Datenschutz im Unternehmen: Erste Schritte

Datenschutz hat in vielen Unternehmen einen Ruf als bürokratisches Pflichtprogramm. Tatsächlich steht am Anfang nur eine einfache Frage: Wissen Sie, welche personenbezogenen Daten in Ihrem Unternehmen wo liegen und wer darauf zugreifen kann? Wer diese Frage beantworten kann, hat den schwierigsten Teil schon geschafft. Dieser Artikel zeigt, in welcher Reihenfolge Sie vorgehen, welche Fragen Sie Dienstleistern stellen sollten und was Sie sich am Anfang getrost sparen können.

Schritt eins: Bestandsaufnahme statt Aktionismus

Bevor Sie etwas schützen können, müssen Sie wissen, was Sie haben. Listen Sie zunächst, welche personenbezogenen Daten in Ihrem Unternehmen anfallen. Das sind in der Regel mehr, als man denkt:

• Kundendaten in Angeboten, Rechnungen, E-Mail-Postfächern und im Vertrieb
• Mitarbeiterdaten in Personalakten, Lohnabrechnung und Zeiterfassung
• Bewerbungsunterlagen, oft verstreut über mehrere E-Mail-Postfächer
• Kontakte von Lieferanten und Geschäftspartnern
• Papier: Akten, Ausdrucke, handschriftliche Notizen

Notieren Sie zu jeder Kategorie drei Dinge: Wo liegen die Daten (Server, Cloud, Laptops, Smartphones, Aktenschrank), wer hat Zugriff, und wie lange werden sie aufbewahrt. Aus dieser Übersicht entsteht fast von selbst das Verzeichnis der Verarbeitungstätigkeiten, das die Datenschutz-Grundverordnung von den meisten Unternehmen verlangt. Am Anfang reicht dafür eine sauber gepflegte Tabelle. Spezialsoftware lohnt sich erst, wenn Sie viele Prozesse dokumentieren müssen.

Schritt zwei: Verantwortlichkeit klären

Rechtlich verantwortlich ist die Geschäftsführung. Sie kann Aufgaben delegieren, die Verantwortung bleibt aber bei ihr. Benennen Sie deshalb schriftlich eine Person, die das Thema im Alltag koordiniert: Sie pflegt das Verzeichnis, nimmt Anfragen entgegen und ist Ansprechpartnerin für die Belegschaft.

Einen Datenschutzbeauftragten müssen Sie bestellen, wenn in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. In einem Unternehmen, in dem viele Mitarbeiter täglich am Computer mit Kunden- oder Personaldaten arbeiten, ist diese Schwelle schneller erreicht, als es auf den ersten Blick scheint. Liegen Sie darunter und verarbeiten Sie keine besonders sensiblen Daten, reicht meist eine geschulte verantwortliche Person. Ein externer Datenschutzbeauftragter lohnt sich vor allem dann, wenn die Pflicht besteht oder wenn Sie komplexe Verarbeitungen haben, etwa Gesundheitsdaten oder eine umfangreiche Videoüberwachung.

Schritt drei: Technik und Organisation auf ein solides Niveau bringen

Sie müssen kein Hochsicherheitszentrum bauen. Entscheidend ist, dass die Grundlagen stimmen:

• Zugänge: Jeder Mitarbeiter erhält nur die Rechte, die er für seine Aufgabe braucht. Geteilte Benutzerkonten sind tabu.
• Anmeldung: Ausreichend starke Passwörter und, wo möglich, eine Mehrfaktor-Authentifizierung, besonders für E-Mail und Cloud-Dienste.
• Aktualität: Betriebssysteme und Programme erhalten zeitnah Updates.
• Datensicherung: Backups laufen automatisch, und die Wiederherstellung wird tatsächlich getestet.
• Mobilgeräte: Laptops und Smartphones werden verschlüsselt, damit ein Verlust nicht zur Datenpanne wird.
• Austritte: Wenn ein Mitarbeiter das Unternehmen verlässt, werden seine Zugänge am selben Tag gesperrt.
• Papier: Personalakten gehören in abschließbare Schränke, Altpapier mit Personaldaten in den Aktenvernichter, nicht in die Papiertonne.

Prüfen Sie diese Punkte der Reihe nach. Überall, wo Sie eine Lücke finden, notieren Sie sie mit einer Priorität und einem Zuständigen.

Schritt vier: Dienstleister unter die Lupe nehmen

Lohnabrechnung, Cloudspeicher, E-Mail-Hosting, die Wartungsfirma mit Fernzugriff auf Ihre Server: Sobald ein externer Dienstleister personenbezogene Daten für Sie verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung. Stellen Sie jedem Anbieter dieselben Fragen:

• Wo werden die Daten verarbeitet, innerhalb der Europäischen Union oder außerhalb?
• Gibt es einen Vertrag zur Auftragsverarbeitung, und lässt er sich ohne Widerstand abschließen?
• Welche Unterauftragnehmer setzt der Anbieter ein?
• Was passiert bei Vertragsende: Bekommen Sie Ihre Daten in einem brauchbaren Format zurück, und werden sie beim Anbieter nachweisbar gelöscht?
• Wie informiert der Anbieter Sie, wenn bei ihm etwas schiefläuft?

Woran Sie erkennen, dass ein Anbieter ein Risiko ist: Er kann Ihnen den Speicherort nicht klar benennen, weicht beim Thema Auftragsverarbeitung aus oder hat keinen benennbaren Ansprechpartner für Sicherheitsfragen. Dann sollten Sie die Zusammenarbeit überdenken, bevor Sie Daten dorthin verlagern.

Schritt fünf: Mitarbeiter einbinden

Die meisten Vorfälle entstehen nicht durch Hacker, sondern im Alltag: eine E-Mail an den falschen Empfänger, ein USB-Stick im Schaltschrank, ein privates Gerät ohne Sperre. Deshalb gehört Datenschutz in die Köpfe der Belegschaft. Verpflichten Sie alle Mitarbeiter schriftlich zur Vertraulichkeit, schulen Sie sie in verständlicher Form und legen Sie klare Regeln fest: für den Umgang mit E-Mail-Anhängen, für private Geräte, für die Arbeit von zu Hause. Eine kurze Richtlinie, die jeder versteht, schützt besser als ein langes Konzeptpapier, das niemand liest.

Schritt sechs: Prozesse für Anfragen und Vorfälle festlegen

Betroffene haben das Recht auf Auskunft über ihre Daten und können unter bestimmten Voraussetzungen Löschung verlangen. Legen Sie fest, wer solche Anfragen annimmt, wer sie beantwortet und wie die Identität der anfragenden Person geprüft wird. Die gesetzlichen Antwortfristen sind kurz; wer erst im Ernstfall über Zuständigkeiten nachdenkt, verpasst sie.

Gleiches gilt für Datenpannen, etwa wenn ein Laptop verloren geht oder ein Postfach fremdgenutzt wird. Halten Sie schriftlich fest, wer intern informiert wird, wer den Vorfall dokumentiert und wer entscheidet, ob eine Meldung an die Aufsichtsbehörde und eine Information der Betroffenen erforderlich ist. Die Meldung muss unverzüglich erfolgen; ein vorbereiteter Ablauf spart hier wertvolle Zeit.

Was Sie sich am Anfang sparen können

Nicht alles, was im Umlauf ist, ist für ein Unternehmen Ihrer Größe sinnvoll. Eine Zertifizierung ist für die meisten kleinen und mittleren Betriebe nicht erforderlich und bindet Ressourcen, die in den Grundlagen besser aufgehoben sind. Spezialsoftware für das Verarbeitungsverzeichnis brauchen Sie erst bei vielen Prozessen. Und Perfektionismus ist kein Ziel: Datenschutz ist kein Projekt mit Enddatum, sondern ein Dauerzustand. Arbeiten Sie lieber priorisiert nach Risiko, als monatelang an der vollständigen Dokumentation zu feilen, während die Zugänge ehemaliger Mitarbeiter noch aktiv sind.

Warnsignale, dass Sie nachbessern müssen

Einige Beobachtungen im Alltag zeigen zuverlässig, dass der Datenschutz im Unternehmen Lücken hat:

• Niemand kann sagen, wo eingehende Bewerbungen landen und wann sie gelöscht werden.
• Ehemalige Mitarbeiter haben noch aktive Zugänge.
• E-Mail-Postfächer dienen als Archiv, ohne Löschkonzept.
• Cloud-Dienste werden genutzt, ohne dass ein Vertrag zur Auftragsverarbeitung existiert.
• Geschäftliche Kommunikation läuft über private Mailkonten oder private Messenger.

Wenn Sie einen dieser Punkte in Ihrem Unternehmen wiedererkennen, ist das Ihr erster Arbeitsauftrag – noch vor jeder neuen Maßnahme.

Ordnung statt Perfektion

Die ersten Schritte im Datenschutz folgen einer einfachen Logik: Erst wissen, was man hat. Dann Verantwortung klären, Grundlagen absichern, Dienstleister prüfen, Mitarbeiter einbinden und Abläufe für den Ernstfall festlegen. Wer diese Reihenfolge einhält und regelmäßig überprüft, hat mehr erreicht als mit jeder noch so ausgefeilten Einzelmaßnahme – und kann bei einer Prüfung oder Anfrage gelassen bleiben.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.