeit zwar Erleichterungen für kleinere Betriebe diskutiert, für viele bleibt das VVT aber eine harte und unumstößliche Pflicht.“

Ein fehlendes oder veraltetes VVT zählt nicht als bloßer Formfehler, sondern als ein klassisches Organisationsverschulden der Geschäftsführung. Kann das Top-Management im Ernstfall keine angemessene Organisationsstruktur nachweisen, drohen neben hohen Bußgeldern für das eigene Unternehmen womöglich auch persönliche Konsequenzen. „Ohne ein aktuelles VVT müssen sich Geschäftsführer vorwerfen lassen, personenbezogene Daten gar nicht wirksam schützen zu können, weil sie gar nicht wissen wo sie überall verarbeitet werden“, so Dury. „Die Unternehmen riskieren dabei, dass sie bei Audits durchfallen oder bei einem Datenschutzvorfall nicht belegen können, dass sie wirksame Vorkehrungen getroffen haben, um dies zu vermeiden.“

Häufig erfahren die Datenschützer auch zu spät oder gar nicht davon, wenn sich etwas am Umgang mit personenbezogenen Daten ändert. Besonders bedenklich: Selbst bei HR- und Personalprojekten bleiben fast 86 Prozent der Datenschützer außen vor. Geht es um neue Software, wie CRM, Cloud oder KI, verzichten 79 Prozent auf den Rat ihrer Datenschützer. Bei der IT-Sicherheit, die Zugriffe und Verschlüsselungen regelt, arbeiten drei Viertel ohne die für den Datenschutz zuständigen Kolleginnen und Kollegen einzubinden. Bei Kundenprojekten sieht es noch am besten aus, doch auch dort werden die Datenschützer in knapp drei von vier Fällen übergangen. Das Problem: Art. 38 DSGVO schreibt genau das Gegenteil vor, Datenschutzbeauftragte frühzeitig einzubinden.

Erschwerend kommt hinzu, dass sich Auskunftsansprüche nach Art. 15 DSGVO kaum erfüllen lassen, wenn das Unternehmen mit einem mangelhaften oder sogar ohne VVT arbeitet. Dadurch entstehen auch operative und kostenintensive Risiken, weil solche Anfragen kostenfrei und unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags beantwortet werden müssen. Sind die Angaben fehlerhaft oder lassen sie sich nicht rechtzeitig beschaffen, drohen Aufsichtsverfahren, Bußgelder und zunehmend teure Schadensersatzklagen. Allerdings begründet eine bloße Fristüberschreitung allein laut Rechtsprechung keinen automatischen Anspruch auf Schadenersatz.

„Viele Unternehmen sehen im Datenschutz vor allem Kosten, die ihnen niemand erstattet“, erklärt Dury. „Dabei ist er ein entscheidendes Instrument, um Unternehmen vor kostspieligen Auseinandersetzungen zu bewahren.“

Neben möglichen Bußgeldern oder Schadenersatz können dies auch Reputationsschäden sein, die sich schwer wieder gutmachen lassen. In der Gesundheitswirtschaft beispielsweise steht sowohl für die Unternehmen als auch die Patienten viel auf dem Spiel, wenn personenbezogene Daten nur unzureichend geschützt werden. Darum sollten Unternehmen penibel darauf achten, Datenschutz als echten Vertrauensanker in ihre Geschäftsprozesse zu integrieren. Dazu gehört ein gepflegtes und aktuelles VVT als belastbares Fundament.

Über die Umfrage

Dury Consult hat 500 Verantwortliche für den Datenschutz in Unternehmen in Deutschland mit mehr als 500 Mitarbeitern befragen lassen. Die Umfrage wurde im April und Mai 2026 von Civey Deutschland durchgeführt.

Über Dury Consult

Dury Consult ist eine auf Datenschutz und Informationssicherheit spezialisierte Beratung mit Sitz in Saarbrücken und einem weiteren Standort in Luxemburg. Zu den Kunden zählen Unternehmen aus den Branchen Finanzdienstleistungen, Gesundheitswesen und KRITIS. Seit 2017 versteht sich das aus Volljuristen bestehende Team von Dury Consult als externe Datenschutzabteilung. Gründerin und Geschäftsführerin Sandra Dury ist Rechtsanwältin, CIPP/E-zertifiziert und Autorin des 2019 erschienen „Praxishandbuchs Datenschutz in Luxemburg“.

Pressekontakt:

Sandra Dury
sdury@dury-consult.com
Tel.: +49 681 958044-0

Original-Content von: Dury Consult GmbH, übermittelt durch news aktuell

  datenschutz, umfrage