DSGVO-Tools 2026: zehn Werkzeuge aus der Datenschutzpraxis

4.220 Beschwerden hat die Hamburger Datenschutzaufsicht in ihrem 34. Tätigkeitsbericht gezählt, 62 Prozent mehr als im Jahr davor. Gemessen an der Einwohnerzahl ist das der höchste Wert in Deutschland. Wer in Hamburg Unternehmen beim Datenschutz begleitet, merkt das an der Post: Auskunftsersuchen, Anhörungsschreiben, Nachfragen zu Websites.

Ich habe im Oktober 2026 die kostenlosen DSGVO-Tools durchgesehen, die mir in der Beratung tatsächlich Arbeit abnehmen. Übrig geblieben sind zehn. Sieben der zehn stammen von frag.hugo, eines von hagel IT, zwei von einer schwedischen Stiftung und der französischen Datenschutzbehörde.

Worauf die Hamburger Aufsicht gerade schaut

1. Aufsichtsbehörden-Vergleich mit Steckbrief HmbBfDI

Ein Mandant aus Niedersachsen eröffnet einen Standort in Hamburg und will wissen, was sich für ihn ändert. Für die neue Niederlassung ist dann der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) zuständig. Statt seinen Bericht selbst durchzublättern, nutze ich den Vergleich der Tätigkeitsberichte aller 18 deutschen Aufsichtsbehörden. Er legt die Kennzahlen nebeneinander, jede mit wörtlichem Zitat und Seitenangabe im Original-PDF.

Der Hamburger Steckbrief beruht auf dem 34. Tätigkeitsbericht vom 25. März 2026 mit 232 Seiten. Die Behörde leitet Thomas Fuchs.

Hamburg kommt auf 225,7 Beschwerden je 100.000 Einwohner, Thüringen auf 22,5. Außerdem hat der HmbBfDI 1.000 Hamburger Websites automatisiert darauf geprüft, ob sie schon vor der Einwilligung Tracking laden. 185 Betreiber mussten nachbessern, in 110 Fällen wegen Google Analytics. Wer einen Hamburger Mandanten übernimmt, sollte also zuerst dessen Website prüfen.

Beim Thema Bußgelder hilft der Vergleich nur begrenzt. Fünf der 18 Berichte nennen gar keine Gesamtsumme, und jede Behörde zählt auf ihre eigene Weise.

2. Webbkoll

Nach der Website-Prüfung der Aufsicht bitten mich Mandanten fast immer, auch ihre eigene Seite anzusehen. Was hinter einem Login liegt, bleibt dabei unsichtbar, für die öffentliche Startseite reicht aber Webbkoll, den Website-Check der 5th of July Foundation aus Schweden. Das Werkzeug simuliert einen normalen Besuch und listet Cookies, Drittanbieter und Sicherheits-Header. Nach einem Durchlauf sehe ich, ob vor jedem Klick schon Daten an Google fließen.

Dienstleister und Software im Blick behalten

3. Subprozessor-Monitor

Microsoft hat seine Liste der Unterauftragsverarbeiter zuletzt am 9. Oktober 2026 geändert. Bemerkt habe ich das über den RSS-Feed des täglichen Abgleichs der Unterauftragsverarbeiter-Listen, für den man keine Adresse angeben muss. Welche Namen bei Microsoft neu sind, zeigt der Monitor allerdings nicht, weil die Liste nicht maschinenlesbar erscheint. Bei Salesforce und Slack ist es genauso.

Bei 14 der 17 überwachten Anbieter liest er die Namen dagegen einzeln aus, zusammen 748 Einträge (Stand Oktober 2026). Das hilft, wenn die AVV-Akte eines Kunden mit Google Workspace aktualisiert werden soll. Am 20. Oktober 2026 kamen dort drei neue Unterauftragsverarbeiter hinzu, darunter NTT DATA Information Processing Services Private Limited. Ins eigene Verzeichnis übertragen müssen Sie solche Änderungen weiterhin selbst.

4. DSGVO-Prüfstand für Software

Die Projektleitung möchte ihr Wissen in Notion ablegen, und eine Agentur schlägt Miro für gemeinsame Workshops vor. In welchem Tarif das vertretbar ist, beantwortet der Prüfstand mit zehn Datenschutz-Kriterien je Programm. Für Notion kommt danach nur der Tarif Enterprise infrage, für Miro Business oder Enterprise. Hinter den Urteilen stehen 172 Belege mit Zitat, alle 90 Tage wird neu geprüft. Ein Programm, das als „Einsetzbar“ gilt, gibt es dort bisher nicht.

Der Tarif allein macht Notion nicht zulässig. Den Eintrag im Verarbeitungsverzeichnis schreibt Ihnen niemand, und den Vertrag zur Auftragsverarbeitung müssen Sie trotzdem abschließen.

5. Microsoft-365-Härtungs-Check

Bei der Prüfung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO weiß niemand, ob Mails automatisch nach außen weitergeleitet werden. Klarheit schafft das PowerShell-Skript im quelloffenen Härtungs-Check für Microsoft 365 von hagel IT. Es prüft zwölf Einstellungen, darunter genau diese Weiterleitungen und Konten, die sich seit 90 Tagen nicht mehr angemeldet haben. Jede Prüfung bekommt eine von vier Stufen: Bestanden, Hinweis, Mängel oder Nicht geprüft. Die sieben Berechtigungen sind reine Leserechte, der Code steht unter MIT-Lizenz auf GitHub.

Ausführen sollte es die IT mit PowerShell 7. Spuren eines Angriffs sucht das Skript nicht, und Endgeräte, Firewall und Backups prüft es auch nicht. Wenn der Bericht bei der Mehr-Faktor-Anmeldung Mängel zeigt, lohnt ein Blick in den Beitrag von hagel IT dazu, warum SMS-Codes als zweiter Faktor nicht mehr reichen.

KI-Vorhaben einordnen und dokumentieren

6. KI-Risikoklassen-Check

Der Kundenservice will einen Chatbot auf die Website setzen, und die Geschäftsführung fragt, ob dafür die KI-Verordnung gilt. Pro Durchgang ordnet der Fragebogen zur Einstufung nach der KI-Verordnung nur ein System ein, in höchstens elf Schritten, und nennt eine von vier Risikoklassen sowie die eigene Rolle, meist Betreiber. Ein Chatbot für Kunden fällt unter die Transparenzpflicht nach Art. 50 Abs. 1, die seit dem 2. August 2026 gilt. Wer die Antworten als Link weitergibt, spart sich die Nacherzählung im Protokoll.

Grenzfälle nach Art. 6 bleiben eine Rechtsfrage des Einzelfalls, und biometrische Echtzeit-Fernidentifizierung fragt der Bogen gar nicht ab.

7. PIA-Software der CNIL

Eine Spedition will die Tourenplanung mit den Standortdaten ihrer Fahrer steuern, und der Datenschutzbeauftragte verlangt eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Dafür nutze ich die freie Software der französischen Datenschutzbehörde für Folgenabschätzungen. Sie führt Schritt für Schritt durch die Folgenabschätzung, Version 4.1.0 erschien am 2. April 2026. Die Risiken bewerten müssen Sie selbst.

Bußgelder richtig einordnen

8. DSGVO-Bußgeld-Datenbank

Für die jährliche Unterweisung der Belegschaft suche ich Fälle, die nach Alltag klingen und nicht nach Konzern. In der durchsuchbaren Sammlung belegter DSGVO-Bußgelder finden sich 101 Fälle seit 2018, 62 davon aus Deutschland (Stand Oktober 2026). Ein hessischer Anbieter von Gastro-Apps bekam zwei Geldbußen zu je 10.000 €, weil fremde Bestellhistorien abrufbar waren. Es war die erste hessische Geldbuße gegen einen Auftragsverarbeiter. Für Beschäftigtenüberwachung nennt die Datenbank neun deutsche Fälle mit einem Median von 46.500 €.

Fälle ohne belegbare Quelle nimmt die Datenbank bewusst nicht auf. Die Angabe „32 neu in den letzten 90 Tagen“ meint neu aufgenommene Fälle, keine neuen Bescheide. Wie andere europäische Behörden und Gerichte entschieden haben, schlage ich im Wiki GDPRhub der Datenschutzorganisation noyb nach.

9. DSGVO-Bußgeldrechner

Bei notebooksbilliger.de setzte ein Gericht statt 10,4 Mio. € nur 900.000 € fest. Den Ausgang eines Verfahrens sagt deshalb kein Rechner voraus. Ein Risikoregister braucht trotzdem eine Größenordnung, sonst bleibt die Spalte „Schadenshöhe“ leer. Dafür nehme ich den Bußgeldrechner, der auf derselben Website wie die Datenbank liegt. Er rechnet nach dem Modell der Datenschutzkonferenz, das formal seit dem 24. Mai 2023 nicht mehr gilt, und macht zur Gegenprobe die Rechnung nach den EDSA-Leitlinien 04/2022. Wählbar sind 16 Umstände nach Art. 83 Abs. 2, etwa eine Selbstmeldung (Faktor 0,85) oder Vorsatz (Faktor 1,3). Diese Faktoren hat der Anbieter selbst festgelegt, und die Seite sagt das auch offen.

Den Plan für 2027 füllen

10. Fristenkalender

Im Herbst entsteht der Datenschutz-Jahresplan für das nächste Jahr. Schon am 2. Dezember 2026 greifen nach der KI-Verordnung neue Verbote, und KI-Inhalte aus bestehenden Systemen müssen gekennzeichnet werden. Ab dem 12. September 2027 gelten die Regeln des Data Act gegen unfaire Datenklauseln auch für Altverträge. Bestandsverträge sollten Sie deshalb vorher durchsehen. Im Zeitstrahl mit belegten Compliance-Fristen bis 2028 stehen 45 Fristen aus 18 Gesetzen (Stand Oktober 2026). Wer nur Fristen für Online-Handel oder KI-Nutzer sehen will, stellt das über „Betrifft mich“ ein, die Auswahl steht dann in der Adresse und lässt sich weitergeben. Die Termine kommen als Kalender-Abo in Outlook.

Einen Termin, der noch als Entwurf markiert ist, trage ich nur mit Bleistift ein. Eine Rechtsberatung für den Einzelfall ersetzt der Kalender nicht.

Womit ich je nach Anlass anfange

• Neuer Mandant mit Sitz in Hamburg: Erst den Steckbrief des HmbBfDI lesen, dann die Website durch Webbkoll schicken.
• Die jährliche Durchsicht der Auftragsverarbeiter steht an: Den Feed des Subprozessor-Monitors abonnieren und neue Programme vor der Freigabe mit dem Prüfstand abgleichen.
• Ein KI-Projekt landet auf Ihrem Tisch: Die Einstufung als Link ins Protokoll übernehmen. Ist eine Folgenabschätzung nötig, die CNIL-Software öffnen.
• Die Geschäftsführung will Zahlen zum Risiko: Mit der Bußgeld-Datenbank vergleichbare Fälle suchen und den Rechner nur als Größenordnung angeben.
• Niemand weiß, wohin Mails weitergeleitet werden: Den Härtungs-Check an die IT geben und den Bericht zur Dokumentation der Maßnahmen nehmen.

Wer weitere Selbsttests sucht, etwa zu NIS2 oder zur E-Mail-Sicherheit, findet sie in der nach Fragen sortierten Übersicht kostenloser Datenschutz-Tools von frag.hugo.