DSGVO: Datenschutzanforderungen in der betrieblichen IT-Praxis

Die Datenschutz-Grundverordnung regelt seit Mai 2018 europaweit, unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen. Für die IT eines mittelständischen Unternehmens übersetzt sich das in überprüfbare technische und organisatorische Anforderungen. Dieser Beitrag ordnet diese Anforderungen sachlich ein und ersetzt keine Rechtsberatung; für die rechtliche Bewertung Ihres Einzelfalls ziehen Sie bitte eine dafür qualifizierte Stelle hinzu.

Was die Verordnung im Kern verlangt

Personenbezogene Daten sind alle Angaben, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das umfasst weit mehr als Kundendaten: Beschäftigtendaten, Bewerbungsunterlagen, Zugriffsprotokolle, IP-Adressen und Videoaufzeichnungen fallen ebenso darunter. Jede Verarbeitung benötigt eine Rechtsgrundlage nach Artikel 6, etwa Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse oder Einwilligung.

Daneben stehen die Grundsätze aus Artikel 5: Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Der letzte Punkt ist für die Praxis besonders folgenreich, denn er verlangt, die Einhaltung nicht nur herzustellen, sondern auch nachweisen zu können.

Relevanz für den betrieblichen Alltag

Für ein Unternehmen mit 10 bis 250 Beschäftigten entstehen daraus regelmäßig wiederkehrende Aufgaben. Betroffene können Auskunft über die zu ihnen gespeicherten Daten verlangen, deren Berichtigung oder Löschung fordern. Diese Anfragen sind fristgebunden zu beantworten, was voraussetzt, dass überhaupt bekannt ist, in welchen Systemen welche Daten liegen.

Ebenso praxisrelevant ist die Meldepflicht: Verletzungen des Schutzes personenbezogener Daten sind der zuständigen Aufsichtsbehörde grundsätzlich binnen 72 Stunden zu melden, sofern ein Risiko für die Betroffenen besteht. Diese Frist ist ohne vorbereitete Abläufe, klare Zuständigkeiten und auswertbare Protokolldaten kaum einzuhalten.

Technische und organisatorische Maßnahmen

Artikel 32 verlangt Maßnahmen, die dem Risiko angemessen sind, und nennt dabei ausdrücklich Verschlüsselung, Pseudonymisierung, Belastbarkeit der Systeme sowie die Fähigkeit, Verfügbarkeit nach einem Zwischenfall rasch wiederherzustellen. In der Umsetzung bedeutet das:

• Zugriffsrechte nach Aufgabe vergeben und regelmäßig überprüfen, statt Berechtigungen nur zu ergänzen
• Verschlüsselung mobiler Datenträger und Notebooks, um Verlustfälle zu entschärfen
• Protokollierung administrativer Zugriffe mit definierter Aufbewahrungsdauer
• Getestete Datensicherung, da Verfügbarkeit ausdrücklich Teil der Anforderung ist
• Löschkonzept mit Fristen je Datenart, abgestimmt mit handels- und steuerrechtlichen Aufbewahrungspflichten

Hinzu kommt das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 sowie der Auftragsverarbeitungsvertrag nach Artikel 28 für jeden Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet. Das betrifft ausdrücklich auch IT-Dienstleister mit Fernwartungszugang und Cloud-Anbieter.

Typische Fehler

Der häufigste Fehler ist die Behandlung des Themas als einmaliges Projekt. Datenschutz ist an Prozesse gebunden, die sich ändern: neue Software, neue Schnittstellen, neue Dienstleister. Ohne Anbindung an Beschaffung und Personalprozesse veraltet die Dokumentation innerhalb weniger Monate.

• Schattensysteme in Fachabteilungen, die im Verarbeitungsverzeichnis nicht auftauchen
• Historisch gewachsene Freigaben auf Dateiservern, die faktisch allen Zugriff gewähren
• Fehlender Prozess für den Austritt von Beschäftigten, sodass Konten und Zugriffe bestehen bleiben
• Löschfristen dokumentiert, aber technisch nie umgesetzt
• Einwilligungen ohne belastbaren Nachweis der Erteilung

Realistisch betrachtet lässt sich vollständige Regelkonformität selten dauerhaft belegen. Erreichbar und nachweisbar ist jedoch ein strukturierter Zustand: dokumentierte Verarbeitungen, begründete Maßnahmen, geregelte Zuständigkeiten und geübte Abläufe für Auskunft, Löschung und Meldung. Genau das ist es, was im Prüfungs- oder Schadensfall zählt.

• Rechenschaftspflicht bedeutet: Einhaltung muss dokumentiert und nachweisbar sein
• Verarbeitungsverzeichnis und Auftragsverarbeitungsverträge sind Pflichtbestandteile, auch gegenüber IT-Dienstleistern
• Verfügbarkeit und Wiederherstellbarkeit sind ausdrücklich Teil der Sicherheitsanforderungen
• Die 72-Stunden-Meldefrist setzt vorbereitete Abläufe und auswertbare Protokolle voraus
• Datenschutz ist ein laufender Prozess und an Beschaffung sowie Personalabläufe zu koppeln