DSGVO in der IT: Technische Maßnahmen, die Sie umsetzen müssen

Die DSGVO fordert von Unternehmen technische und organisatorische Maßnahmen (TOM), um personenbezogene Daten angemessen zu schützen. Viele Unternehmen fokussieren sich auf die Dokumentation, vernachlässigen aber die technische Umsetzung.

Was verlangt Artikel 32 DSGVO?

Artikel 32 DSGVO fordert geeignete technische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Konkret nennt die DSGVO Verschlüsselung, Pseudonymisierung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie die Fähigkeit zur raschen Wiederherstellung.

Verschlüsselung: Pflicht, keine Option

Alle Geräte, die personenbezogene Daten enthalten, müssen mit Festplattenverschlüsselung gesichert sein: BitLocker auf Windows, FileVault auf Mac. E-Mails mit personenbezogenen Daten sollten verschlüsselt übertragen werden (TLS). Besonders sensible Daten erfordern Ende-zu-Ende-Verschlüsselung.

Zugriffskontrolle und Rechteverwaltung

Das Need-to-Know-Prinzip: Jeder Mitarbeitende hat nur Zugriff auf die Daten, die er für seine Arbeit benötigt. Active Directory oder Azure AD ermöglichen granulare Rechteverwaltung. Zugriffsrechte müssen bei Personalwechseln sofort angepasst werden. Privilegierte Konten (Admins) dürfen nicht für die tägliche Arbeit genutzt werden.

Protokollierung und Überwachung

DSGVO verlangt die Fähigkeit, Datenpannen schnell zu erkennen. Aktivieren Sie Audit-Logs auf allen kritischen Systemen, implementieren Sie ein SIEM (Security Information and Event Management) und definieren Sie klare Prozesse für den Umgang mit Sicherheitsvorfällen.

Verzeichnis der Verarbeitungstätigkeiten

Technisch relevant ist auch, dass Sie genau wissen, welche Systeme welche personenbezogenen Daten verarbeiten. Das Verzeichnis der Verarbeitungstätigkeiten ist die rechtliche Grundlage, die technischen Maßnahmen sind die Umsetzung.

Checkliste der technischen Grundausstattung

• Festplatten von Laptops und Smartphones verschlüsselt.
• Multi-Faktor-Anmeldung für E-Mail und Fernzugriff.
• Rechte nach dem Prinzip so wenig wie möglich vergeben und regelmäßig prüfen.
• Automatische Updates für Betriebssysteme und Anwendungen.
• Regelmäßige, getestete Datensicherung.
• Protokollierung sicherheitsrelevanter Ereignisse.
• Geregelte Löschung und Entsorgung alter Datenträger.

Dokumentieren ist Teil der Pflicht

Die DSGVO verlangt nicht nur Schutzmaßnahmen, sondern auch deren Nachweis. Halten Sie die technischen und organisatorischen Maßnahmen schriftlich fest und aktualisieren Sie sie bei Änderungen, etwa nach einer Cloud-Umstellung. Ihr IT-Dienstleister liefert die technischen Angaben; die rechtliche Bewertung trifft die Geschäftsleitung, gegebenenfalls mit dem Datenschutzbeauftragten.

Ein typisches Szenario

Ein häufiges Beispiel: Ein Laptop mit Kundendaten wird im Zug vergessen. Ist die Festplatte verschlüsselt und der Zugang mit einem starken Passwort geschützt, bleibt es meist bei einem ärgerlichen Geräteverlust. Ist sie es nicht, liegt ein Datenschutzvorfall vor, der in der Regel innerhalb von 72 Stunden gemeldet werden muss und unter Umständen die Information der Betroffenen erfordert. Eine einfache, einmal eingerichtete Maßnahme macht hier den entscheidenden Unterschied.

So gehen Sie Schritt für Schritt vor

• Überblick: Wo werden personenbezogene Daten gespeichert und verarbeitet?
• Schutzbedarf einschätzen: Welche Daten sind besonders sensibel?
• Maßnahmen umsetzen: Verschlüsselung, Zugriffskontrolle, Sicherung.
• Dokumentieren: technische und organisatorische Maßnahmen festhalten.
• Regelmäßig prüfen: jährlich und bei größeren Änderungen.

Aufwand realistisch einschätzen

Viele Maßnahmen lassen sich mit vorhandener Technik umsetzen, zum Beispiel die Verschlüsselung in Windows oder die Zugriffsrechte in Microsoft 365. Mehr Zeit braucht oft die Dokumentation. Hier hilft es, wenn der IT-Dienstleister die technischen Angaben liefert und der Datenschutzbeauftragte sie einordnet.

Typische Lücken in kleinen Unternehmen

• Gemeinsam genutzte Benutzerkonten ohne Zuordnung zu Personen.
• Alte Konten ehemaliger Mitarbeitender, die noch aktiv sind.
• Unverschlüsselte USB-Sticks und externe Festplatten.
• Backups, deren Wiederherstellung nie getestet wurde.
• Kundendaten in privaten Cloud-Speichern oder Messengern.

Diese Lücken entstehen selten aus Nachlässigkeit, sondern weil im Alltag niemand Zeit für Aufräumarbeiten hat. Eine jährliche Prüfung mit einer festen Checkliste deckt sie zuverlässig auf und lässt sich gut mit der Aktualisierung der Dokumentation verbinden.

Kurz zusammengefasst

• Artikel 32 DSGVO verlangt angemessene Sicherheit.
• Verschlüsselung mobiler Geräte ist Pflichtprogramm.
• Rechte so knapp wie möglich vergeben.
• Maßnahmen schriftlich dokumentieren und aktuell halten.

Fazit

DSGVO-Compliance ist keine lästige Pflicht, sondern schützt Ihr Unternehmen vor Datenpannen und Bußgeldern. Beginnen Sie mit einer Bestandsaufnahme und setzen Sie die technischen Maßnahmen schrittweise um.