DSGVO & Datenschutz - die technisch-organisatorische Umsetzung durch Deinen IT-Partner

Die DSGVO verlangt nicht nur Dokumente - sie verlangt, dass personenbezogene Daten technisch wirksam geschützt sind. Verschlüsselung, Zugriffskontrolle, Backup, Protokollierung, Löschung: das sind keine juristischen, sondern IT-Themen. Genau hier setzen wir an. Wir sind kein Anwalt und kein externer Datenschutzbeauftragter - aber wir setzen die technische Seite der DSGVO so um, dass sie einem Audit oder einer Aufsichtsbehörde standhält.

Ehrlich vorab: für die rechtliche Bewertung, das Verarbeitungsverzeichnis als Rechtsdokument und die DSB-Funktion brauchst Du eine juristische Beratung. Wir arbeiten dieser Seite zu - und übernehmen alles, was im System passiert.

Wo wir helfen - und wo nicht

Klare Abgrenzung: Wir sind die IT-Umsetzung der DSGVO, nicht die Rechtsberatung. Beides zusammen macht Dich datenschutzkonform.

Datenschutz im Unternehmen hat zwei Seiten. Die eine ist juristisch: Rechtsgrundlagen, Einwilligungen, Verträge, das Verarbeitungsverzeichnis als Rechtsdokument, die DSB-Bestellung. Die andere ist technisch-organisatorisch: dass die Daten im System verschlüsselt, zugriffsgeschützt, gesichert und löschbar sind.

Das machen wir nicht:

• Rechtliche Bewertung von Verarbeitungen oder Einwilligungen
• Die Rolle des (externen) Datenschutzbeauftragten
• Rechtsverbindliche Vertragsgestaltung von AVV oder Datenschutzerklärung

Das machen wir:

• Die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO bauen und betreiben
• Die IT-Seite von Verarbeitungsverzeichnis und Auftragsverarbeitung mit Fakten füllen
• DSGVO-konforme Datenhaltung mit EU-Datenstandort einrichten
• Betroffenenrechte (Auskunft, Löschung) technisch umsetzbar machen

Wir arbeiten dabei Hand in Hand mit Deinem Anwalt oder DSB. Du musst die beiden Seiten nicht selbst koordinieren - wir liefern dem juristischen Part die technischen Nachweise, die er anfordert.

Wie wir selbst mit Deinen Daten umgehen, steht in unserer Datenschutzerklärung.

TOM nach Art. 32 DSGVO - die technische Pflicht

Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen". Das ist kein Papierkonzept - es muss im System nachweisbar gelebt werden. Genau das setzen wir um.

Art. 32 fordert ein dem Risiko angemessenes Schutzniveau und nennt explizit Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit. Wir übersetzen diese Begriffe in konkrete, dokumentierte IT-Maßnahmen.

Verschlüsselung

Daten in Transit (TLS) und at Rest (Datenträger-, Datenbank-, Backup-Verschlüsselung). E-Mail-Verschlüsselung wo nötig, verschlüsselte Endgeräte für mobile Mitarbeiter. Schlüssel-Management sauber getrennt.

Zugriffskontrolle

Need-to-know statt „alle dürfen alles". Rollen- und Rechtekonzept, MFA für privilegierte und externe Zugänge, sauberes Onboarding/Offboarding. Wer hat Zugriff auf personenbezogene Daten - und kann das im Zweifel belegt werden?

Verfügbarkeit & Backup

3-2-1-Backup mit getestetem Restore, Offsite-Kopie, definierte Wiederherstellungszeiten. Verfügbarkeit und Belastbarkeit sind ausdrücklich Teil von Art. 32 - ein Datenverlust ist auch ein Datenschutzvorfall.

Protokollierung

Nachvollziehbar, wer wann auf welche Daten zugegriffen hat - ohne dabei selbst eine Überwachungs-Datenbank zu bauen. Logging und Monitoring so dimensioniert, dass es im Vorfall aussagefähig ist, aber datensparsam bleibt.

Löschkonzepte

Daten dürfen nicht ewig liegen bleiben. Wir bauen technische Löschroutinen und Aufbewahrungsfristen, sodass Lösch- und Speicherbegrenzungs-Pflichten nicht nur auf dem Papier, sondern im System greifen.

→ Diese Maßnahmen sind auch das Fundament für Network as a Service - DSGVO und IT-Sicherheit greifen ineinander.

Verarbeitungsverzeichnis & AVV - die IT-Ebene

Das Verarbeitungsverzeichnis (Art. 30) und Auftragsverarbeitungs-Verträge (Art. 28) sind Rechtsdokumente. Aber sie leben von IT-Fakten - und die liefern wir.

Ein Verarbeitungsverzeichnis ist nur so gut wie die technischen Angaben darin: Welche Systeme verarbeiten welche Daten? Wo stehen die Server? Welche TOM greifen? Welche Dienstleister sind eingebunden? Diese Fakten kennt die IT, nicht der Jurist.

Was wir der juristischen Seite zuarbeiten:

• Systeminventar: welche Anwendungen, Datenbanken und Cloud-Dienste personenbezogene Daten verarbeiten
• Datenflüsse: wohin Daten fließen, welche Schnittstellen bestehen, welche Drittländer berührt werden
• TOM-Beschreibung je System: die konkrete technische Maßnahmen-Liste als Anlage zum AVV
• Auftragsverarbeiter-Übersicht: welche externen Dienstleister (Cloud, Wartung, Backup) Zugriff haben und wie sie abgesichert sind

Bei der Auftragsverarbeitung (AVV) prüfen wir die technische Seite: Erfüllt der Dienstleister die nötigen TOM? Wo stehen seine Server? Die Vertragsunterzeichnung bleibt bei Dir und Deinem Anwalt - die technische Bewertung übernehmen wir.

Sichere Datenhaltung & digitale Souveränität

DSGVO-konform heißt oft: Daten in der EU, unter EU-Recht, ohne Drittland-Zugriff. Wir bauen Dir eine Datenhaltung, bei der Du weißt, wo Deine Daten liegen.

Spätestens seit dem Wegfall des Privacy-Shield ist der Datenstandort ein Kernthema. Wer personenbezogene Daten in US-Clouds verarbeitet, muss den Drittlandtransfer rechtfertigen - oder die Daten gleich in der EU halten. Wir richten Deine Datenhaltung so ein, dass der EU-Bezug technisch sauber ist.

Optionen, die wir aufbauen:

• DSGVO-konforme Cloud: Anbieter mit EU-Datenstandort, EU-Rechtsraum und vertraglich zugesicherter Datenlokation
• On-Premise / private Cloud: maximale Kontrolle, Daten bleiben im eigenen Rechenzentrum oder bei einem EU-Hoster
• Hybride Modelle: sensible Daten lokal, unkritisches in der Cloud - sauber getrennt
• Digitale Souveränität: Open-Source- und EU-basierte Stacks, wo Unabhängigkeit von einzelnen Anbietern gefragt ist

Wir entscheiden das nicht ideologisch, sondern nach Deinem Schutzbedarf und Budget - und sagen Dir ehrlich, wo eine US-Cloud unkritisch ist und wo nicht.

Betroffenenrechte technisch umsetzen

Auskunft, Löschung, Datenübertragbarkeit: Diese Rechte muss man nicht nur kennen, sondern technisch erfüllen können - meist innerhalb eines Monats.

Wenn eine betroffene Person Auskunft oder Löschung verlangt, muss Dein Unternehmen liefern - und zwar fristgerecht. Das geht nur, wenn die IT vorbereitet ist: Wo liegen die Daten dieser Person? In wie vielen Systemen? Lässt sich das zusammentragen und ggf. löschen, ohne den Betrieb zu sprengen?

Was wir dafür schaffen:

• Auskunfts-Fähigkeit: Daten einer Person über alle relevanten Systeme hinweg auffindbar machen
• Lösch-Fähigkeit: technische Löschroutinen, die auch Backups und Archive berücksichtigen - ohne die Integrität des Systems zu gefährden
• Datenübertragbarkeit: Export in einem gängigen, maschinenlesbaren Format
• Prozess statt Panik: ein definierter technischer Ablauf, damit eine Anfrage nicht jedes Mal zur Sonderaktion wird

So wird aus einem rechtlichen Anspruch ein wiederholbarer, dokumentierter IT-Vorgang.

DSGVO × ISO 27001 × NIS2 - gleiche Maßnahmen, anderer Blickwinkel

Verschlüsselung, Zugriffskontrolle, Backup, Protokollierung: Diese TOM verlangen DSGVO, ISO 27001 und NIS2 gleichermaßen. Wer einmal sauber baut, erfüllt drei Anforderungen.

Datenschutz und Informationssicherheit überschneiden sich zu großen Teilen. Die DSGVO schützt personenbezogene Daten, ISO 27001 und NIS2 schützen Informationen und Verfügbarkeit allgemein - aber die technischen Maßnahmen dahinter sind oft dieselben.

Strategie für den Mittelstand: Wer ohnehin ein ISMS nach ISO 27001 aufbaut oder NIS2 umsetzt, hat die DSGVO-TOM technisch zum großen Teil schon erledigt - nur aus einem anderen Blickwinkel dokumentiert. Wir bauen die Maßnahmen einmal und mappen sie auf alle drei Anforderungen. Das spart Budget und vermeidet Doppelarbeit.

* Reaktionszeit innerhalb der vereinbarten Geschäftszeiten, außerhalb unter 4 Stunden.