DSGVO aus IT-Sicht: Pflichten, die Sie nicht übersehen dürfen

Die Datenschutz-Grundverordnung (DSGVO, EU-Verordnung 2016/679) ist eine Regelung, die festlegt, wie Unternehmen mit personenbezogenen Daten von EU-Bürgern umgehen müssen. Für die IT-Abteilung bedeutet dies konkrete technische und organisatorische Maßnahmen, die dokumentiert, implementiert und überprüft werden müssen.

TL;DR — Kernpunkte

• Verschlüsselung im Ruhezustand und bei der Übertragung ist eine grundlegende technische Anforderung
• Jede Verarbeitung personenbezogener Daten muss dokumentiert werden (Verzeichnis der Verarbeitungstätigkeiten)
• Verstöße müssen der Informationsbeauftragten innerhalb von 72 Stunden gemeldet werden
• Zugriffsrechte von Einzelpersonen (Auskunft, Berichtigung, Löschung) müssen technisch unterstützt werden

Rechtsgrundlage in Slowenien

Die DSGVO wird zusammen mit dem slowenischen Datenschutzgesetz (ZVOP-2) angewendet. Zuständig für die Aufsicht ist die Informationsbeauftragte (ip-rs.si), die auch Stellungnahmen und Formulare bereitstellt. Verstöße können mit bis zu 4 % des globalen Umsatzes oder 20 Millionen EUR geahndet werden — je nachdem, welcher Betrag höher ist.

Technisch-organisatorische Maßnahmen (TOM)

Artikel 32 der DSGVO fordert Maßnahmen, die dem Risiko angemessen sind. In der IT-Praxis bedeutet das:

1. Festplattenverschlüsselung aller Geräte (BitLocker, FileVault, LUKS)
2. TLS 1.2+ für die gesamte Übertragungskommunikation
3. Zugriffskontrolle — RBAC und das Prinzip der minimalen Rechtevergabe
4. MFA für den Zugriff auf Systeme, die personenbezogene Daten verarbeiten
5. Getrennte Umgebungen für Entwicklung / Tests — ohne echte personenbezogene Daten (Anonymisierung oder synthetische Daten)
6. Regelmäßige Backups und periodische Wiederherstellungstests
7. Zugriffsprotokollierung (Audit Log) mit einer Aufbewahrungsfrist von mindestens 12 Monaten

Verzeichnis der Verarbeitungstätigkeiten

Jede Organisation (außer Kleinstunternehmen in engen Ausnahmefällen) muss ein Verzeichnis der Verarbeitungstätigkeiten führen — ein Dokument, das beschreibt, welche personenbezogenen Daten Sie verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage, wer die Empfänger sind, wo sie gespeichert werden, wie lange und wer die potenziellen Auftragsverarbeiter sind. Dies ist kein IT-Dokument im engeren Sinne, aber die IT liefert typischerweise die Schlüsseldaten zu Systemen und Speicherung.

Subunternehmer und Auftragsverarbeiter

Jeder externe Anbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet (z. B. Microsoft für M365, Cloud-Anbieter, Werbeplattformen), ist ein Auftragsverarbeiter. Mit jedem müssen Sie einen Auftragsverarbeitungsvertrag (DPA) und eine Risikobewertung für den Datentransfer außerhalb der EU abgeschlossen haben. Für Microsoft 365 und Azure sind DPAs in den Servicebedingungen enthalten.

Zugriffsrechte betroffener Personen

Die DSGVO gibt Einzelpersonen das Recht auf Auskunft, Berichtigung, Löschung, Übertragbarkeit und Widerspruch. Die IT muss die technischen Mechanismen dafür bereitstellen:

• Suche nach Daten einer Person über alle Systeme hinweg (CRM, ERP, E-Mail, Ticketing, Backup)
• Export in einem maschinenlesbaren Format (JSON, CSV)
• Dauerhafte Löschung aus Produktionsdatenbanken und — nach Ablauf der gesetzlichen Aufbewahrungsfristen — auch aus Backups
• Berichtigung von Daten mit einem Audit-Trail darüber, wer, wann und warum den Datensatz geändert hat

Meldung von Verletzungen (72 Stunden)

Bei einer Verletzung (z. B. Ransomware, erfolgreiches Phishing, verlorener Laptop ohne Verschlüsselung) müssen Sie innerhalb von 72 Stunden die Informationsbeauftragte und — falls ein hohes Risiko für die Personen besteht — auch die betroffenen Personen benachrichtigen. Wir empfehlen, einen Notfallplan bereitizuhalten, inklusive Kontaktpersonen und Nachrichtenvorlagen.

Überschneidung mit ISO 27001

Wenn Sie nach ISO/IEC 27001 zertifiziert sind, haben Sie bereits viele DSGVO-Pflichten abgedeckt — ein Informationssicherheits-Managementsystem (ISMS) erfordert nämlich explizit Risikoanalysen, Maßnahmen und regelmäßige Audits. Die DSGVO wird so zu einem nachweisbar kontrollierten Prozess statt nur einer Rechtsfrage. Lesen Sie auch unseren Beitrag zur Cybersicherheit.

Praktische Checkliste für KMU

1. Inventar aller Speicherorte personenbezogener Daten (M365, ERP, CRM, Marketing, HR)
2. Aktivierung der Festplattenverschlüsselung auf allen Geräten
3. MFA für alle Konten
4. Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten
5. Abschluss von DPAs mit allen Auftragsverarbeitern
6. Etablierung eines Prozesses für Datenschutzverletzungen (Playbook + Kontaktperson)
7. Schulung der Mitarbeiter (jährlich)
8. Internes Audit einmal pro Jahr

Benötigen wir einen Datenschutzbeauftragten (DSB)?

Dies ist nur zwingend erforderlich, wenn Sie eine öffentliche Einrichtung sind oder wenn Ihre Haupttätigkeiten eine umfangreiche systematische Überwachung oder die Verarbeitung besonderer Datenkategorien (Gesundheitsdaten, biometrische Daten...) umfassen. Ansonsten empfehlen wir eine interne Kontaktperson für Datenschutz.

Dürfen wir Backups in Azure außerhalb der EU speichern?

Wir empfehlen EU-Regionen (West Europe, North Europe). Für Regionen außerhalb der EU gilt ein Regime angemessener Schutzmaßnahmen (Standardvertragsklauseln + technische Schutzmaßnahmen).

Was passiert mit alten Archiven, die personenbezogene Daten enthalten, die wir nicht mehr benötigen?

Definieren Sie Aufbewahrungsfristen und führen Sie eine schrittweise Löschung oder Anonymisierung durch. Das Aufbewahren 'für alle Fälle' widerspricht dem Grundsatz der Speicherbegrenzung.

Müssen Subunternehmer nach ISO 27001 zertifiziert sein?

Nicht zwingend erforderlich, aber ein starker Beweis für Reife. Prüfen Sie alternativ schriftliche Erklärungen zu TOMs und führen Sie bei Bedarf Audits durch.