DSGVO in der IT-Praxis: Was Unternehmen technisch sicherstellen müssen

DSGVO IT-Maßnahmen sind jener Teil der Verordnung, den die Rechtsabteilung oft der IT überlässt, während die IT auf Anweisungen der Rechtsabteilung wartet. Das Ergebnis ist eine Lücke. Unten finden Sie eine praktische Liste dessen, was technisch geregelt sein muss und wie dies nachzuweisen ist.

TL;DR — Wichtige Eckpunkte

• Die DSGVO fordert 'geeignete technische und organisatorische Maßnahmen' (TOM) — die Angemessenheit weisen Sie durch eine Risikobewertung nach.
• Verschlüsselung, Zugriffskontrolle, Protokollierung und Backups sind das Minimum.
• Die Meldefrist für Verstöße beträgt 72 Stunden — Sie benötigen einen Prozess, keine Improvisation.
• Verträge mit Auftragsverarbeitern (IT-Dienstleister, Cloud-Anbieter) sind zwingend erforderlich.

Welche technischen Maßnahmen erwartet werden

Die Aufsichtsbehörde schreibt keine spezifischen Produkte vor, erwartet jedoch, dass die Maßnahmen dem Risiko angemessen sind. In der Praxis bedeutet dies: Festplattenverschlüsselung auf Laptops, MFA für den Zugriff auf Systeme mit personenbezogenen Daten, getrennte Berechtigungen nach dem Least-Privilege-Prinzip, Zugriffsprotokolle und regelmäßig überprüfte Backups.

Zudem benötigen Sie ein Verzeichnis von Verarbeitungstätigkeiten (VVT), das dem tatsächlichen Zustand der Systeme entsprechen muss. Wenn im Verzeichnis steht, dass Videoüberwachungsaufnahmen 30 Tage lang aufbewahrt werden, muss dies auch so konfiguriert sein.

Warum der IT-Teil der DSGVO am häufigsten Schwachstellen aufweist

Die Dokumentation ist meist in Ordnung, die technische Umsetzung hinkt jedoch hinterher.

• Gemeinsame Konten (info@, admin) machen die Rückverfolgbarkeit des Zugriffs auf personenbezogene Daten unmöglich.
• Daten in Excel-Tabellen auf Desktops werden in keinem Verzeichnis erfasst.
• Das Fehlen einer Löschrichtlinie bedeutet eine Speicherung ohne Rechtsgrundlage.
• Externe Dienstleister ohne Auftragsverarbeitungsvertrag (AVV) sind an sich schon ein Verstoß.

Vorgehensweise — Empfohlener Prozess

1. Erfassen Sie, wo sich personenbezogene Daten tatsächlich befinden — einschließlich freigegebener Ordner und Clients.
2. Führen Sie namentliche Konten sowie MFA ein und schaffen Sie geteilte Logins ab.
3. Legen Sie Aufbewahrungsfristen fest und richten Sie, wo möglich, eine automatische Löschung ein.
4. Aktivieren Sie Zugriffsprotokolle für sensible Ordner und Systeme.
5. Regeln Sie die Auftragsverarbeitungsverträge mit allen IT-Lieferanten.
6. Schreiben Sie den Prozess zur Meldung von Verstößen mit Kontakten und der 72-Stunden-Frist fest.

Risiken und entsprechende Maßnahmen

Häufigste Fehler

Der häufigste Fehler ist das Kopieren von Richtlinien aus dem Internet, ohne zu prüfen, ob das System diese überhaupt umsetzt. Die Aufsichtsbehörde prüft den IST-Zustand, nicht das Dokument.

Ein weiterer Fehler ist das vergessene Recht auf Löschung: Wenn Daten im Backup vorhanden sind, muss dies in der Richtlinie beschrieben sein, zusammen mit der Frist, nach der sie auch dort verschwinden.

Wie VitalIT unterstützt

Bei VitalIT stimmen wir die technischen Maßnahmen mit Ihrem Verzeichnis der Verarbeitungstätigkeiten ab, regeln Zugriffe und Protokolle und bereiten die Nachweise vor. Informieren Sie sich über Cybersicherheit und IT-Beratung.

Lesen Sie auch: NIS2-Richtlinie: Was Unternehmen regeln müssen.

Häufig gestellte Fragen (FAQ)

Erfordert die DSGVO eine Verschlüsselung?

Nicht explizit, nennt sie aber als Beispiel für eine geeignete Maßnahme. Für mobile Geräte wird sie in der Praxis erwartet.

Wie lange dürfen wir Mitarbeiterdaten aufbewahren?

Nach der durch Fachgesetze festgelegten Frist; ohne Rechtsgrundlage müssen sie gelöscht werden.

Ist Microsoft 365 DSGVO-konform?

Die Plattform bietet entsprechende Tools und vertragliche Bestimmungen, die Konfiguration und Nutzung liegen jedoch in Ihrer Verantwortung.

Wer muss einen Datenschutzbeauftragten (DSB) haben?

Öffentliche Stellen und Unternehmen mit umfangreicher systematischer Verarbeitung oder Verarbeitung besonderer Datenkategorien.

Was gilt als Verstoß?

Jeder unbeabsichtigte oder unrechtmäßige Verlust, jede Änderung oder Offenlegung personenbezogener Daten — auch ein verlorener USB-Stick.