Datenschutz scheitert im Mittelstand selten am guten Willen. Er scheitert an einer Lücke: Der Datenschutzbeauftragte schreibt auf, was gelten soll. Die IT baut, was gebraucht wird. Und dazwischen redet niemand miteinander. Das Ergebnis sind Verzeichnisse, die die Realität nicht abbilden, und Systeme, die niemand auf ihre Rechtmäßigkeit geprüft hat.
Wer überhaupt einen Datenschutzbeauftragten braucht
In Deutschland gilt: Sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, muss ein Datenschutzbeauftragter benannt werden. Unabhängig von der Zahl gilt die Pflicht auch, wenn umfangreich besondere Kategorien von Daten verarbeitet werden – etwa Gesundheitsdaten – oder wenn eine Datenschutz-Folgenabschätzung erforderlich ist.
Und „automatisierte Verarbeitung“ heißt schlicht: am Rechner. Wer im Vertrieb ein CRM pflegt, in der Buchhaltung Lohndaten erfasst oder im Service Kundenakten führt, zählt mit.
Warum Papier allein nichts schützt
Die Datenschutz-Grundverordnung verlangt in Artikel 32 technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Genannt werden ausdrücklich Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme – sowie die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen.
Das sind keine juristischen Formulierungen. Das sind IT-Aufgaben. Ein Datenschutzbeauftragter kann fordern, dass Daten verschlüsselt übertragen werden – ob das im Mailserver tatsächlich erzwungen wird, weiß nur die IT. Umgekehrt kann die IT ein sauberes Berechtigungskonzept bauen – ob es zum Verarbeitungsverzeichnis passt, weiß nur der Datenschutzbeauftragte.
Die typischen Lücken zwischen beiden Welten
Das Verarbeitungsverzeichnis kennt die halbe IT nicht
Es entsteht im Gespräch mit den Fachabteilungen – und die nennen die Programme, die sie bewusst benutzen. Das Ticketsystem, das Monitoring, das Backup, die Fernwartung, das Telefonanlagen-Protokoll: alles voller personenbezogener Daten, alles selten im Verzeichnis.
Auftragsverarbeitungsverträge ohne Bezug zur Realität
Verträge werden geschlossen, aber niemand gleicht ab, welche Dienstleister tatsächlich Zugriff haben. Der neue Cloud-Dienst, den eine Abteilung im Selbstbedienungsverfahren gebucht hat, taucht in keiner Akte auf.
Löschfristen, die technisch nicht existieren
Im Löschkonzept steht ein Zeitraum. Im System löscht niemand. Backups laufen ohnehin weiter – und ein Backup, das alte Daten unbegrenzt aufhebt, macht jedes Löschkonzept zur Fiktion.
Die 72-Stunden-Meldefrist
Bei einer Datenschutzverletzung bleiben 72 Stunden für die Meldung an die Aufsichtsbehörde. In dieser Zeit muss geklärt sein, was passiert ist, welche Daten betroffen sind und wie viele Personen. Ohne Protokolle, ohne Monitoring und ohne einen IT-Partner, der sofort reagiert, ist diese Frist nicht zu halten. Die Erfahrung zeigt: Wer erst im Ernstfall Telefonnummern sucht, hat die Frist schon verloren.
Wie die Zusammenarbeit funktioniert
Aus unserer Praxis funktionieren vier Dinge zuverlässig:
- Gemeinsame Bestandsaufnahme. Das Verarbeitungsverzeichnis entsteht nicht nur aus Interviews, sondern auch aus der Systemliste der IT. Beides gegeneinander gelegt, ergibt zum ersten Mal ein vollständiges Bild.
- Maßnahmen mit Verantwortlichem und Termin. Jede Anforderung bekommt einen Namen und ein Datum. „Sollte verschlüsselt werden“ ist keine Maßnahme.
- Ein fester Termin, mindestens quartalsweise. Datenschutzbeauftragter, IT und Geschäftsführung an einem Tisch. Neue Systeme, offene Punkte, Vorfälle.
- Ein eingeübter Notfallweg. Wer ruft wen an, wer entscheidet, wer meldet? Einmal durchgespielt, bevor es ernst wird.
Genau dafür arbeiten wir zusammen
BES Systemhaus und CMD Datenschutz gehören beide zur L&S Unternehmensgruppe und sitzen in Schwabach, Nürnberg und Weißenburg. Für Sie heißt das: Datenschutz und IT kommen nicht aus zwei Welten, die sich erst kennenlernen müssen.
- CMD übernimmt die Rolle des externen Datenschutzbeauftragten, führt das Datenschutz-Audit vor Ort durch, erstellt den Maßnahmenkatalog, schult Ihr Team und berät zu Informationssicherheit, ISMS-Aufbau und NIS2.
- BES setzt die technischen Maßnahmen um und betreibt sie: Berechtigungen, Verschlüsselung, Protokollierung, Backup und Wiederherstellung, Überwachung und Absicherung.
Der praktische Unterschied zeigt sich im Alltag: keine Maßnahme, die technisch nicht umsetzbar ist. Kein System, das ohne datenschutzrechtliche Prüfung in Betrieb geht. Und im Ernstfall ein Team, das sich kennt.
Der erste Schritt
Wenn Sie nicht sicher sind, wo Ihr Unternehmen steht, beginnen wir mit einer gemeinsamen Bestandsaufnahme aus beiden Blickwinkeln. Am Ende steht kein Ordner, sondern eine Liste mit Prioritäten – und dem, was davon in den nächsten drei Monaten wirklich passieren sollte.
