Das SDM im internationalen Konzern: deutsche Methode, europäischer Nutzen
Internationale Konzerne haben meist kein Dokumentationsproblem im engeren Sinne. Verzeichnisse von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen, TOM-Kataloge, Löschkonzepte, Auditberichte und Lieferantenbewertungen sind in der Regel vorhanden.
Das eigentliche Problem ist ihre fehlende Verbindung.
Dieselbe Cloudplattform wird in mehreren Ländern unterschiedlich beschrieben. Zentrale Sicherheitsmaßnahmen erscheinen in verschiedenen Datenschutz-Folgenabschätzungen mit abweichendem Inhalt. Lokale Gesellschaften bewerten vergleichbare Risiken unterschiedlich. Ändert sich ein System oder ein Dienstleister, ist kaum zuverlässig feststellbar, welche Verarbeitungstätigkeiten, Rechtsbewertungen und Nachweise aktualisiert werden müssen.
Mit der europäischen KI-Verordnung, NIS 2 und dem Aufbau einer konzernweiten KI-Governance wächst diese Komplexität weiter. Unternehmen benötigen deshalb nicht einfach mehr Dokumente, sondern eine gemeinsame Struktur für Daten-schutz-informationen.
Das Standard-Datenschutzmodell – kurz SDM – bietet hierfür einen interessanten Ausgangspunkt.
Was das SDM für internationale Konzerne interessant macht
Das von der deutschen Datenschutzkonferenz entwickelte SDM ist weder ein verbindlicher Standard noch eine europaweit anerkannte Konformitätsmethode. Es ersetzt keine Prüfung der Rechtsgrundlage, keine Datenschutz-Folgenabschätzung und keine nationale Rechtsberatung.
Sein praktischer Wert liegt in seiner methodischen Logik. Das SDM verbindet eine konkrete Verarbeitung mit rechtlichen Anforderungen, Risiken, datenschutzrechtlichen Gewährleistungszielen, technischen und organisatorischen Maßnahmen sowie Nachweisen ihrer Wirksamkeit.
Im Mittelpunkt stehen sieben Gewährleistungsziele: Datenminimierung, Verfügbarkeit, Integrität, Vertraulichkeit, Transparenz, Nichtverkettung und Intervenierbarkeit.
Diese Ziele schaffen eine Brücke zwischen Datenschutzrecht und IT. Eine Anforderung wie Transparenz wird dadurch nicht nur als Pflicht zur Bereitstellung eines Datenschutzhinweises verstanden. Sie betrifft auch nachvollziehbare Datenflüsse, dokumentierte Systemversionen, erkennbare Verantwortlichkeiten und überprüfbare Entscheidungswege. Intervenierbarkeit kann bedeuten, dass Daten berichtigt, Löschanforderungen über verbundene Systeme umgesetzt oder automatisierte Entscheidungen wirksam überprüft werden können.
Für internationale Unternehmen ist weniger entscheidend, dass das Modell aus Deutschland stammt. Entscheidend ist, dass es eine wiederverwendbare Begründungskette bereitstellt.
Europa kennt unterschiedliche Methoden – aber ähnliche Anforderungen
Die europäischen Aufsichtsbehörden verwenden keine einheitliche Datenschutzmethodik. Ihre Ansätze unterscheiden sich nach Rechtskultur, institutioneller Praxis und konkretem Anwendungszweck.
Der italienische Garante stellt die Verantwortlichkeit des Unternehmens in den Mittelpunkt. Er beschreibt die Datenschutz-Folgenabschätzung als besonders wichtigen Ausdruck der responsabilizzazione, also der Accountability des Verantwortlichen. Unternehmen müssen nicht nur Vorschriften einhalten, sondern nachvollziehbar darlegen können, wie sie dies tun. Der Garante verbindet diese Verantwortung ausdrücklich mit Datenschutz durch Technikgestaltung, der Bewertung möglicher Auswirkungen auf die Rechte betroffener Personen und der Auswahl geeigneter technischer und organisatorischer Maßnahmen. Garante: Accountability und risikobasierter Ansatz, Garante: Datenschutz-Folgenabschätzung.
Die irische Data Protection Commission verfolgt einen ausgesprochen praxisorientierten Ansatz. Sie verlangt eine belastbare Bestandsaufnahme der verarbeiteten Daten und betont, dass Organisationen ihre Maßnahmen und deren Wirksamkeit nachweisen müssen. Ihre DSFA-Guidance behandelt die Folgenabschätzung nicht als einmalig auszufüllendes Formular, sondern als Prozess, dessen Ergebnisse in die Projektplanung zurückgeführt und bei Veränderungen aktualisiert werden müssen. Die DPC hebt zudem die Bedeutung dokumentierter Entscheidungen und der frühzeitigen Einbindung betroffener Personen oder ihrer Vertretungen hervor. DPC: Accountability obligation, DPC: Guide to Data Protection Impact Assessments.
Die französische CNIL wiederum verbindet in ihrer PIA-Methode rechtlich nicht verhandelbare Datenschutzgrundsätze mit einem systematischen Privacy Risk Management. Das 2026 konsultierte DSFA-Template des Europäischen Datenschutzausschusses verfolgt ebenfalls das Ziel, Datenschutz-Folgenabschätzungen strukturierter und zwischen nationalen Ansätzen kompatibler zu machen, ohne Unternehmen auf eine bestimmte Risikomethode festzulegen. CNIL: PIA-Methode, EDPB: europäisches DSFA-Template.
Die Methoden sind nicht gleichwertig und dürfen nicht einfach aufeinander abgebildet werden. Sie zeigen aber einen gemeinsamen Informationsbedarf.
Das SDM kann diese Ansätze nicht ersetzen. Es kann aber helfen, ihre gemeinsamen Elemente in einer konzernweit verständlichen Struktur abzubilden: Verarbeitung, Anforderung, Risiko, Maßnahme, Verantwortlichkeit, Nachweis und Überprüfung.
Vom Dokumentenbestand zum strukturierten Datenschutzmodell
Der größte praktische Nutzen entsteht, wenn das SDM nicht lediglich als neue Vorlage verwendet wird.
In einer modernen Datenschutzorganisation sollte beispielsweise eine konzernweite HR-Plattform als eigenständiges Informationsobjekt geführt werden. Mit ihr werden die betroffenen Gesellschaften, Verarbeitungstätigkeiten, Zwecke, Datenkategorien, Dienstleister, Rechtsgrundlagen, Risiken, Maßnahmen und Nachweise verknüpft.
Eine Verschlüsselungsmaßnahme muss dann nicht in jeder DSFA neu beschrieben werden. Sie kann zentral gepflegt und mehreren Verarbeitungen zugeordnet werden. Ihre lokale Konfiguration und Wirksamkeit bleiben gleichwohl gesondert prüfbar. Ändert sich die Plattform, der Anbieter oder die Maßnahme, lässt sich erkennen, welche Gesellschaften und Bewertungen betroffen sind.
Damit werden Dokumente nicht abgeschafft. Sie werden aus einer kontrollierten Informationsbasis gespeist oder mit ihr verbunden.
Eine solche Struktur macht Datenschutz für KI nutzbar
Generative KI kann umfangreiche Datenschutzunterlagen durchsuchen, Zusammenhänge erkennen und erste Bewertungen vorbereiten. Bei unstrukturierten Dokumenten besteht jedoch die Gefahr, dass eine KI veraltete Beschreibungen verwendet, Maßnahmen mit ihrer tatsächlichen Umsetzung verwechselt oder widersprüchliche Angaben übersieht.
Eine strukturierte SDM-basierte Informationsbasis bietet einen kontrollierteren Kontext. Sie kann der KI mitteilen, für welche Verarbeitung eine Aussage gilt, aus welcher Quelle sie stammt, wer sie geprüft hat und ob sie noch aktuell ist.
KI kann dann beispielsweise feststellen, dass eine Maßnahme keinen Wirksamkeitsnachweis besitzt, eine DSFA auf eine alte Systemversion verweist oder mehrere Gesellschaften für dieselbe Plattform unterschiedliche Löschfristen dokumentiert haben.
Das Modell sollte dabei zwei Aufgaben klar trennen: Formale Konsistenzprüfungen können weitgehend regelbasiert erfolgen. Rechtliche Würdigungen, Verhältnismäßigkeitsentscheidungen und die Akzeptanz verbleibender Risiken müssen bei qualifizierten Menschen verbleiben.
Der konkrete Nutzen für das Unternehmen
Für Datenschutzbeauftragte verbessert eine solche Struktur die Verbindung zwischen rechtlicher Beratung und technischer Umsetzung. Empfehlungen, Managemententscheidungen, offene Maßnahmen und Restrisiken lassen sich getrennt und nachvollziehbar dokumentieren.
Complianceverantwortliche erhalten eine gemeinsame Evidence Map. Ein technischer Testbericht kann für Datenschutz, Informationssicherheit, KI-Governance und Audit verwendet werden, sofern seine jeweilige Aussagekraft geprüft wird. Dadurch wird aus einer Sammlung von Kontrollen ein überprüfbares Governance-System.
Für Geschäftsführung und IT-Vorstand entsteht eine bessere Steuerungsperspektive. Das Management kann erkennen, welche risikoreichen Verarbeitungen betroffen sind, welche Maßnahmen nur geplant und welche tatsächlich getestet wurden und welche Entscheidungen noch ausstehen. Änderungen an zentralen Plattformen können gezielt in die betroffenen Gesellschaften und Bewertungen zurückgespielt werden.
Der wirtschaftliche Nutzen liegt damit nicht primär in weniger Dokumenten. Er liegt in weniger widersprüchlicher Mehrfachpflege, schnelleren Aktualisierungen, besser vorbereiteten Audits und belastbareren Entscheidungen.
Nicht global ausrollen, sondern europäisch pilotieren
Ein internationaler Konzern sollte das SDM nicht unverändert als deutschen Konzernstandard einführen. Empfehlenswert ist ein begrenzter europäischer Pilot mit zwei oder drei grenzüberschreitenden Verarbeitungen, etwa einer HR-Plattform, einem Cloudservice oder einem KI-gestützten Recruitingprozess.
Im Pilot sollte geprüft werden, ob die SDM-Logik Inkonsistenzen sichtbar macht, Nachweise besser zuordnet und die Zusammenarbeit zwischen Datenschutz, Compliance und IT verbessert. Lokale Anforderungen – etwa aus Italien oder Irland – werden nicht durch einen zentralen Standard ersetzt, sondern als nationale Erweiterungen mit dem gemeinsamen Kern verbunden.
Eine fachübergreifende Beratung kann dabei helfen, das bestehende Datenschutzmanagement zu analysieren, geeignete Pilotverfahren auszuwählen und zu verhindern, dass aus dem SDM lediglich ein weiterer Kontrollkatalog entsteht.
Fazit
Das SDM ist kein europäischer Standard. Es ist aber eine ernst zu nehmende methodische Blaupause für internationale Konzerne.
Seine Stärke liegt in der Verbindung von Recht, Verarbeitung, Risiko, Maßnahme und Nachweis. Gerade diese Struktur kann unterschiedliche europäische Aufsichtsansätze anschlussfähig machen, ohne ihre Besonderheiten zu beseitigen.
Für Unternehmen eröffnet dies die Chance, Datenschutz nicht länger als Sammlung isolierter Dokumente zu organisieren. Aus strukturierten und versionierten Datenschutzinformationen kann eine gemeinsame Governancebasis entstehen, die lokale Rechtsprüfungen unterstützt, Auditnachweise wiederverwendbar macht und KI-gestützte Analysen kontrollierbar ermöglicht.
Der sinnvolle erste Schritt ist deshalb kein konzernweiter Rollout, sondern ein europäischer Pilot: begrenzt, messbar und fachlich begleitet.
Das SDM macht aus verteilten Datenschutzdokumenten eine strukturierte, europaweit anschlussfähige und KI-fähige Governance-Grundlage für internationale Konzerne.
