Fast jede Tätigkeit im Unternehmen hat mit personenbezogenen Daten zu tun: E-Mails, Kundendaten im Warenwirtschaftssystem, Bewerbungen, Personalakten oder Dateien in der Cloud. Die Datenschutz-Grundverordnung (DSGVO) verlangt, dass diese Daten angemessen geschützt werden. Ein großer Teil dieses Schutzes ist Aufgabe der IT. In diesem Beitrag erklären wir, was die DSGVO von Ihrer IT verlangt und wie Sie die Anforderungen praktisch umsetzen.
Was sind personenbezogene Daten?
Personenbezogene Daten sind alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen. Dazu gehören nicht nur Name, Anschrift und Telefonnummer, sondern auch E-Mail-Adressen, IP-Adressen, Personalnummern, Bankdaten oder Fotos. Besonders geschützt sind Gesundheitsdaten, biometrische Daten und Angaben zu Religion oder Gewerkschaftszugehörigkeit.
Die Grundsätze der DSGVO
- Rechtmäßigkeit und Transparenz: Daten dürfen nur mit einer Rechtsgrundlage verarbeitet werden, und Betroffene müssen erfahren, was mit ihren Daten geschieht.
- Zweckbindung: Daten dürfen nur für den Zweck genutzt werden, für den sie erhoben wurden.
- Datenminimierung: Es werden nur die Daten erhoben, die wirklich nötig sind.
- Richtigkeit: Daten müssen aktuell gehalten werden.
- Speicherbegrenzung: Daten werden gelöscht, sobald sie nicht mehr gebraucht werden und keine Aufbewahrungspflicht besteht.
- Integrität und Vertraulichkeit: Daten müssen vor unbefugtem Zugriff, Verlust und Beschädigung geschützt sein.
- Rechenschaftspflicht: Das Unternehmen muss nachweisen können, dass es diese Grundsätze einhält.
Vor allem die Grundsätze Integrität, Vertraulichkeit und Speicherbegrenzung lassen sich nur mit der richtigen IT umsetzen.
Technische und organisatorische Maßnahmen (TOM)
Die DSGVO schreibt vor, dass Unternehmen geeignete technische und organisatorische Maßnahmen treffen, um personenbezogene Daten zu schützen. Welche Maßnahmen angemessen sind, hängt vom Risiko ab – ein Pflegedienst mit Gesundheitsdaten braucht mehr Schutz als ein Handwerksbetrieb mit einer Kundenkartei. Die wichtigsten Bausteine:
Zugriffsrechte
Jeder Mitarbeiter erhält nur Zugriff auf die Daten, die er für seine Arbeit braucht. Administratorrechte haben nur die Personen, die sie tatsächlich benötigen. Beim Ausscheiden werden Zugänge sofort gesperrt.
Sichere Anmeldung
Starke Passwörter und Multi-Faktor-Anmeldung für alle wichtigen Systeme, vor allem für E-Mail und Cloud-Dienste. Ein Passwort-Manager hilft, ohne Notizzettel am Bildschirm auszukommen.
Verschlüsselung
Notebooks, Smartphones und Datenträger werden verschlüsselt, damit ein verlorenes Gerät keine Datenpanne auslöst. Verbindungen nach außen laufen verschlüsselt, vertrauliche E-Mails ebenfalls. Mehr zur Verwaltung mobiler Geräte lesen Sie in unserem Beitrag zum Mobile Device Management.
Schutz vor Schadsoftware und Angriffen
Aktueller Virenschutz, eine Firewall, E-Mail-Filter und regelmäßige Sicherheitsupdates. Updates sind dabei kein Nebenthema: Bekannte, aber ungepatchte Lücken gehören zu den häufigsten Einfallstoren. Mehr dazu in unserem Beitrag zum Patch- und Updatemanagement.
Datensicherung und Wiederherstellung
Die DSGVO verlangt, dass Daten nach einem Zwischenfall rasch wiederhergestellt werden können. Das setzt regelmäßige, geprüfte Backups voraus. Mehr dazu in unserem Beitrag zum 3-2-1-Datensicherungskonzept.
Protokollierung
Wichtige Zugriffe und Änderungen werden protokolliert, damit sich im Ernstfall nachvollziehen lässt, wer wann auf welche Daten zugegriffen hat.
Löschkonzept
Daten werden nicht unbegrenzt gespeichert. Ein Löschkonzept legt fest, wann welche Daten gelöscht werden – unter Berücksichtigung gesetzlicher Aufbewahrungsfristen. Alte Datenträger werden sicher vernichtet.
Schulung der Mitarbeiter
Die beste Technik hilft wenig, wenn eine E-Mail mit Kundendaten an den falschen Empfänger geht oder ein Phishing-Link angeklickt wird. Regelmäßige Schulungen sind deshalb Teil der organisatorischen Maßnahmen. Mehr dazu in unserem Beitrag Mitarbeiter als IT-Sicherheitsrisiko.
Datenschutz von Anfang an: Privacy by Design
Die DSGVO verlangt, dass Datenschutz schon bei der Auswahl und Einrichtung von Systemen berücksichtigt wird – nicht erst nachträglich. Neue Software wird so eingestellt, dass sie standardmäßig nur die nötigen Daten verarbeitet und nur berechtigte Personen Zugriff haben. Bei Verarbeitungen mit hohem Risiko ist vorab eine Datenschutz-Folgenabschätzung nötig. Was dabei zu beachten ist, lesen Sie in unserem Beitrag Was ist eine Datenschutz-Folgenabschätzung?
Dokumentation: das Verzeichnis von Verarbeitungstätigkeiten
Unternehmen müssen dokumentieren, welche personenbezogenen Daten sie zu welchem Zweck verarbeiten, wer Zugriff hat, an wen Daten weitergegeben werden und wie lange sie gespeichert werden. Dieses Verzeichnis ist das Erste, was eine Aufsichtsbehörde bei einer Prüfung sehen möchte. Die IT liefert dafür einen wichtigen Teil: eine aktuelle Übersicht über Systeme, Speicherorte und Schutzmaßnahmen.
IT-Dienstleister und Cloud-Anbieter
Vertrag zur Auftragsverarbeitung
Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag – etwa ein IT-Systemhaus, ein Cloud-Anbieter oder ein Newsletter-Dienst –, brauchen Sie einen Vertrag zur Auftragsverarbeitung. Die Verantwortung für den Datenschutz bleibt trotzdem bei Ihrem Unternehmen.
Datenübermittlung in die USA
Viele Cloud-Dienste stammen von US-Anbietern. Seit Juli 2023 gilt dafür das EU-US Data Privacy Framework: Übermittlungen an US-Unternehmen, die nach diesem Rahmen zertifiziert sind, sind ohne zusätzliche Garantien zulässig. Das Gericht der Europäischen Union hat das Abkommen im September 2025 bestätigt; gegen das Urteil wurde Berufung beim Europäischen Gerichtshof eingelegt. Prüfen Sie deshalb regelmäßig, ob Ihre US-Dienstleister zertifiziert sind, und behalten Sie die weitere Entwicklung im Blick.
Wenn doch etwas passiert: Datenpannen melden
Ein verlorenes Notebook, eine E-Mail an den falschen Empfänger oder ein Hackerangriff – kommt es zu einer Verletzung des Schutzes personenbezogener Daten, muss das Unternehmen sie in der Regel innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde melden. Besteht ein hohes Risiko für die Betroffenen, müssen auch diese informiert werden.
Damit die Frist im Ernstfall eingehalten wird, sollte vorher feststehen, wer einen Vorfall bewertet und meldet. Eine IT-Notfallkarte sorgt dafür, dass Vorfälle schnell intern gemeldet werden. Ist ein Gerät verschlüsselt und kann aus der Ferne gelöscht werden, sinkt das Risiko erheblich.
Braucht mein Unternehmen einen Datenschutzbeauftragten?
In Deutschland ist ein Datenschutzbeauftragter derzeit Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Größe besteht die Pflicht zudem, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder besonders sensible Daten im großen Umfang verarbeitet werden.
Die Bundesregierung hat angekündigt, die deutsche 20-Personen-Regel abzuschaffen und bis Ende 2026 einen entsprechenden Gesetzentwurf einzubringen. Bis eine Änderung in Kraft tritt, gilt die bisherige Regel. Auch ohne Datenschutzbeauftragten müssen alle Pflichten der DSGVO eingehalten werden.
Wichtig: Der IT-Leiter oder IT-Dienstleister sollte nicht gleichzeitig Datenschutzbeauftragter sein, da er sich sonst selbst kontrollieren müsste.
Bußgelder
Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden. In der Praxis orientieren sich die Behörden an Schwere, Dauer und Verschulden. Wer nachweisen kann, dass er angemessene Maßnahmen getroffen hat, steht deutlich besser da.
Prüfen Sie Ihren Stand
Ob Ihr Unternehmen die wichtigsten Anforderungen erfüllt, können Sie mit unserer DSGVO-Checkliste prüfen. Eine technische Bestandsaufnahme Ihrer Systeme liefert eine IT-Infrastrukturanalyse.
DSGVO-konforme IT mit masedo
Die masedo IT-Systemhaus GmbH unterstützt Unternehmen in Dortmund und im Ruhrgebiet bei der technischen Umsetzung der DSGVO: Zugriffsrechte, Verschlüsselung, Multi-Faktor-Anmeldung, Datensicherung, E-Mail-Archivierung und Schulungen. Unsere eigenen Systeme betreiben wir ausschließlich in deutschen Rechenzentren, und mit jedem Kunden schließen wir einen Vertrag zur Auftragsverarbeitung. Die rechtliche Beratung und die Aufgaben des Datenschutzbeauftragten übernehmen wir nicht – hier arbeiten wir mit Ihrem Datenschutzbeauftragten zusammen.
Häufige Fragen zu IT und DSGVO
Was bedeutet DSGVO-konforme IT?
Dass personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen geschützt sind – etwa durch Zugriffsrechte, Verschlüsselung, Updates, Backups und geschulte Mitarbeiter – und dass diese Maßnahmen dokumentiert sind.
Wer ist für den Datenschutz verantwortlich?
Immer das Unternehmen selbst, vertreten durch die Geschäftsführung. Dienstleister und Datenschutzbeauftragte unterstützen, die Verantwortung bleibt beim Unternehmen.
Darf ich Microsoft 365 DSGVO-konform nutzen?
Ja, mit der richtigen Einrichtung. Dazu gehören ein Vertrag zur Auftragsverarbeitung, passende Datenschutzeinstellungen und eine saubere Rechtevergabe. Mehr dazu in unserem Beitrag Microsoft 365 für KMU.
Ist ein verlorenes Notebook eine Datenpanne?
Wenn darauf personenbezogene Daten gespeichert sind, in der Regel ja. Ist das Gerät verschlüsselt, ist das Risiko für die Betroffenen meist gering. Die Bewertung sollte trotzdem dokumentiert werden.
Wie schnell muss ich eine Datenpanne melden?
In der Regel innerhalb von 72 Stunden, nachdem Sie davon erfahren haben, bei der zuständigen Datenschutzaufsichtsbehörde.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für die rechtliche Beurteilung Ihres Einzelfalls wenden Sie sich an Ihren Datenschutzbeauftragten oder einen Rechtsanwalt.
