DSGVO
DSGVO in der IT-Praxis: Die wichtigsten Pflichten
Die Datenschutz-Grundverordnung gilt seit 2018, und doch bleibt sie im Alltag vieler IT-Abteilungen ein Dauerthema. Das liegt weniger an neuen Regeln als daran, dass sich Systeme, Cloud-Dienste und Prozesse ständig ändern. Datenschutz ist deshalb keine einmalige Aufgabe, sondern Teil des Betriebs.
Verzeichnis von Verarbeitungstätigkeiten
Das Verzeichnis nach Art. 30 DSGVO beschreibt, welche personenbezogenen Daten zu welchem Zweck in welchen Systemen verarbeitet werden. Für die IT ist es zugleich eine wertvolle Landkarte: Wer weiß, wo Daten liegen, kann sie auch schützen und löschen.
Auftragsverarbeitung
Jeder externe Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung. Das betrifft Cloud-Plattformen ebenso wie Wartungsdienstleister. Bei Anbietern außerhalb der EU kommen Fragen zum Drittlandtransfer hinzu.
Technische und organisatorische Maßnahmen
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Typische Bausteine sind:
- Zugriffskonzepte nach dem Prinzip der minimalen Rechte
- Verschlüsselung von Datenträgern und Übertragungen
- Backups mit getesteter Wiederherstellung
- Protokollierung und regelmäßige Überprüfung
Löschen nicht vergessen
Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert. Ein Löschkonzept legt Fristen fest und regelt, wie Löschung auch in Backups und Archiven umgesetzt wird. Ohne technische Unterstützung bleibt diese Pflicht oft Theorie.
Datenschutz-Folgenabschätzung
Bei Verarbeitungen mit voraussichtlich hohem Risiko, etwa umfangreicher Überwachung oder dem Einsatz neuer Technologien, ist vorab eine Datenschutz-Folgenabschätzung nötig. Die IT liefert dafür die technische Bewertung.
Wer diese Bausteine sauber dokumentiert, schafft nicht nur Rechtssicherheit, sondern auch eine gute Grundlage für NIS-2 und andere Anforderungen.