Dokumentationspflicht bezeichnet die rechtliche oder regulatorische Verpflichtung, bestimmte Prozesse, Entscheidungen, Maßnahmen oder Systeme schriftlich nachzuweisen – nicht nur umzusetzen, sondern auch zu belegen, dass sie umgesetzt wurden. Die DSGVO formuliert dies als Rechenschaftspflicht (Art. 5 Abs. 2): Der Verantwortliche muss nicht nur die Datenschutzgrundsätze einhalten, sondern auch deren Einhaltung nachweisen können. Ohne Dokumentation ist Compliance nicht beweisbar.
Für Automatisierungssysteme ist die Dokumentationspflicht ein zweiseitiges Konzept: Einerseits muss das System selbst dokumentiert sein (wie funktioniert es, welche Daten verarbeitet es, welche Rechtsgrundlagen gelten). Andererseits erzeugt das System laufend Dokumentation: Workflow-Logs, Audit-Trails, Verarbeitungsnachweise. Beide Dimensionen zusammen schaffen die Nachweisfähigkeit, die Behörden, Kunden und Auditoren verlangen.
Dokumentationspflichten im Automatisierungskontext
VVT
Verzeichnis der Verarbeitungstätigkeiten. Für jeden Workflow: Zweck, Rechtsgrundlage, Datenkategorien, Empfänger, Löschfristen. DSGVO Art. 30 Pflicht.
DPIA
Datenschutz-Folgenabschätzung bei hohem Risiko. Identifikation, Bewertung und Mitigierung von Datenschutzrisiken vor Inbetriebnahme.
TOM-Dokument
Technisch-organisatorische Maßnahmen konkret beschrieben. AVV-Pflichtbestandteil. Regelmäßig aktualisieren wenn Systeme sich ändern.
Systemdoku
Technische Beschreibung des Automatisierungssystems: Architektur, Datenflüsse, Schnittstellen, Abhängigkeiten. Für Audits und Wartbarkeit.
Audit-Nachweis
Nachweise für durchgeführte Audits, Zugriffsreviews, Sicherheitschecks. Belegt, dass das System aktiv überwacht und verbessert wird.
Entscheidungslog
Für KI-gestützte Entscheidungen: Begründung und Datenbasis jeder automatisierten Entscheidung. EU AI Act und DSGVO Art. 22 Anforderung.
Praxisbeispiel
Ein Automationsdienstleister erhält eine Anfrage eines Unternehmenskunden für ein ISO-27001-Lieferantenaudit. Der Kunde möchte sehen: Alle Workflows mit personenbezogenen Daten und ihre Rechtsgrundlagen (VVT), die TOM-Beschreibung der Sicherheitsmaßnahmen, Nachweise der letzten Zugriffsreviews, letzter Penetrationstest-Bericht, AVVs mit allen Sub-Auftragsverarbeitern, Incident-Response-Plan. Ohne systematische Dokumentation: 3–4 Wochen Aufwand, um diese Unterlagen zusammenzustellen – wenn sie überhaupt vollständig existieren. Mit systematischer Dokumentationspraxis: Alle Unterlagen sind gepflegt und aktuell, Lieferung in 2 Werktagen. Die Dokumentation ist nicht nur Compliance-Pflicht, sondern direkter Vertriebsvorteil: Kunden, die ISO 27001 fordern, entscheiden sich für dokumentierte Anbieter.
