Was ist die Rechenschaftspflicht?
Die DSGVO stellt in Art. 5 Abs. 1 sieben Grundsätze auf: rechtmäßig und transparent verarbeiten, nur für festgelegte Zwecke, so wenig Daten wie nötig, richtig, nicht länger als nötig, sicher. Absatz 2 setzt dann den Satz drauf, der alles verändert: Der Verantwortliche muss die Einhaltung „nachweisen können“. Das Gesetz nennt das in Klammern die Rechenschaftspflicht.
Heißt praktisch: Die Beweislast liegt bei dir. Nicht die Aufsichtsbehörde muss zeigen, dass du etwas falsch gemacht hast. Du musst zeigen, dass du es richtig gemacht hast. Der Europäische Gerichtshof (EuGH) hat das im Dezember 2023 bestätigt: Bei Schadenersatzklagen trägt der Verantwortliche die Beweislast dafür, dass seine Schutzmaßnahmen geeignet waren.
Das gilt auch für Solo-Selbständige. Größe spielt bei der Rechenschaftspflicht selbst keine Rolle — nur bei einzelnen Werkzeugen.
Was musst du nachweisen können?
Die Rechenschaftspflicht ist das Prinzip. Umgesetzt wird sie mit konkreten Unterlagen:
Nachweis
Grundlage
Einwilligungen (wer, wann, welcher Text)
Art. 7 Abs. 1
Verzeichnis der Verarbeitungen
Art. 30
Schutzmaßnahmen (TOM)
Art. 24, 32
Datenpannen und Reaktion
Art. 33 Abs. 5
Risikoprüfung bei hohem Risiko
Art. 35
Beim Verzeichnis gibt es eine Ausnahme für Firmen unter 250 Beschäftigten. Sie greift aber nicht, sobald du Daten „nicht nur gelegentlich“ verarbeitest. Wer laufend Kunden- oder Newsletterdaten pflegt, fällt fast immer heraus. Die EU will die Ausnahme mit dem Omnibus-IV-Paket ausweiten; bis das in Kraft ist, gilt die Schwelle von 250.
Was ein fehlender Nachweis kostet
Der Rahmen steht in Art. 83 DSGVO: Verstöße gegen die Grundsätze und die Einwilligungsregeln kosten bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Fehler bei Verzeichnis oder Risikoprüfung bis zu 10 Millionen oder 2 %. Zwei echte Fälle aus dem Marketing:
Fall A · Gekaufte Leads
Solocal Marketing Services (Frankreich)
900.000 €
Bußgeld der CNIL
17 Monate
bis zum Nutzungsstopp
Kein Einwilligungsnachweis für Daten eines Lieferanten
Die Firma warb mit Adressen eines Partners und konnte nicht belegen, dass die Leute eingewilligt hatten. Betroffen waren mehrere Millionen Personen.
Fall B · Telefonwerbung
Bundesnetzagentur, Bilanz 2025
13
große Bußgeldverfahren
1,1 Mio. €
Bußgelder gesamt
Erstmals auch für fehlende Dokumentation geahndet
Hier geht es um das Wettbewerbsrecht (§ 7a UWG), nicht die DSGVO — die Logik ist dieselbe: Wer Werbeeinwilligungen nicht dokumentiert, zahlt.
Häufige Fehler
Fehler 1 · Häkchen ohne Protokoll
Ein angehaktes Kästchen im Formular ist noch kein Nachweis. Du brauchst: Zeitpunkt, Formular, den genauen Einwilligungstext in der damaligen Fassung und die Bestätigung beim Double Opt-in.
Fehler 2 · Beim Tool-Wechsel die Belege verlieren
Du ziehst vom alten Newsletter-Tool ins neue um und exportierst nur die Adressen. Die Einwilligungsdaten bleiben zurück. Ein Jahr später kündigst du das alte Konto — und mit ihm verschwindet jeder Beweis.
Fehler 3 · „Der Lieferant hat das geprüft“
Bei gekauften Leads oder Partner-Adressen bist du selbst verantwortlich. Lass dir die Nachweise geben und prüf Stichproben, bevor du die erste Mail schickst.
Fehler 4 · Tracking ohne Doku
Pixel und Analyse-Tools eingebaut, aber kein Eintrag im Verzeichnis, kein Vertrag zur Auftragsverarbeitung, kein Consent-Log. Ein fehlendes Verzeichnis macht die Verarbeitung laut EuGH zwar nicht automatisch rechtswidrig — ein eigener, bußgeldfähiger Verstoß ist es trotzdem.
Häufige Fragen
Gilt die Rechenschaftspflicht auch für Solo-Selbständige?
Ja. Sie gilt für jeden Verantwortlichen, der personenbezogene Daten verarbeitet — unabhängig von der Größe. Erleichterungen gibt es nur bei einzelnen Pflichten wie dem Verzeichnis, und auch die greifen im Marketing selten.
Wie weise ich eine Newsletter-Einwilligung nach?
Mit einem Protokoll aus deinem Newsletter-Tool: Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung im Double Opt-in, Formular und Einwilligungstext. Der Bundesgerichtshof hat das Double Opt-in schon 2011 als geeignetes Verfahren für E-Mail-Werbung anerkannt.
Brauche ich mit weniger als 250 Mitarbeitern ein Verzeichnis?
In der Regel ja. Die Ausnahme gilt nicht, wenn du Daten nicht nur gelegentlich verarbeitest — und Kundenpflege, Newsletter und Tracking laufen dauerhaft.
Was kostet ein Verstoß?
Bei den Grundsätzen und Einwilligungen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, bei Organisationspflichten wie dem Verzeichnis bis zu 10 Millionen Euro oder 2 %. Die tatsächliche Höhe richtet sich nach dem Einzelfall.
