Datenschutz und Informationssicherheit – organisatorisch von CMD, technisch von BES

Warum Datenschutz und IT nicht zu trennen sind

Fast jede Datenschutzpflicht endet in einer technischen Einstellung. Das Verarbeitungsverzeichnis fragt, wo welche Daten liegen – die Antwort steht in Ihrer Microsoft-365-Struktur und auf Ihren Servern. Die „technischen und organisatorischen Maßnahmen“ nach Art. 32 DSGVO sind Berechtigungen, Verschlüsselung, Protokollierung, Backup und Mehr-Faktor-Anmeldung. Die Löschfristen brauchen eine Archivierung, die löschen kann. Und die Meldung einer Datenpanne binnen 72 Stunden setzt voraus, dass jemand überhaupt gemerkt hat, dass etwas passiert ist.

Genau an dieser Stelle geht in der Praxis Zeit verloren: Der Datenschutzbeauftragte schreibt ein Konzept, der IT-Dienstleister kennt es nicht, und beim nächsten Audit fällt auf, dass das Papier und die Realität auseinanderlaufen. Wir haben diese Lücke in der Gruppe geschlossen.

Wer macht was – klar aufgeteilt

Sie bekommen für jedes Thema einen Spezialisten, aber ein gemeinsames Ergebnis. Beide Häuser gehören zur L&S Unternehmensgruppe und arbeiten mit denselben Unterlagen.

Kurz: CMD sagt, was gelten muss. BES sorgt dafür, dass es auch so eingestellt ist.

Was CMD Datenschutz & Compliance für BES-Kunden übernimmt

• Datenschutz-Audit und Analyse. Bestandsaufnahme der Prozesse, Abgleich mit der DSGVO, daraus ein Maßnahmenkatalog mit Prioritäten statt einer Mängelliste ohne Reihenfolge.
• Externer Datenschutzbeauftragter. Benennung, laufende Betreuung, Ansprechpartner für Behörden und Betroffenenanfragen, jährlicher Bericht an die Geschäftsführung. Für viele Betriebe ab 20 Beschäftigten, die personenbezogene Daten verarbeiten, ist die Benennung Pflicht.
• Individuelle Datenschutzschulungen. Auf die Branche zugeschnitten – Produktion, Handel, Kanzlei, Praxis oder Kommune –, für Sachbearbeitung und Führungsebene getrennt.
• Informationssicherheit und NIS2. Externer Informationssicherheitsbeauftragter (ISB), Aufbau eines ISMS und Begleitung der NIS2-Anforderungen – die organisatorische Hälfte dessen, was wir technisch umsetzen.
• Hilfe im Ernstfall. Unterstützung bei Datenschutzverletzungen, Fristen und Meldungen; bei rechtlichen Fragen über ein Netzwerk spezialisierter Kanzleien.

CMD sitzt an denselben drei Standorten wie wir: Schwabach, Nürnberg und Weißenburg. Termine finden dort statt, wo auch Ihre IT betreut wird. Mehr zum Leistungsumfang steht auf cmd-datenschutz.de.

Was das für Sie als BES-Kunde praktisch bedeutet

1. Sie erklären Ihre IT nur einmal. Wir kennen Ihre Systeme bereits – das Verarbeitungsverzeichnis entsteht aus unserer Dokumentation und nicht aus einem Fragebogen, den Sie ausfüllen müssen.
2. Die Unterlagen passen zur Realität. Was im TOM-Dokument steht, ist in der Firewall, in Microsoft 365 und im Backup tatsächlich so eingestellt. Ändert sich etwas im Betrieb, weiß der Datenschutz davon.
3. Sie haben eine Eskalation statt zwei. Bei einem Vorfall arbeiten Technik und Datenschutz mit denselben Informationen – während der 72-Stunden-Frist ist das der entscheidende Unterschied.
4. Nachweise doppelt verwertbar. Dieselbe Dokumentation trägt DSGVO, Cyber-Versicherung, Kundenaudits und – wenn Sie betroffen sind – NIS2.

Typische Anlässe, bei denen Kunden auf uns zukommen

• Ein Kunde oder Auftraggeber verlangt einen Nachweis über Datenschutz und Informationssicherheit
• Die Cyber-Versicherung fragt im Antrag nach TOM, Backup-Konzept und Schulungen
• Es gab einen Vorfall – verlorenes Notebook, falsch adressierte E-Mail, Verschlüsselungstrojaner
• Der bisherige Datenschutzbeauftragte hört auf oder die Betreuung ist eingeschlafen
• Neue Systeme stehen an: Zeiterfassung, Bewerbermanagement, Videoüberwachung, KI-Werkzeuge
• Eine Betroffenenanfrage oder eine Anfrage der Aufsichtsbehörde liegt auf dem Tisch

So starten wir

1. Erstgespräch, 30 Minuten. Wir klären, ob ein Datenschutzbeauftragter Pflicht ist, was bereits vorhanden ist und wo es drückt. Kostenlos und unverbindlich.
2. Bestandsaufnahme. CMD sichtet die Organisation, wir steuern die technische Sicht bei – Systeme, Zugriffe, Dienstleister, Backup.
3. Maßnahmenkatalog. Eine Liste mit Priorität, Aufwand und Zuständigkeit: Was macht CMD, was machen wir, was bleibt bei Ihnen.
4. Umsetzung und Betreuung. Die technischen Punkte laufen über Ihre bestehende Betreuung, die organisatorischen über die laufende DSB-Betreuung. Beides wird fortgeschrieben, nicht einmalig abgelegt.

Häufige Fragen