Zum Inhalt
Kontakt

Technischer Datenschutz

Technischer Datenschutz: Klarheit über Systeme, Datenflüsse und Maßnahmen

Wir schaffen Transparenz über Ihre IT-Systeme und Datenflüsse, dokumentieren technische Maßnahmen und unterstützen deren Umsetzung – abgestimmt mit Ihren Datenschutzverantwortlichen und rechtlichen Beratern.

Leistungen ansehenGespräch vereinbaren

Unser Verständnis

Datenschutz braucht zwei Kompetenzen: rechtliche Bewertung und technische Umsetzung. Wir stehen für die zweite – und arbeiten der ersten zu.

Die Datenschutz-Grundverordnung verlangt geeignete technische und organisatorische Maßnahmen und eine Dokumentation, mit der Sie die Einhaltung nachweisen können (Art. 5 Abs. 2, Art. 24, Art. 32 DSGVO). Was rechtlich gefordert ist, bewerten Ihr Datenschutzbeauftragter und Ihre Rechtsberatung. Wie es in Ihren Systemen tatsächlich aussieht und umgesetzt wird, ist unsere Aufgabe.

Verarbeitungsübersicht

Wo Daten tatsächlich liegen – und wo Kopien entstehen

Datenschutz beginnt mit einer Frage, die schwer zu beantworten sein kann: Welche Daten liegen in welchem System? Wählen Sie eine Verarbeitung, eine Datenkategorie oder ein System. Die Übersicht berechnet aus dem Beispiel, welche Speicherorte beteiligt sind – einschließlich Sicherungen, synchronisierter Ordner und Exporte.

Typische Fragen

Systeme und Speicherorte

Verarbeitungstätigkeiten

Datenkategorien

Verarbeitungstätigkeit

Personalverwaltung

Personalverwaltung: 4 Datenkategorien in 3 Systemen; Kopien in 2 weiteren; besondere Kategorien: Gesundheitsdaten.

Zweck
Durchführung der Beschäftigungsverhältnisse
Betroffene Personen
Beschäftigte
Datenkategorien
KontaktdatenBeschäftigtendatenBankverbindungGesundheitsdatenArt. 9
Gespeichert in
Dateiablage, Lohnabrechnung, E-Mail-Postfächer
Zusätzlich als Kopie in
Datensicherung (Sicherung der Dateiablage)Notebooks der Mitarbeitenden (Synchronisierte Ordner)
Empfänger
Lohnabrechnungsdienstleister, Sozialversicherungsträger und Finanzbehörden (über die Lohnabrechnung), Cloud-Anbieter (E-Mail und Dateiablage), IT-Dienstleister (Fernwartung, Sicherung)
Löschregel
Je Unterlage unterschiedliche Aufbewahrungsfristen; nach Ende des Beschäftigungsverhältnisses gestaffelt löschen. Die Fristen legt Ihr Unternehmen mit seinen Datenschutzverantwortlichen fest.

Im Beispiel landen Krankmeldungen per E-Mail und in einem gemeinsamen Personalordner – und führen dazu, dass Gesundheitsdaten an mehr Orten liegen, als die Personalabteilung vermutet.

Fiktives, vereinfachtes Beispiel eines Dienstleistungsunternehmens – kein Verzeichnis von Verarbeitungstätigkeiten und keine rechtliche Bewertung. Speicherorte und Kopien werden aus den Angaben des Beispiels berechnet; konkrete Löschfristen sind nicht angegeben, weil Ihr Unternehmen sie mit seinen Datenschutzverantwortlichen festlegt. ENTDECKE.digital bietet keine Rechtsberatung an.

Verarbeitungsübersicht als Text
  • Bewerbungsverfahren – Zweck: Auswahl von Bewerberinnen und Bewerbern für offene Stellen. Datenkategorien: Kontaktdaten, Bewerbungsunterlagen. Gespeichert in: E-Mail-Postfächer, Dateiablage. Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden. Empfänger: Geschäftsleitung, beteiligte Fachbereiche, Cloud-Anbieter (E-Mail und Dateiablage). Löschregel: Nach Abschluss des Verfahrens für eine festgelegte Frist aufbewahren, danach löschen. Die Frist legt Ihr Unternehmen mit seinen Datenschutzverantwortlichen fest.
  • Personalverwaltung – Zweck: Durchführung der Beschäftigungsverhältnisse. Datenkategorien: Kontaktdaten, Beschäftigtendaten, Bankverbindung, Gesundheitsdaten (Art. 9). Gespeichert in: Dateiablage, Lohnabrechnung, E-Mail-Postfächer. Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden. Empfänger: Lohnabrechnungsdienstleister, Sozialversicherungsträger und Finanzbehörden (über die Lohnabrechnung), Cloud-Anbieter (E-Mail und Dateiablage), IT-Dienstleister (Fernwartung, Sicherung). Löschregel: Je Unterlage unterschiedliche Aufbewahrungsfristen; nach Ende des Beschäftigungsverhältnisses gestaffelt löschen. Die Fristen legt Ihr Unternehmen mit seinen Datenschutzverantwortlichen fest.
  • Kundenbetreuung und Angebote – Zweck: Betreuung bestehender Kunden, Angebote und Korrespondenz. Datenkategorien: Kontaktdaten, Anfragen und Korrespondenz. Gespeichert in: Kundenverwaltung (CRM), E-Mail-Postfächer, Dateiablage. Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden. Empfänger: Cloud-Anbieter (E-Mail und Dateiablage), IT-Dienstleister (Fernwartung, Sicherung). Löschregel: Löschen, wenn die Kundenbeziehung endet und keine Aufbewahrungspflicht greift. Geschäftsbriefe und Angebote können handels- und steuerrechtlichen Aufbewahrungspflichten unterliegen – das bewertet Ihre Rechtsberatung.
  • Rechnungsstellung und Buchhaltung – Zweck: Rechnungen stellen, Zahlungen verbuchen, Jahresabschluss vorbereiten. Datenkategorien: Kontaktdaten, Rechnungs- und Zahlungsdaten, Bankverbindung. Gespeichert in: Finanzbuchhaltung, Dateiablage. Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden. Empfänger: Steuerberatung, IT-Dienstleister (Fernwartung, Sicherung), CRM-Anbieter. Löschregel: Handels- und steuerrechtliche Aufbewahrungspflichten beachten: bis Fristende aufbewahren und die Nutzung auf diesen Zweck beschränken, danach löschen.
  • Anfragen über die Website – Zweck: Beantwortung von Anfragen aus dem Kontaktformular. Datenkategorien: Kontaktdaten, Anfragen und Korrespondenz. Gespeichert in: Website-Kontaktformular, E-Mail-Postfächer, Kundenverwaltung (CRM). Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden, Dateiablage. Empfänger: Cloud-Anbieter (E-Mail und Dateiablage), CRM-Anbieter, IT-Dienstleister (Fernwartung, Sicherung). Löschregel: Nach Erledigung der Anfrage löschen, sofern daraus keine Kundenbeziehung entsteht – dann gilt die Löschregel der Kundenbetreuung.
  • Sicherung der Dateiablage: Dateiablage → Datensicherung – Im Original gelöschte Dateien bleiben bis zum Ablauf der Sicherungsaufbewahrung in der Sicherung erhalten.
  • Postfachsicherung: E-Mail-Postfächer → Datensicherung – Nur vorhanden, wenn eine Sicherung der Postfächer eingerichtet ist – bei Cloud-Postfächern ist das nicht automatisch der Fall.
  • Sicherung des Buchhaltungsservers: Finanzbuchhaltung → Datensicherung – Sicherungen der Fachanwendung enthalten den vollständigen Datenbestand.
  • Export aus dem CRM: Kundenverwaltung (CRM) → Dateiablage (Kontaktdaten) – Exportierte Kontaktlisten liegen danach in der Dateiablage – und werden mit ihr gesichert und synchronisiert.
  • Synchronisierte Ordner: Dateiablage → Notebooks der Mitarbeitenden – Mit dem Notebook synchronisierte Ordner liegen zusätzlich lokal – auch der Personalordner, wenn die Synchronisation nicht eingeschränkt ist.
  • Postfach-Zwischenspeicher: E-Mail-Postfächer → Notebooks der Mitarbeitenden – E-Mail-Programme halten Postfachinhalte lokal vor, damit sie ohne Verbindung verfügbar sind.

Rollenmodell

Wer im Datenschutz welche Aufgabe hat

Die Verantwortung für den Datenschutz bleibt beim Unternehmen als Verantwortlichem – das betont auch der BSI-Baustein CON.2 Datenschutz. Alle anderen Beteiligten beraten, bewerten oder setzen um.

  1. Verantwortlicher
  2. Beauftragte (DSB)berät und überwacht die Einhaltung (Art. 39 DSGVO), bewertet datenschutzrechtlich
  3. Rechtsberatunglegt rechtlich aus, bewertet Verträge und Rechtsgrundlagen, gibt rechtlich frei
  4. IT und Fachbereichekennen Systeme, Abläufe und Zwecke der Verarbeitung
  5. Dienstleisterliefern Angaben zu ihren Systemen und Maßnahmen
  6. ENTDECKEtechnische Bestandsaufnahme, Dokumentation, Maßnahmenplanung, Umsetzung
Der Verantwortliche – Ihr Unternehmen, vertreten durch die Leitung – entscheidet. Vereinfachte Darstellung.

Leistungen

Sechs Schwerpunkte des technischen Datenschutzes

Jeder Schwerpunkt endet mit Ergebnissen, die Ihr Datenschutzbeauftragter und Ihre Rechtsberatung weiterverwenden können – und mit Maßnahmen, die in Ihren Systemen tatsächlich umgesetzt sind.

  1. IT-Bestandsaufnahme und Datenflüsse

    Systeminventar, Datenflüsse und Speicherorte – die technische Grundlage für das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).

  2. Technische und organisatorische Maßnahmen

    Maßnahmen nach Art. 32 DSGVO beschreiben, Lücken erkennen und umsetzen – strukturiert entlang der Gewährleistungsziele des Standard-Datenschutzmodells.

  3. Berechtigungs- und Zugriffskonzepte

    Rollen, Berechtigungsmatrix und Überprüfung: wer auf welche Daten zugreifen darf – festgelegt, dokumentiert und technisch abgebildet.

  4. Datenschutzfreundliche Systemgestaltung

    Datenschutz bei Auswahl, Einrichtung und Änderung von Systemen mitplanen – mit datenschutzfreundlichen Voreinstellungen (Art. 25 DSGVO).

  5. Aufbewahrung und Löschung

    Löschregeln je Datenart technisch umsetzen – inklusive Postfächern, Ablagen und Datensicherungen, zum Beispiel mit Microsoft Purview.

  6. Risikoanalyse und DSFA-Grundlagen

    Risikoquellen technisch beschreiben und Dokumentationsgrundlagen für eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) liefern.

Einordnung

Gesetz, Empfehlung, Umsetzung – drei Ebenen, die wir sichtbar trennen

Auf allen Seiten dieses Bereichs kennzeichnen wir, was das Gesetz verlangt, was Aufsichtsbehörden und BSI fachlich empfehlen und was wir konkret leisten.

  1. Unsere LeistungBestandsaufnahme, Dokumentation, Maßnahmenplanung und technische Umsetzung
  2. Fachliche EmpfehlungDatenschutzkonferenz (Kurzpapiere, Standard-Datenschutzmodell), BSI IT-Grundschutz
  3. Gesetzliche AnforderungDSGVO, etwa Art. 5, 25, 30, 32 und 35 – die Auslegung im Einzelfall übernimmt Ihre Rechtsberatung
Das Fundament ist die gesetzliche Anforderung; Empfehlungen konkretisieren sie, die Umsetzung macht sie im Alltag wirksam.

Schnittstellen

IT, Datenschutzbeauftragter und Rechtsberatung an einem Tisch

IT und Datenschutz sprechen unterschiedliche Fachsprachen: Der Datenschutzbeauftragte fragt nach Zwecken, Empfängern und Löschfristen, die IT antwortet mit Servern, Gruppen und Lizenzen. Wir übersetzen in beide Richtungen.

Unsere Beratung kann ausdrücklich im gemeinsamen Dialog mit Ihrem Datenschutzbeauftragten oder Ihrem IT-Rechtsanwalt stattfinden. Typische Formen der Zusammenarbeit:

  • Gemeinsamer Auftakt, in dem alle Beteiligten ihre Fragen und Zuständigkeiten klären
  • Technische Unterlagen in einer Form, die Ihr Datenschutzbeauftragter direkt weiterverwenden kann
  • Maßnahmenvorschläge, die Ihr Datenschutzteam bewertet, bevor sie umgesetzt werden
  • Rückfragen der Rechtsberatung zu Systemen und Datenflüssen, die wir technisch beantworten

Rechtliche Bewertungen, Auslegungen und Freigaben bleiben bei qualifizierten Rechtsberatern beziehungsweise den zuständigen Datenschutzverantwortlichen. Die Entscheidung trifft Ihr Unternehmen.

Vorgehen

So arbeiten wir zusammen

  1. Auftakt und Abgrenzung

    Wir klären Ziel und Umfang – und wer auf Ihrer Seite beteiligt ist: Leitung, IT, Fachbereiche, Datenschutzbeauftragter, gegebenenfalls Rechtsberatung.

  2. Technische Bestandsaufnahme

    Systeme, Datenflüsse, Berechtigungen und vorhandene Dokumentation erfassen.

  3. Dokumentation und Vorschläge

    Ergebnisse strukturiert aufbereiten und technische Maßnahmen mit Aufwand und Wirkung vorschlagen.

  4. Bewertung und Entscheidung

    Ihr Datenschutzbeauftragter und gegebenenfalls Ihre Rechtsberatung bewerten; Ihr Unternehmen entscheidet über die Maßnahmen.

  5. Umsetzung und Nachweis

    Wir setzen die beschlossenen Maßnahmen technisch um und dokumentieren, was eingerichtet wurde.

  6. Überprüfung

    Wirksamkeit regelmäßig prüfen und Dokumentation bei Änderungen fortschreiben (Art. 32 Abs. 1 lit. d, Art. 24 Abs. 1 DSGVO).

Verwandte Themen

Wo technischer Datenschutz auf den IT-Alltag trifft

  1. Microsoft 365 Sicherheit und Governance

    Grundregeln für Anmeldung, Administratorrollen, Freigaben und Teams in Microsoft 365.

  2. Benutzer und Berechtigungen

    Konten, Gruppen und Freigaben im laufenden Betrieb – die tägliche Seite der Zugriffskonzepte.

  3. Identity Lifecycle

    Eintritt, Rollenwechsel und Austritt: wie Konten und Zugriffe dem Lebenszyklus einer Person folgen.

  4. IT-Systembetreuung

    Laufende Betreuung bestehender IT- und Cloud-Umgebungen, in der umgesetzte Maßnahmen gepflegt werden.

  5. KI im Unternehmen

    Rahmen für den Einsatz von KI – einschließlich der Frage, welche Daten in welches Werkzeug dürfen.

Häufige Fragen

Machen Sie unser Unternehmen datenschutzkonform?

Nein, und das kann seriös auch niemand allein versprechen. Ob eine Verarbeitung rechtmäßig ist, ist eine rechtliche Bewertung, die Ihr Datenschutzbeauftragter und Ihre Rechtsberatung vornehmen. Wir sorgen dafür, dass die technischen Grundlagen dafür vollständig, nachvollziehbar und umgesetzt sind.

Ersetzen Sie unseren Datenschutzbeauftragten?

Nein. Wir übernehmen keine Aufgaben des Datenschutzbeauftragten. Wir arbeiten ihm technisch zu: Wir liefern Bestandsaufnahmen, Beschreibungen und Umsetzungen, die er für seine Beratung und Überwachung nutzen kann.

Wir haben keinen Datenschutzbeauftragten. Können Sie trotzdem helfen?

Bei technischen Fragen ja. Ob Ihr Unternehmen einen Datenschutzbeauftragten benennen muss und wer die rechtliche Bewertung übernimmt, klären Sie bitte mit Ihrer Rechtsberatung. Für Entscheidungen mit rechtlicher Tragweite empfehlen wir, eine qualifizierte Stelle einzubinden.

Welche Ergebnisse erhalten wir?

Je nach Schwerpunkt zum Beispiel ein Systeminventar, Datenflussübersichten, eine Beschreibung der technischen und organisatorischen Maßnahmen, ein Berechtigungskonzept, Löschregeln in technischer Umsetzung oder einen Maßnahmenplan – in offenen, weiterverwendbaren Formaten.

Betrachten Sie nur Microsoft 365?

Nein. Microsoft 365 kann ein zentrales System sein, aber Datenschutz betrifft die gesamte IT-Landschaft: Server, Fachanwendungen, Cloud-Dienste, Endgeräte und Dienstleister mit Zugriff.

Technischen Datenschutz gemeinsam angehen?

Schildern Sie uns Ihre Ausgangslage – gern gemeinsam mit Ihrem Datenschutzbeauftragten. Wir sagen offen, wobei wir technisch unterstützen können und wo andere gefragt sind. Telefon 07131-618726-0.

Kontakt aufnehmenAnrufen