Was ist das eigentlich?
Denken Sie an geliehenes Werkzeug. Wenn Ihnen ein Nachbar seine Maschine leiht, gelten ungeschriebene Regeln: Sie benutzen sie für das, was Sie angekündigt haben. Sie stellen sie nicht ungefragt weiter. Sie lassen sie nicht draußen im Regen stehen. Und wenn die Arbeit erledigt ist, geben Sie sie zurück. Das Werkzeug gehört Ihnen nicht, Sie haben es nur vorübergehend.
Genau so behandelt die DSGVO Daten über Menschen. Die Adresse Ihres Kunden, die Telefonnummer Ihrer Mitarbeiterin, die Krankmeldung aus der Personalakte, all das gehört rechtlich nicht Ihnen, sondern der Person dahinter. Sie dürfen damit arbeiten, solange Sie einen nachvollziehbaren Grund haben. Sie müssen sorgsam damit umgehen. Und wenn der Grund entfällt, müssen die Daten weg. Aus dieser einen Idee folgt fast alles, was die Verordnung von Ihnen verlangt.
Was macht das konkret?
- Ein Grund für jede Verarbeitung. Sie dürfen Daten nur erheben, wenn es dafür einen zulässigen Anlass gibt, etwa einen Vertrag, eine gesetzliche Pflicht oder eine ausdrückliche Einwilligung. „Könnte man später mal brauchen“ zählt nicht dazu.
- Nur so viel wie nötig. Für einen Reparaturauftrag brauchen Sie Adresse und Telefonnummer, nicht das Geburtsdatum. Je weniger Sie speichern, desto weniger müssen Sie schützen.
- Angemessen schützen. Verlangt wird ein Schutz, der zum Risiko passt: verschlüsselte Notebooks, persönliche Zugänge statt eines gemeinsamen Passworts, geprüfte , abschließbare Räume.
- Auskunft geben und löschen können. Jede Person darf fragen, welche Daten Sie über sie gespeichert haben, und unter bestimmten Voraussetzungen deren Löschung verlangen. Das setzt voraus, dass Sie es überhaupt herausfinden können.
- Dienstleister vertraglich einbinden. Wenn ein Anbieter für Sie Daten verarbeitet (Ihr Steuerbüro, Ihr Cloud-Anbieter, auch wir), gehört dazu ein Auftragsverarbeitungsvertrag, in dem steht, was er darf und was nicht.
Warum ist das für Ihr Unternehmen wichtig?
Der offensichtliche Grund sind die Bußgelder. Sie richten sich nach Schwere und Umsatz und können empfindlich ausfallen. In der Praxis erleben kleinere Betriebe allerdings selten die große Prüfung. Sie erleben den verärgerten Ex-Mitarbeiter, der Auskunft verlangt, oder den Kunden, der sich beschwert. Und die Aufsichtsbehörde meldet sich, weil jemand sie eingeschaltet hat.
Der zweite Grund wiegt schwerer: Vertrauen. Eine Praxis lebt davon, dass Patienten ihre Diagnosen bei ihr sicher wissen. Eine Kanzlei lebt davon, dass Mandanten offen reden. Wenn Unterlagen im falschen Postfach landen, ist der Schaden am Ruf größer als jedes Bußgeld, und er lässt sich nicht überweisen.
Der dritte Grund ist unangenehm praktisch: Datenschutz ist zur Einkaufsvoraussetzung geworden. Größere Auftraggeber, Versicherungen und öffentliche Stellen fragen inzwischen nach, wie Sie Daten schützen. Wer darauf keine Antwort hat, fällt aus der Auswahl, nicht wegen eines Vorfalls, sondern wegen einer unbeantworteten Frage im Formular.
Brauchen Sie das?
- Sie speichern Kunden-, Patienten- oder Mandantendaten auf Computern
- Mitarbeiter arbeiten mit Notebooks außerhalb des Büros
- Mehrere Personen nutzen gemeinsame Zugänge oder Passwörter
- Sie können nicht sicher sagen, wer bei Ihnen auf welche Ordner zugreifen kann
- Ein Auftraggeber hat Sie schon einmal nach Ihren Schutzmaßnahmen gefragt
So setzen wir das bei Ihnen um
Wir kümmern uns um die technische Seite: Wir verschlüsseln Geräte, räumen Zugriffsrechte auf, richten einen zweiten Nachweis bei der Anmeldung ein und sorgen dafür, dass Ihre Datensicherung wirklich funktioniert. Wo es um Formulierungen und rechtliche Bewertungen geht, arbeiten wir Ihrem Anwalt oder Datenschutzbeauftragten zu, statt uns als Rechtsberatung auszugeben.
Sind besonders schützenswerte Daten im Spiel, sehen wir uns zusätzlich an, welche Dienste besser im eigenen Haus laufen. Ein Mailserver mit oder eine Dateiablage auf einem eigenen kommt ohne Auftragsverarbeitung bei einem fremden Anbieter aus, und die Frage nach dem Speicherort beantwortet sich von selbst. Dafür braucht beides jemanden, der die Systeme pflegt und sichert.
Welche Schutzmaßnahmen dazugehören und wie wir vorgehen, lesen Sie auf unserer Seite zur IT-Sicherheit.
Häufige Fragen
Gilt die DSGVO auch für kleine Betriebe?
Ja. Es gibt keine Untergrenze bei der Mitarbeiterzahl. Sobald Sie Namen, Adressen, Telefonnummern oder Krankmeldungen verarbeiten, sind Sie in der Pflicht. Das trifft auf jede Praxis, jede Kanzlei und jeden Handwerksbetrieb zu. Nur der Umfang der Maßnahmen unterscheidet sich, nicht die grundsätzliche Verantwortung.
Brauche ich einen Datenschutzbeauftragten?
Das hängt unter anderem davon ab, wie viele Personen bei Ihnen ständig mit personenbezogenen Daten arbeiten und um welche Art von Daten es geht. Die Regeln dazu stehen im Bundesdatenschutzgesetz. Wir sind IT-Dienstleister und keine Rechtsberatung. Lassen Sie diese eine Frage von einem Anwalt oder einem Datenschutzbeauftragten beantworten, das ist schnell erledigt.
Was kostet es, meine IT datenschutzkonform aufzustellen?
Das hängt davon ab, was schon da ist. Oft fehlen keine teuren Geräte, sondern Kleinigkeiten: verschlüsselte Notebooks, saubere Zugriffsrechte, ein zweiter Nachweis bei der Anmeldung, ein geprüftes Backup. Wir sehen uns Ihre Umgebung an und rechnen Ihnen die sinnvollen Schritte vorher aus.
Was ist der Unterschied zwischen DSGVO und NIS2?
Die DSGVO schützt die Menschen, deren Daten Sie verarbeiten. NIS2 schützt die Funktionsfähigkeit Ihres Betriebs und der Wirtschaft insgesamt. Die DSGVO gilt für alle, NIS2 nur für bestimmte Branchen und Größen. In der Technik überschneiden sich beide stark, denn wer sauber sichert und Zugriffe regelt, erfüllt Anforderungen aus beiden Regelwerken.
Was muss ich tun, wenn Daten abhandengekommen sind?
Bei einer Datenpanne ist die zuständige Aufsichtsbehörde in der Regel innerhalb von 72 Stunden zu informieren, und bei hohem Risiko müssen auch die Betroffenen Bescheid wissen. Diese Frist ist knapp, deshalb sollte vorher feststehen, wer im Ernstfall was tut. Genau dafür gibt es den Notfallplan.