Standard-Datenschutzmodell (SDM)

DATENSCHUTZPRAXIS · GEWÄHRLEISTUNGSZIELE · METHODIK

Das Standard-Datenschutzmodell (SDM)

Vom Datenschutzrecht zu wirksamen technischen und organisatorischen Maßnahmen. Das Standard-Datenschutzmodell hilft dabei, die abstrakten Anforderungen der DSGVO in überprüfbare Schutzmaßnahmen zu übersetzen. Es richtet den Blick dabei konsequent auf die Rechte und Freiheiten betroffener Menschen.

Auf dieser Seite

• Was ist das SDM?
• Rechtlicher Rahmen und Zielsetzung
• Die sieben Gewährleistungsziele
• Daten, Systeme und Prozesse
• Schutzbedarf aus Sicht betroffener Menschen
• Schrittweise Anwendung
• SDM-Maßnahmenkatalog
• SDM und BSI-IT-Grundschutz
• SDM und Datenschutz-Folgenabschätzung
• Praxisbeispiel einer Kommunalverwaltung
• Grenzen der Methode
• Amtliche Quellen

1. Was ist das Standard-Datenschutzmodell?

Das Standard-Datenschutzmodell (SDM) ist eine systematische Methode, mit der Verantwortliche und Aufsichtsbehörden personenbezogene Verarbeitungen beraten, planen und prüfen können. Es verbindet rechtliche Vorgaben mit organisatorischen und technischen Schutzvorkehrungen.

Seine Kernfrage lautet: Was muss eine Verarbeitung leisten, damit die Rechte betroffener Personen im konkreten Verfahren wirksam geschützt werden? Das SDM unterstützt sowohl die Konzeption neuer Verfahren als auch die Überprüfung bestehender Anwendungen während ihres gesamten Lebenszyklus.

2. Rechtlicher Rahmen und Zielsetzung

Ausgangspunkt sind insbesondere die Datenschutzgrundsätze des Art. 5 DSGVO, die Verantwortung und Rechenschaftspflicht nach Art. 24, der Datenschutz durch Technikgestaltung nach Art. 25 sowie die Sicherheit der Verarbeitung nach Art. 32 DSGVO. Auch die Schutzbedarfs- und Risikobetrachtung der Art. 35 und 36 DSGVO kann mit Hilfe des SDM strukturiert werden.

Das SDM begründet keine eigenständigen Verarbeitungserlaubnisse und ersetzt nicht die Prüfung einer Rechtsgrundlage nach Art. 6 beziehungsweise Art. 9 DSGVO. Es hilft vor allem, Anforderungen in geeignete nachweisbare Maßnahmen zu überführen.

3. Die sieben Gewährleistungsziele

Das SDM systematisiert Datenschutzanforderungen anhand von sechs spezifischen Gewährleistungszielen und dem übergreifenden Ziel der Datenminimierung. Gemeinsam bilden sie ein Prüfraster, das über klassische IT-Sicherheit hinausgeht.

Datenminimierung

Nur diejenigen Daten und Verarbeitungsschritte verwenden, die für den festgelegten Zweck erforderlich sind. Das Ziel wirkt übergreifend auf die gesamte Verarbeitung.

Verfügbarkeit

Personenbezogene Daten, Verfahren und Auskunftsmöglichkeiten müssen für berechtigte Zwecke rechtzeitig nutzbar sein; hierzu gehören Wiederherstellung und Ausfallsicherheit.

Integrität

Daten müssen vollständig, richtig und gegen unbefugte oder unbeabsichtigte Veränderung geschützt sein.

Vertraulichkeit

Personenbezogene Informationen dürfen nicht unbefugt zur Kenntnis genommen werden. Rollen, Berechtigungen und Verschlüsselung können dazu beitragen.

Nichtverkettung

Datenbestände und Verarbeitungen sollen nicht unzulässig miteinander verknüpft oder für andere Zwecke zusammengeführt werden. Funktionale Trennung und Zweckbindung sind hier zentral.

Transparenz

Betroffene, Verantwortliche und prüfende Stellen sollen nachvollziehen können, welche Daten wozu, wie und durch wen verarbeitet werden.

Intervenierbarkeit

Betroffenenrechte und zulässige Eingriffe in die Verarbeitung müssen tatsächlich umgesetzt werden können, beispielsweise Berichtigung, Löschung, Einschränkung und Widerspruch.

4. Daten, Systeme und Prozesse

Für die Untersuchung wird eine Verarbeitungstätigkeit in die Komponenten Daten, Systeme und Prozesse gegliedert. Diese Modellierung erleichtert es, Schutzmaßnahmen genau den Stellen zuzuordnen, an denen Risiken entstehen.

• Daten: Kategorien personenbezogener Informationen, Datenflüsse, Speicherorte, Empfänger und Löschfristen.
• Systeme: Anwendungen, Endgeräte, Server, Schnittstellen, Cloud-Dienste und technische Betriebsmittel.
• Prozesse: Fachliche Abläufe, Rollen, Freigaben, Auftragsverarbeitung, Auskunft, Berichtigung und Löschung.

Einzelne Schutzmaßnahmen betreffen häufig mehrere Komponenten. So kann eine Löschregel rechtlich vorgegeben, im Fachprozess organisatorisch umgesetzt und im IT-System technisch automatisiert werden.

5. Schutzbedarf aus Sicht betroffener Menschen

Im Zentrum steht nicht allein ein finanzieller Schaden für die Organisation, sondern die mögliche Beeinträchtigung der Rechte und Freiheiten natürlicher Personen. Dazu gehören beispielsweise Diskriminierung, Identitätsmissbrauch, Kontrollverlust über persönliche Informationen oder Eingriffe in die Privatsphäre.

Das SDM arbeitet mit den Schutzbedarfsstufen normal, hoch und sehr hoch. Maßgeblich sind die Umstände der konkreten Verarbeitung, etwa Sensibilität, Umfang, Verknüpfbarkeit, Zahl der Betroffenen und mögliche Folgen. Ein und dieselbe technische Datenbank kann je nach Verwendungszweck unterschiedliche Risiken verursachen.

6. So wird das SDM angewendet

• 1. Verarbeitung beschreiben: Zwecke, Rechtsgrundlagen, Datenkategorien, Verantwortlichkeiten und Empfänger dokumentieren.
• 2. Komponenten ermitteln: Daten, Systeme und Prozesse sowie ihre Beziehungen modellieren.
• 3. Datenschutzanforderungen ableiten: Gewährleistungsziele auf die konkrete Verarbeitung anwenden.
• 4. Schutzbedarf beurteilen: mögliche Eingriffe und Folgen für betroffene Personen einschätzen.
• 5. Maßnahmen auswählen: passende technische und organisatorische Vorkehrungen ausarbeiten, vorhandene SDM-Bausteine heranziehen.
• 6. Umsetzung prüfen: Zuständigkeiten, Wirksamkeit und Nachweise kontrollieren, Lücken dokumentieren.
• 7. Regelmäßig aktualisieren: bei Änderungen an Verfahren, Risiken, Technik und Rechtslage erneut bewerten.

7. Der SDM-Maßnahmenkatalog

Zusätzlich zum Methodik-Handbuch werden einzelne Maßnahmenbausteine veröffentlicht. Sie unterstützen die praktische Übersetzung der Gewährleistungsziele in organisatorische und technische Anforderungen. Der Katalog wird schrittweise erweitert und ist nicht als vollständig abgeschlossene Gesamtsammlung zu verstehen.

Veröffentlichte Bausteine behandeln unter anderem Aufbewahren, Planen und Spezifizieren, Dokumentieren, Protokollieren, Trennen, Zugriffsregelung, Löschen und Vernichten, Berichtigen sowie Einschränken der Verarbeitung. Der Baustein 43 „Protokollieren“ wurde in Version 2.0 vom 1. Juni 2026 neu veröffentlicht.

Die jeweils gültigen Dokumentstände und Downloadlinks finden sich im amtlichen SDM-Portal der Aufsichtsbehörde Mecklenburg-Vorpommern. Bei einer konkreten Prüfung sollte immer die verwendete Bausteinversion dokumentiert werden.

8. SDM und BSI-IT-Grundschutz

Beide Methoden ergänzen sich, verfolgen aber unterschiedliche Ausgangsperspektiven. Der BSI-IT-Grundschutz betrachtet die Sicherheit von Informationen, Geschäftsprozessen und Institutionen. Das SDM fragt insbesondere danach, wie die Grundrechte von Menschen bei der Verarbeitung personenbezogener Daten geschützt werden.

• BSI-Grundschutz: Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit; Schwerpunkt Informationssicherheitsmanagement.
• SDM: zusätzlich spezifische Datenschutzgewährleistungsziele und Eingriffsrisiken aus der Perspektive betroffener Personen.
• Gemeinsame Praxis: technische Sicherheitsmaßnahmen mehrfach nutzen und datenschutzspezifische Anforderungen ergänzen.

Eine sorgfältige IT-Grundschutz-Umsetzung ersetzt deshalb weder die Feststellung einer datenschutzrechtlichen Rechtsgrundlage noch das Löschkonzept oder die Durchsetzbarkeit von Betroffenenrechten. Umgekehrt ersetzt eine SDM-Bewertung kein vollständiges Informationssicherheitsmanagement.

9. SDM und Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist unter den dort genannten Voraussetzungen erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Das SDM kann helfen, relevante Komponenten und Schutzmaßnahmen strukturiert zu identifizieren und ihre Wirksamkeit zu bewerten.

Das SDM ist aber keine vollständige DSFA: Insbesondere die systematische Beschreibung der Verarbeitung, die Prüfung von Notwendigkeit und Verhältnismäßigkeit, die Risikobeurteilung und deren Dokumentation müssen den Anforderungen des Art. 35 DSGVO genügen.

10. Praxisbeispiel aus einer Kommunalverwaltung

Eine Stadt führt ein digitales Fachverfahren zur Bearbeitung sozialer Leistungen ein. Dabei werden Identitäts-, Einkommens- und gegebenenfalls Gesundheitsinformationen verarbeitet. Eine reine IT-Sicherheitsprüfung könnte vor allem Zugriffsrechte, Backups und Ausfallschutz untersuchen.

Das SDM erweitert die Betrachtung: Sind alle erhobenen Daten erforderlich? Werden Fachbereiche und Zwecke hinreichend getrennt? Lassen sich Auskunft, Berichtigung und Löschung umsetzen? Ist nachvollziehbar, wer wann welche Verfahrensschritte ausgeführt hat, ohne unverhältnismäßige Beschäftigtenüberwachung zu ermöglichen?

11. Grenzen und häufige Missverständnisse

• Das SDM ist eine empfohlene aufsichtsbehördliche Methode und keine zusätzliche Rechtsnorm.
• Die Anwendung allein beweist noch keine DSGVO-Konformität; maßgeblich bleiben Rechtmäßigkeit, konkrete Risiken und tatsächlich wirksame Maßnahmen.
• Gewährleistungsziele sind ein Analyse- und Bewertungsrahmen, keine abschließende Liste unmittelbar umzusetzender Einzelmaßnahmen.
• Nicht jede Verarbeitung benötigt dieselben Maßnahmen. Schutzbedarf und Verhältnismäßigkeit sind konkret zu bestimmen.
• Eine ISO-27001-Zertifizierung ist kein Ersatz für die datenschutzrechtliche Prüfung anhand des SDM.

12. Amtliche Quellen und Arbeitshilfen

• Landesbeauftragter Mecklenburg-Vorpommern – SDM 3.1a und Maßnahmenkatalog – zentrale amtliche Fundstelle mit den aktuellen Dokumentversionen.
• Datenschutzkonferenz – Anwendungshinweise – Veröffentlichungen und Beschlüsse zum SDM.
• Hessischer Datenschutzbeauftragter – Einführung in das SDM – Erläuterung zur Methodik und zum Lebenszyklus.
• Landesbeauftragter Niedersachsen – SDM – Überblick über Gewährleistungsziele und Schutzbedarfsstufen.
• Stiftung Datenschutz – Arbeitshilfe zum SDM – ergänzende, auf eine ältere SDM-Fassung bezogene Praxishilfe.
• NoDSB – BSI-IT-Grundschutz – ergänzende Informationen zur Informationssicherheit.

Stand der redaktionellen Bearbeitung: November 2026. Die aufgeführten SDM-Dokumente können fortgeschrieben werden; verbindlich für die konkrete Bewertung bleibt die jeweils einschlägige Fassung der DSGVO.