DSGVO in der IT: praktische Checkliste für Unternehmen

Die Datenschutz-Grundverordnung ist längst Alltag — und trotzdem sorgt sie in vielen Unternehmen für Unsicherheit. Gerade in der IT entscheidet sich, ob Datenschutz nur auf dem Papier existiert oder wirklich gelebt wird. Diese Checkliste bringt Struktur in das Thema und zeigt, an welchen Stellen Sie in der Praxis ansetzen sollten. Sie ersetzt keine Rechtsberatung, gibt Ihnen aber eine belastbare Orientierung.

TOM: das Fundament des Datenschutzes

Im Zentrum der DSGVO stehen die technischen und organisatorischen Maßnahmen, kurz TOM. Artikel 32 der Verordnung verlangt, dass Sie personenbezogene Daten durch ein dem Risiko angemessenes Schutzniveau absichern. Was genau angemessen ist, hängt von der Art der Daten ab: Gesundheits- oder Finanzdaten verlangen strengere Vorkehrungen als eine reine Adressliste.

Technische Maßnahmen betreffen die IT selbst — Verschlüsselung, Zugriffsschutz, Backups. Organisatorische Maßnahmen regeln das Drumherum: Wer darf was, wie werden Vorfälle gemeldet, wie sind Mitarbeitende geschult? Erst beide Ebenen zusammen ergeben einen wirksamen Schutz. Alle Verarbeitungstätigkeiten halten Sie zudem in einem Verzeichnis nach Artikel 30 fest — es ist die Grundlage für fast jede weitere Maßnahme.

Wer trägt die Verantwortung?

Bevor Sie in die einzelnen Maßnahmen einsteigen, lohnt ein Blick auf die Zuständigkeiten. Verantwortlich für den Datenschutz ist zunächst das Unternehmen selbst — konkret die Geschäftsführung. Sie kann Aufgaben delegieren, bleibt aber in der Pflicht. Verarbeiten Sie in größerem Umfang personenbezogene Daten, kann zudem die Benennung einer oder eines Datenschutzbeauftragten vorgeschrieben sein; in Deutschland gilt dies unter anderem, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung solcher Daten befasst sind. Unabhängig von dieser Schwelle hilft es, eine feste Ansprechperson zu bestimmen, die den Überblick behält. Klare Zuständigkeiten sind die Voraussetzung dafür, dass die folgenden technischen Maßnahmen überhaupt konsequent umgesetzt werden.

Die Checkliste im Detail

Die folgenden Punkte bilden den Kern einer datenschutzgerechten IT. Gehen Sie sie der Reihe nach durch und halten Sie fest, wo Handlungsbedarf besteht.

Verschlüsselung

Verschlüsseln Sie Daten sowohl bei der Übertragung als auch bei der Speicherung. Dazu gehören verschlüsselte Verbindungen für Website und E-Mail, die Festplattenverschlüsselung auf Notebooks und die Absicherung mobiler Geräte. Geht ein Laptop verloren, entscheidet die Verschlüsselung darüber, ob daraus eine meldepflichtige Datenpanne wird oder nicht.

Zugriffskonzepte und Berechtigungen

Nicht jede Person im Unternehmen braucht Zugriff auf alle Daten. Nach dem Prinzip der minimalen Rechte erhält jede Rolle nur die Berechtigungen, die sie tatsächlich benötigt. Dokumentieren Sie, wer worauf zugreifen darf, und überprüfen Sie diese Rechte regelmäßig — besonders dann, wenn Mitarbeitende die Abteilung wechseln oder das Unternehmen verlassen. Verwaiste Konten sind ein unterschätztes Risiko. Ergänzend schützt die Mehr-Faktor-Authentifizierung besonders sensible Zugänge, sodass ein gestohlenes Passwort allein nicht mehr genügt, um an Daten zu gelangen.

Auftragsverarbeitung absichern

Sobald ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, brauchen Sie nach Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag. Das betrifft mehr Anbieter, als viele denken: Cloud-Speicher, E-Mail-Dienste, Newsletter-Tools und auch der IT-Dienstleister mit Zugriff auf Ihre Systeme. Führen Sie eine Liste aller Dienstleister und prüfen Sie, ob für jeden ein gültiger Vertrag vorliegt.

Löschkonzepte und Aufbewahrungsfristen

Daten dürfen nicht länger gespeichert werden, als es nötig ist. Ein Löschkonzept legt für jede Datenart fest, wie lange sie aufbewahrt wird und wann sie gelöscht werden muss. Dabei gilt es, gesetzliche Aufbewahrungsfristen — etwa aus dem Steuerrecht — mit dem Grundsatz der Datensparsamkeit in Einklang zu bringen. Ohne klares Konzept sammeln sich über Jahre Daten an, die zum Risiko werden.

Backup und DSGVO zusammendenken

Backups sind für die Sicherheit unverzichtbar, werfen aber eine bekannte Frage auf: Wie passt eine Sicherung, die Daten bewusst aufbewahrt, mit dem Recht auf Löschung nach Artikel 17 zusammen? Die verbreitete Lösung: Backups werden nicht eigens durchsucht, um einzelne Datensätze zu entfernen. Stattdessen entfallen die Daten beim nächsten regulären Überschreiben des Backups. Bis dahin dürfen sie nicht wiederhergestellt oder weiterverarbeitet werden. Wichtig ist außerdem, dass auch Sicherungen verschlüsselt und vor unbefugtem Zugriff geschützt sind. Wie eine belastbare Sicherungsstrategie aussieht, erfahren Sie im Bereich Backup & Recovery.

Auf Datenpannen vorbereitet sein

Trotz aller Vorsicht kann es zu einer Datenpanne kommen — durch einen verlorenen Laptop, einen Fehlversand oder einen erfolgreichen Angriff. Die DSGVO verlangt dann schnelles Handeln: Eine meldepflichtige Verletzung des Schutzes personenbezogener Daten müssen Sie in der Regel innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde melden. Damit diese knappe Frist nicht verstreicht, sollten Sie vorab festlegen, wer eine mögliche Panne bewertet, wer die Meldung übernimmt und welche Angaben dafür nötig sind. Ein kurzer, schriftlich festgehaltener Ablauf nimmt im Ernstfall den Druck und verhindert kostspielige Fehler.

Häufige Praxisfehler

In der täglichen Arbeit schleichen sich immer wieder dieselben Fehler ein:

• Datenschutz als einmaliges Projekt behandeln: Einmal erstellte Konzepte veralten, wenn niemand sie pflegt.
• Zu großzügige Berechtigungen: Aus Bequemlichkeit erhalten viele Nutzer Vollzugriff — ein Einfallstor bei kompromittierten Konten.
• Fehlende Verträge mit Dienstleistern: Cloud-Dienste werden genutzt, ohne den nötigen Auftragsverarbeitungsvertrag zu schließen.
• Kein Löschkonzept: Daten werden gesammelt, aber nie geordnet gelöscht.
• Schatten-IT: Mitarbeitende nutzen private Tools und Cloud-Dienste, die niemand freigegeben hat und die außerhalb jeder Kontrolle liegen.

Viele dieser Fehler entstehen nicht aus bösem Willen, sondern aus fehlender Zeit und Zuständigkeit. Genau deshalb hilft es, klare Verantwortlichkeiten festzulegen und den Datenschutz technisch zu unterstützen — etwa durch zentrale Rechteverwaltung, automatische Verschlüsselung und überwachte Backups.

Fazit

Datenschutz in der IT ist kein Hexenwerk, aber Fleißarbeit. Wer die technischen und organisatorischen Maßnahmen strukturiert angeht, Zugriffe sauber regelt, Verträge mit Dienstleistern führt und ein gelebtes Löschkonzept pflegt, erfüllt nicht nur die gesetzlichen Anforderungen — er senkt zugleich sein Sicherheitsrisiko spürbar.

Als IT-Dienstleister in Düsseldorf unterstützt Lota Engineering Unternehmen dabei, die technische Seite der DSGVO umzusetzen: von Verschlüsselung und Rechtekonzepten bis zu sicheren Backups. Einen Überblick über passende Schutzmaßnahmen finden Sie im Bereich IT-Sicherheit. Wenn Sie Ihre IT auf den Prüfstand stellen möchten, vereinbaren Sie gern ein unverbindliches Erstgespräch.