Die DSGVO verpflichtet Unternehmen jeder Größe zum verantwortungsvollen Umgang mit personenbezogenen Daten — von der Erhebung über die Verarbeitung bis zur Löschung.
Grundlagen & Pflichten
Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union und des Europäischen Wirtschaftsraums. Sie ersetzt die frühere EU-Datenschutzrichtlinie 95/46/EG und schafft einen einheitlichen Rechtsrahmen für die Verarbeitung personenbezogener Daten. Jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet — unabhängig davon, ob sie ihren Sitz innerhalb oder außerhalb der EU hat — fällt unter den Anwendungsbereich der Verordnung. Für den deutschen Mittelstand bedeutet dies: Sobald Kundendaten, Mitarbeiterdaten oder Lieferantendaten erhoben, gespeichert oder weitergegeben werden, greifen die Pflichten der DSGVO. Die Einhaltung wird durch die jeweiligen Landesdatenschutzbehörden überwacht, die bei Verstößen empfindliche Bußgelder verhängen können.
Das Fundament der DSGVO bilden sieben Grundsätze, die in Artikel 5 verankert sind und jede Datenverarbeitung leiten müssen. Diese Grundsätze sind nicht abstrakt — sie haben direkte Auswirkungen auf den Unternehmensalltag. Der Grundsatz der Zweckbindung beispielsweise verbietet es, Kundendaten, die für die Vertragsabwicklung erhoben wurden, ohne Weiteres für Marketingzwecke zu nutzen. Die Datenminimierung verlangt, dass nur die Daten erhoben werden, die für den jeweiligen Zweck tatsächlich erforderlich sind. Der Grundsatz der Rechenschaftspflicht (Accountability) verpflichtet Unternehmen, die Einhaltung aller Grundsätze aktiv nachweisen zu können — was eine lückenlose Dokumentation voraussetzt.
Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage nach Artikel 6 DSGVO. Die für KMU wichtigsten Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b), die Einwilligung (Art. 6 Abs. 1 lit. a), das berechtigte Interesse (Art. 6 Abs. 1 lit. f) und die rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c). Darüber hinaus müssen Unternehmen ein Verzeichnis aller Verarbeitungstätigkeiten (Art. 30 DSGVO) führen, das sämtliche Prozesse dokumentiert, bei denen personenbezogene Daten verarbeitet werden — einschließlich Zweck, Kategorien betroffener Personen, Empfänger, Übermittlungen in Drittländer und vorgesehene Löschfristen. Dieses Verzeichnis ist nicht nur gesetzliche Pflicht, sondern auch das zentrale Steuerungsinstrument für den betrieblichen Datenschutz.
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Personenbezogene Daten dürfen nur auf Basis einer gültigen Rechtsgrundlage verarbeitet werden. Betroffene Personen müssen in klarer, verständlicher Sprache darüber informiert werden, welche Daten zu welchem Zweck verarbeitet werden — etwa durch eine Datenschutzerklärung auf der Website oder eine Mitarbeiterinformation im Arbeitsverhältnis.
- Zweckbindung & Datenminimierung: Daten dürfen ausschließlich für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine Zweckänderung ist nur unter engen Voraussetzungen zulässig. Gleichzeitig darf der Umfang der erhobenen Daten den jeweiligen Verarbeitungszweck nicht überschreiten — das Prinzip „so wenig wie möglich, so viel wie nötig“ gilt als Maßstab.
- Richtigkeit & Speicherbegrenzung: Unternehmen sind verpflichtet, personenbezogene Daten sachlich richtig und auf dem aktuellen Stand zu halten. Unrichtige Daten müssen unverzüglich berichtigt oder gelöscht werden. Zudem gilt der Grundsatz der Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es für den jeweiligen Verarbeitungszweck erforderlich ist. Ein Löschkonzept mit klaren Aufbewahrungsfristen ist daher unverzichtbar.
- Integrität & Vertraulichkeit: Durch geeignete technische und organisatorische Maßnahmen muss ein angemessenes Schutzniveau für personenbezogene Daten gewährleistet werden. Dazu gehören Schutz vor unbefugtem Zugriff, vor Verlust und vor unbeabsichtigter Zerstörung. Dieser Grundsatz bildet die unmittelbare Brücke zu den TOMs (Abschnitt 2).
- Rechenschaftspflicht (Accountability): Der Verantwortliche muss die Einhaltung aller Grundsätze nicht nur sicherstellen, sondern auch nachweisen können. In der Praxis bedeutet dies: Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzungen, Einwilligungsmanagement, Schulungsnachweise und Protokolle über Datenschutzvorfälle müssen dokumentiert und auf Anfrage der Aufsichtsbehörde vorgelegt werden können.
Technische & Organisatorische Maßnahmen (TOMs)
Artikel 32 der DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen (TOMs) zu treffen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten. Die Angemessenheit richtet sich nach dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang und den Zwecken der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen. Für KMU bedeutet dies keine pauschale Pflicht zur Höchstsicherheit, sondern eine risikobasierte Abwägung: Ein Unternehmen, das sensible Gesundheitsdaten verarbeitet, muss höhere Schutzmaßnahmen implementieren als eines, das ausschließlich geschäftliche Kontaktdaten speichert.
Die DSGVO nennt in Artikel 32 Abs. 1 ausdrücklich vier Maßnahmenkategorien: Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherzustellen, die Fähigkeit zur raschen Wiederherstellung der Daten nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der TOMs. Darüber hinaus spielt die Auftragsverarbeitung (AVV) eine zentrale Rolle: Sobald ein externes Unternehmen im Auftrag personenbezogene Daten verarbeitet — etwa ein Cloud-Anbieter, ein IT-Dienstleister oder ein Lohnbüro — muss gemäß Artikel 28 DSGVO ein Auftragsverarbeitungsvertrag abgeschlossen werden, der unter anderem die zu treffenden TOMs verbindlich festlegt.
Besonders kritisch ist die Meldepflicht bei Datenschutzverletzungen nach Artikel 33 und 34 DSGVO. Kommt es zu einer Verletzung des Schutzes personenbezogener Daten — etwa durch einen Hackerangriff, den Verlust eines unverschlüsselten Laptops oder eine versehentliche E-Mail an den falschen Empfänger — muss der Verantwortliche die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden benachrichtigen. Besteht ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, müssen zusätzlich die betroffenen Personen selbst informiert werden. Ein etablierter Incident-Response-Prozess mit klaren Zuständigkeiten, Eskalationswegen und vorbereiteten Meldeformularen ist daher für jedes Unternehmen unverzichtbar.
- Verschlüsselung & Pseudonymisierung: Personenbezogene Daten müssen sowohl bei der Übertragung (TLS/SSL) als auch bei der Speicherung (AES-256, BitLocker, LUKS) verschlüsselt werden. Die Pseudonymisierung — also die Trennung von Inhaltsdaten und identifizierenden Merkmalen — reduziert das Risiko bei Datenpannen erheblich und wird von Aufsichtsbehörden als bewährte Schutzmaßnahme anerkannt.
- Zugriffskontrolle & Berechtigungsmanagement: Der Zugang zu personenbezogenen Daten muss nach dem Need-to-know-Prinzip eingeschränkt werden. Rollenbasierte Zugriffskonzepte (RBAC), Multi-Faktor-Authentifizierung (MFA) für Administratoren und regelmäßige Rezertifizierungen der Berechtigungen stellen sicher, dass nur autorisierte Personen auf die Daten zugreifen können.
- Backup & Wiederherstellung: Die Verfügbarkeit personenbezogener Daten muss durch regelmäßige Datensicherungen gewährleistet werden. Ein dokumentiertes Backup-Konzept mit definierten RPO- und RTO-Werten (Recovery Point Objective / Recovery Time Objective), regelmäßigen Restore-Tests und einer sicheren, räumlich getrennten Aufbewahrung der Sicherungskopien ist Pflicht.
- Auftragsverarbeitung (AVV): Jeder Dienstleister, der im Auftrag personenbezogene Daten verarbeitet, benötigt einen schriftlichen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Dieser muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen, die Pflichten des Auftragsverarbeiters und die vereinbarten TOMs enthalten. Typische Auftragsverarbeiter im KMU-Umfeld sind Cloud-Anbieter, Hosting-Provider, Newsletter-Dienste und externe IT-Support-Unternehmen.
- Mitarbeiterschulung & Sensibilisierung: Die besten technischen Maßnahmen greifen ins Leere, wenn Mitarbeiter nicht entsprechend geschult sind. Regelmäßige Datenschutzschulungen — mindestens jährlich — zu Themen wie Phishing-Erkennung, korrekter Umgang mit personenbezogenen Daten, Meldewege bei Datenpannen und sichere Passwörter sind eine organisatorische Pflichtmaßnahme.
- Data-Breach-Meldeprozess (72-Stunden-Frist): Unternehmen müssen einen klar definierten Incident-Response-Prozess etablieren, der die Erkennung, Bewertung, Dokumentation und Meldung von Datenschutzverletzungen innerhalb der gesetzlichen 72-Stunden-Frist sicherstellt. Dazu gehören eine Eskalationsmatrix mit Ansprechpartnern, vorbereitete Meldeformulare für die Aufsichtsbehörde und Kommunikationsvorlagen für die Benachrichtigung betroffener Personen.
Umsetzung im Mittelstand
Die praktische Umsetzung der DSGVO stellt insbesondere kleine und mittlere Unternehmen vor Herausforderungen — nicht wegen der Komplexität der einzelnen Maßnahmen, sondern wegen der Vielzahl an Pflichten, die systematisch adressiert werden müssen. Ein pragmatischer Ansatz beginnt mit einer GAP-Analyse: Wo steht das Unternehmen heute, und welche Lücken bestehen gegenüber den Anforderungen der DSGVO? Typische Defizite im Mittelstand sind fehlende oder unvollständige Verarbeitungsverzeichnisse, veraltete Datenschutzerklärungen, fehlende Auftragsverarbeitungsverträge mit IT-Dienstleistern, kein dokumentiertes Löschkonzept und mangelnde Mitarbeitersensibilisierung. Die GAP-Analyse bildet die Grundlage für einen priorisierten Maßnahmenplan.
Ab einer bestimmten Unternehmensgröße ist die Benennung eines Datenschutzbeauftragten (DSB) gesetzlich vorgeschrieben. In Deutschland gilt nach § 38 BDSG: Unternehmen, in denen mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, müssen einen DSB benennen. Unabhängig von der Mitarbeiterzahl besteht die Pflicht auch dann, wenn besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) umfangreich verarbeitet werden oder die Kerntätigkeit in der umfangreichen Überwachung betroffener Personen besteht. Der DSB kann intern oder extern bestellt werden — für KMU ist ein externer DSB häufig wirtschaftlicher, da er spezialisiertes Fachwissen mitbringt und keine teure Freistellung interner Mitarbeiter erfordert.
Ein besonders wirkungsvolles Instrument der DSGVO ist die Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35. Sie ist verpflichtend, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat — etwa bei Videoüberwachung, Profiling, der Verarbeitung von Gesundheitsdaten in großem Umfang oder dem Einsatz neuer Technologien. Die DSFA beschreibt die geplante Verarbeitung, bewertet deren Notwendigkeit und Verhältnismäßigkeit, identifiziert die Risiken und dokumentiert die Maßnahmen zu deren Einschränkung. Regelmäßige interne Audits — idealerweise jährlich — stellen sicher, dass die implementierten Maßnahmen wirksam bleiben und neue Verarbeitungen erfasst werden. Der gesamte Datenschutz-Lebenszyklus muss als kontinuierlicher Verbesserungsprozess verstanden werden, nicht als einmaliges Projekt.
- Datenschutzbeauftragter (DSB) bestellen: Prüfen Sie, ob die Benennungspflicht nach § 38 BDSG oder Art. 37 DSGVO greift. Entscheiden Sie zwischen internem und externem DSB. Ein externer DSB bringt branchenspezifisches Fachwissen mit, ist unabhängig und verursacht kalkulierbare Kosten — ideal für Unternehmen mit 20 bis 250 Mitarbeitern, die keinen Volljuristen beschäftigen.
- Datenschutz-Folgenabschätzung (DSFA): Identifizieren Sie alle Verarbeitungen mit hohem Risiko anhand der Positivliste Ihrer Landesdatenschutzbehörde. Führen Sie für jede dieser Verarbeitungen eine strukturierte DSFA durch: Beschreibung der Verarbeitung, Bewertung der Notwendigkeit, Risikoanalyse und Maßnahmenplanung. Dokumentieren Sie die Ergebnisse als Nachweis gegenüber der Aufsichtsbehörde.
- Regelmäßige Audits & Überprüfungen: Etablieren Sie einen jährlichen Audit-Zyklus, der das Verarbeitungsverzeichnis, die TOMs, die Auftragsverarbeitungsverträge, die Datenschutzerklärungen und das Löschkonzept umfasst. Prüfen Sie die Wirksamkeit der technischen Maßnahmen durch Penetrationstests oder Schwachstellenscans und dokumentieren Sie alle Ergebnisse.
- Mitarbeiter-Awareness-Programm: Schulen Sie alle Mitarbeiter bei Eintritt und danach mindestens jährlich zu den Grundlagen des Datenschutzes, den unternehmensspezifischen Richtlinien und aktuellen Bedrohungen. Ergänzen Sie die Schulungen durch Phishing-Simulationen und kurze Auffrischungsmodule. Dokumentieren Sie die Teilnahme als Nachweis der Rechenschaftspflicht.
- Dokumentation & Nachweispflicht: Führen Sie ein vollständiges, aktuelles Verarbeitungsverzeichnis, archivieren Sie alle Einwilligungen revisionssicher, halten Sie Datenschutz-Folgenabschätzungen, Schulungsnachweise und Vorfallprotokolle griffbereit. Nutzen Sie ein zentrales Datenschutz-Management-Tool, das alle Dokumente bündelt und Fristenüberwachung bietet — die Aufsichtsbehörde kann jederzeit Einsicht verlangen.
Sie benötigen Unterstützung?
Die DSGVO-konforme Absicherung Ihrer IT-Infrastruktur erfordert ein Zusammenspiel aus technischen Maßnahmen, organisatorischen Prozessen und rechtlicher Expertise. Unsere Spezialisten unterstützen Sie bei der GAP-Analyse, der Implementierung angemessener TOMs, der Erstellung von Verarbeitungsverzeichnissen und Auftragsverarbeitungsverträgen sowie der Vorbereitung auf Aufsichtsbehörden-Prüfungen — praxisnah und auf Ihr Unternehmen zugeschnitten.
Security & Firewall ansehen →
