DSGVO-Vorlagen 2026: AV-Vertrag, VVT, TOMs, DSFA & 6 weitere Pflicht-Dokumente

Zuletzt aktualisiert am 22. August 2026

Welche DSGVO-Vorlagen brauchen Unternehmen 2026?

Die DSGVO verlangt von jedem Unternehmen umfangreiche Dokumentations- und Nachweispflichten. Diese 10 Vorlagen decken die Pflicht-Dokumente nach Artikel 30, 32, 35 DSGVO und § 38 BDSG ab:

1. AV-Vertrag (Auftragsverarbeitung nach Art. 28 DSGVO)

Pflicht bei jeder Beauftragung externer Dienstleister, die personenbezogene Daten verarbeiten — vom Cloud-Hoster über Newsletter-Software bis zur Lohnbuchhaltung. Der AV-Vertrag regelt Weisungsrecht, Sicherheitsmaßnahmen, Sub-Unternehmer, Audit-Rechte und Löschpflichten. Quellen: Datenschutzkonferenz DSK Orientierungshilfen · BfDI Mustervorlagen.

2. Verarbeitungsverzeichnis (VVT) nach Art. 30 DSGVO

Pflicht für alle Verantwortlichen mit 250+ Mitarbeitern und bei regelmäßiger Verarbeitung besonderer Datenkategorien. Das VVT dokumentiert alle Verarbeitungstätigkeiten: Zweck, Rechtsgrundlage, Empfänger, Löschfristen, technisch-organisatorische Maßnahmen. Excel-Vorlagen: LDA Bayern VVT-Muster · LfD Niedersachsen.

3. Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO

Pflicht bei voraussichtlich hohem Risiko für Betroffene — z.B. Mitarbeiter-Überwachung, biometrische Daten, automatisierte Entscheidungen. Die DSFA bewertet Verarbeitungszweck, Notwendigkeit, Risiken und Schutzmaßnahmen. Tools: CNIL PIA-Software (Open Source) · DSK-Liste der DSFA-pflichtigen Verarbeitungen.

4. Datenschutzerklärung Website

Pflicht für jede Webseite mit Benutzerinteraktion (Kontaktformular, Cookies, Tracking, Newsletter). Aktualisierte Pflichtinhalte 2026 incl. TTDSG, Cookie-Banner-Wahl, Drittland-Transfers (Schrems-II). Generatoren: DSK Mustertext · Anwalts-Generatoren wie e-recht24, activeMind.

5. TOMs-Vorlage (Technisch-organisatorische Maßnahmen, Art. 32 DSGVO)

Dokumentiert alle Schutzmaßnahmen: Zugangs-/Zutritts-/Zugriffskontrolle, Pseudonymisierung, Verschlüsselung, Backup-Konzept, Wiederherstellbarkeit. Pflicht für AV-Verträge und als Anlage zum VVT. Siehe unseren Praxis-Guide zu Art 32 DSGVO und TOMs.

6. Datenschutzkonzept (umfassendes Compliance-Dokument)

Das übergeordnete Dokument: Verantwortlichkeiten, Prozesse, TOMs, Schulungskonzept, Notfall-Pläne. Für mittelständische Unternehmen 30-80 Seiten. Wird im Rahmen des DSGVO-Beratung-Pakets individuell erstellt.

7. Datenschutzrichtlinie (interne Mitarbeiter-Policy)

Verbindliche Anweisungen für Beschäftigte zum Umgang mit personenbezogenen Daten. Detailliert in unserem Leitfaden zur Datenschutzrichtlinie 2026 incl. Pflichtinhalten und Muster-Aufbau.

8. Mitarbeiter-Verpflichtungserklärung auf Vertraulichkeit

Nach § 53 BDSG und Art. 32 (4) DSGVO Pflicht für alle Beschäftigten mit Zugang zu personenbezogenen Daten. Muss vor Beginn der Tätigkeit unterzeichnet werden. Vorlagen: BfDI-Mustertexte.

9. Auskunftsantrag-Bearbeitungsvorlage (Art. 15 DSGVO)

Standardisierte Bearbeitungs-Vorlage für Auskunftsanfragen Betroffener. Reduziert Antwort-Zeit von durchschnittlich 12 Tagen auf unter 3 Tage. Inkludiert Identitätsprüfung, Daten-Sammlung-Checkliste, rechtskonforme Antwort-Template.

10. Datenschutzvorfall-Meldungs-Vorlage (Art. 33 DSGVO)

72-Stunden-Pflicht zur Meldung an die Aufsichtsbehörde bei Datenschutzverletzungen. Vorlage enthält: Vorfall-Beschreibung, betroffene Daten-Kategorien, ungefähre Anzahl Betroffener, Folgen, Gegenmaßnahmen. Meldeformulare: Sächsischer Datenschutzbeauftragter · LDA Bayern.

Wie nutze ich DSGVO-Vorlagen richtig?

1. Vorlage NICHT 1:1 übernehmen. Öffentliche Mustervorlagen sind generisch und müssen auf Ihr Unternehmen, Ihre Verarbeitungen und Branche angepasst werden.
2. Rechtsgrundlagen prüfen. Verarbeitungen ohne klare Rechtsgrundlage (Art. 6 DSGVO oder Spezialgesetze) sind unzulässig — egal welche Vorlage Sie nutzen.
3. Branchen-Spezifika berücksichtigen. Gesundheit (KHEntgG, § 22 SGB V), Schule, Kanzlei (BRAO § 43a), Bank (BAIT, MaRisk) — alle haben Sondervorschriften.
4. Regelmäßig aktualisieren. Mindestens 1× jährlich + bei jeder neuen Verarbeitung, neuem Tool oder Gesetzes-Änderung (z.B. NIS2 ab 17.10.2024).
5. Verantwortlichen-Pflichten dokumentieren. Wer hat wann welche Vorlage angepasst, geprüft, freigegeben? Audit-Trail im VVT-Tool.

Häufig gestellte Fragen zu DSGVO-Vorlagen

Sind kostenlose DSGVO-Vorlagen rechtssicher?

Vorlagen von Aufsichtsbehörden (BfDI, LDA, DSK) sind methodisch korrekt — aber generisch. Rechtssicherheit entsteht erst durch unternehmensspezifische Anpassung. Eine 1:1-Übernahme ohne Anpassung führt häufig zu Bußgeldern: 2024 wurden in Deutschland 49 Bußgelder allein wegen mangelhafter Datenschutzerklärungen verhängt.

Brauche ich für jede DSGVO-Vorlage einen Datenschutzbeauftragten?

Nein, aber bei AV-Vertrag, VVT, DSFA und Datenschutzkonzept ist die Mitwirkung eines DSB oder Datenschutz-Experten dringend empfohlen. Externer Datenschutzbeauftragter ist Pflicht ab 20 Mitarbeitern (regelmäßige automatisierte Verarbeitung) oder bei besonderen Daten-Kategorien.

Welches Tool eignet sich für die Verwaltung aller DSGVO-Vorlagen?

Für KMU: Excel + strukturierte Verzeichnis-Ablage (Sharepoint/Nextcloud) reicht. Ab 50 Mitarbeitern empfehlen sich Datenschutz-Management-Systeme wie otris privacy, caralegal, activeMind PRO oder die Open-Source-Lösung privacyIDEA. Cloud-basierte Lösungen bieten meist integrierte Workflow-Engine.

Wie oft müssen DSGVO-Vorlagen aktualisiert werden?

Pflicht ist die jährliche Überprüfung. Verpflichtende Aktualisierung bei: neuer Verarbeitung, neuem Tool/Dienstleister, neuer Rechtsgrundlage, Beschwerde-Aufkommen, Aufsichtsbehörden-Audit, Vorfall. Praxis-Empfehlung: Quartals-Review im Datenschutz-Management-System.

Können Sie eine individuelle Vorlage für mein Unternehmen erstellen?

Ja. Im Rahmen unserer DSGVO-Beratung ab 150 €/Monat erstellen wir alle 10 Pflicht-Vorlagen individuell für Ihr Unternehmen, Ihre Branche und Ihre Verarbeitungen. Inkludiert sind: Bestandsaufnahme, Vorlagen-Erstellung, Mitarbeiter-Schulung und jährliche Aktualisierung. Erstgespräch kostenlos anfragen.

Wo finde ich DSGVO-Vorlagen speziell für meine Branche?

Branchen-spezifische Vorlagen finden Sie bei den jeweiligen Aufsichtsbehörden und Verbänden: Arztpraxis, Kindertagesstätten, Anwaltskanzleien. Für IT-Sicherheit und ISO 27001 siehe unsere Schwester-Domain Informationssicherheitsbeauftragter Dresden.