Datenschutz, der technisch tatsächlich umgesetzt ist

DSGVO-Konformität hat eine rechtliche und eine technische Seite. Die rechtliche Seite umfasst die Prüfung von Rechtsgrundlagen, die Bewertung von Verarbeitungszwecken, die Formulierung von Einwilligungen und Datenschutzhinweisen sowie die Entscheidung, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Diese Fragen beantwortet Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung – nicht wir.

Unsere Leistung ist die technisch-organisatorische Umsetzung: Wir sorgen dafür, dass die Maßnahmen, die Ihre Dokumentation beschreibt, in der Infrastruktur auch tatsächlich existieren, wirksam sind und nachgewiesen werden können. Diese Abgrenzung nehmen wir ernst, weil pauschale Versprechen von 'DSGVO-Konformität' aus IT-Hand weder seriös noch belastbar sind.

In der Zusammenarbeit heißt das konkret: Ihr Datenschutzbeauftragter definiert die Anforderung, wir setzen sie um und liefern die technische Beschreibung zurück, die er für seine Dokumentation braucht. Wo uns Anforderungen technisch nicht umsetzbar erscheinen, sagen wir das – und schlagen Alternativen vor.

Die DSGVO fordert Maßnahmen, die dem Risiko angemessen sind, und nennt dabei Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit als Schutzziele. Was das im Einzelfall bedeutet, hängt von der Art der verarbeiteten Daten ab: Ein Ingenieurbüro mit Kundenkontaktdaten hat ein anderes Schutzniveau zu erreichen als eine Praxis mit Gesundheitsdaten.

Wir arbeiten die Maßnahmen entlang dieser Schutzziele ab und orientieren uns dabei an der Struktur des BSI-Grundschutzes. Für jede Maßnahme halten wir fest, welches System sie betrifft, wie sie konfiguriert ist und wie ihre Wirksamkeit überprüft wird. Diese Dokumentation ist der eigentliche Wert: Ohne sie lässt sich im Prüfungsfall nicht belegen, dass eine Maßnahme nicht nur existiert, sondern auch greift.

Die häufigste Schwachstelle im praktischen Datenschutz ist banal: zu viele Menschen sehen zu viele Daten. Über die Jahre werden Freigaben erteilt und nie zurückgenommen, Mitarbeitende wechseln die Abteilung und behalten alte Rechte, Praktikanten erhalten Vollzugriff auf ein Laufwerk, weil die passende Gruppe fehlt.

Wir bereinigen diese Situation systematisch. Zunächst erfassen wir, welche Ablagen und Fachanwendungen personenbezogene Daten enthalten und wer heute tatsächlich Zugriff hat. Darauf bauen wir ein Rollenmodell auf, das sich an Funktionen orientiert statt an Einzelpersonen – so bleibt es auch bei Personalwechseln beherrschbar.

Damit der bereinigte Zustand hält, verankern wir wiederkehrende Reviews: Berechtigungen werden regelmäßig gegen den Personalstand geprüft, Konten ausgeschiedener Mitarbeitender werden nach einem festgelegten Ablauf deaktiviert und später entfernt.

Löschen ist technisch anspruchsvoller, als es klingt. Personenbezogene Daten liegen selten an einer Stelle: Sie stehen in der Fachanwendung, im Dateiserver, im Postfach, im Backup und häufig zusätzlich in einer alten Exportdatei auf einem Laufwerk, das niemand mehr im Blick hat. Ein Löschkonzept muss all diese Orte kennen, sonst bleibt es Theorie.

Wir erstellen deshalb zunächst eine Übersicht der Speicherorte je Datenkategorie. Die Aufbewahrungsdauer selbst wird nicht von uns festgelegt – sie ergibt sich aus rechtlichen Vorgaben und der Bewertung Ihres Datenschutzbeauftragten. Was wir liefern, ist die technische Umsetzung: Retention-Richtlinien in Microsoft 365, Archivierungsregeln, automatisierte Bereinigungen und dokumentierte manuelle Abläufe dort, wo Automatisierung nicht möglich ist.

Für Auskunfts- und Löschersuchen bereiten wir vor, dass die relevanten Datenbestände überhaupt auffindbar sind. Ohne diese Vorarbeit wird jedes Betroffenenersuchen zur aufwendigen Suchaktion mit ungewissem Ergebnis.

Fast jedes Unternehmen gibt personenbezogene Daten an Dritte weiter – an den Cloud-Anbieter, das Lohnbüro, den Newsletter-Dienst oder an uns als IT-Dienstleister. Für diese Konstellationen sieht die DSGVO Verträge zur Auftragsverarbeitung vor. Deren Abschluss und rechtliche Prüfung liegt bei Ihnen und Ihrer Beratung.

Wir tragen die technische Seite bei: eine belastbare Übersicht, welche IT-Dienste tatsächlich im Einsatz sind, wo deren Daten liegen und welche Schnittstellen bestehen. Erfahrungsgemäß fördert allein diese Bestandsaufnahme Dienste zutage, die einzelne Abteilungen ohne Abstimmung eingeführt haben und die in keiner Dokumentation auftauchen.

Für DESATIV selbst gilt dasselbe: Wo wir im Rahmen der Betreuung Zugriff auf Systeme mit personenbezogenen Daten haben, schließen wir eine Vereinbarung zur Auftragsverarbeitung ab und dokumentieren unsere eigenen Zugriffe nachvollziehbar.

Im Ernstfall entscheidet die Protokollierung darüber, ob Sie überhaupt beurteilen können, was passiert ist. Wurde auf personenbezogene Daten zugegriffen? Von welchem Konto aus? Wurden Daten kopiert oder nur eingesehen? Ohne auswertbare Protokolle bleiben diese Fragen offen – und eine Meldung an die Aufsichtsbehörde muss dann mit erheblichen Unsicherheiten formuliert werden.

Wir richten deshalb eine zweckmäßige Protokollierung ein: sicherheitsrelevante Ereignisse werden zentral gesammelt, vor Manipulation geschützt aufbewahrt und über Schwellwerte automatisch ausgewertet. Für größere Umgebungen setzen wir dafür eine SIEM-Lösung ein, für kleinere genügt eine schlanke zentrale Logsammlung mit definierten Alarmen.

Die Protokollierung selbst verarbeitet personenbezogene Daten und ist deshalb ihrerseits zu begrenzen. Wir stimmen Umfang und Aufbewahrungsdauer der Protokolle mit Ihrem Datenschutzbeauftragten ab, statt vorsorglich alles über Jahre zu speichern.

Datenschutz und Informationssicherheit überschneiden sich stark, sind aber nicht dasselbe. Die DSGVO schützt personenbezogene Daten, NIS2 zielt auf die Widerstandsfähigkeit bestimmter Unternehmen und Lieferketten, ISO 27001 und der BSI-Grundschutz beschreiben Managementsysteme für Informationssicherheit insgesamt.

Für die Praxis bedeutet das: Ein sauber umgesetztes Berechtigungskonzept, geprüfte Backups und eine belastbare Protokollierung zahlen auf alle vier Anforderungen gleichzeitig ein. Wir strukturieren Ihre Maßnahmen deshalb so, dass sie sich mehrfach verwenden lassen, statt für jedes Regelwerk eine eigene Dokumentation zu führen.

Ob und in welchem Umfang NIS2 für Sie gilt, ist eine rechtliche Frage, die Sie prüfen lassen sollten. Technisch bereiten wir Sie darauf vor, dass die geforderten Nachweise vorhanden sind, wenn sie verlangt werden.