Dein Unternehmen verarbeitet Kundeninformationen, Beschäftigtendaten oder andere personenbezogene Angaben. Du möchtest diese Daten schützen und suchst Unterstützung. Dabei können Datenschutzberatung und IT-Sicherheitsbetreuung zusammengehören, ohne dieselbe Aufgabe zu erfüllen. Für eine gute Kaufentscheidung musst Du den Unterschied nicht juristisch auswendig lernen. Du solltest aber erkennen, wer den Datenumgang beurteilt, wer Maßnahmen technisch umsetzt und wie beide Seiten zusammenarbeiten. Genau diese Verbindung verhindert, dass ein gutes Konzept auf dem Papier bleibt oder eine technische Lösung am tatsächlichen Bedarf vorbeigeht.
Mit dem Datenweg statt einem Produkt anfangen
Nimm einen wichtigen Arbeitsablauf als Ausgangspunkt: Eine Kundenanfrage kommt an, wird bearbeitet, in einer Anwendung gespeichert und später abgeschlossen. Welche personenbezogenen Informationen entstehen dabei? Wer benötigt sie, an welchen Stellen werden sie weitergegeben, und welche Systeme sind beteiligt? Diese Beschreibung hilft Datenschutzfachpersonen und IT-Dienstleistern gleichermaßen. Dafür brauchst Du zunächst keinen vollständigen technischen Netzplan. Die Fachbereiche können erklären, wie sie tatsächlich arbeiten; die technischen Details lassen sich anschließend erheben.
Datenschutz richtet sich auf die Rechte und Freiheiten der betroffenen Menschen. Informationssicherheit betrachtet zugleich weitere Unternehmensinformationen und die Arbeitsfähigkeit Deiner Systeme. Die Bereiche überschneiden sich beim Schutz personenbezogener Daten. Ein Sicherheitsdienst kann zum Beispiel Zugänge und Sicherungen betreuen, ohne damit bereits alle Fragen zur zulässigen Verwendung der Daten zu beantworten. Umgekehrt installiert eine datenschutzrechtliche Bewertung noch keine Schutzmaßnahme in Deiner Fachanwendung.
Artikel 32 DSGVO verlangt ein angemessenes Schutzniveau anhand des konkreten Risikos und berücksichtigt dabei unter anderem Stand der Technik, Verarbeitung und Implementierungskosten. Er nennt auch Wiederherstellung und Überprüfung der Wirksamkeit. Für Deinen Auftrag ist deshalb der tatsächliche Datenweg die bessere Grundlage als die Suche nach einer vermeintlich allgemeingültigen Produktliste. Lass erklären, welche Schutzmaßnahmen für Deinen Ablauf gebraucht werden und wie ihre Wirkung beurteilt werden kann. DSGVO: amtliche BfDI-Publikation
Wenn eine Anwendung mehrere Zwecke unterstützt, betrachte diese Unterschiede ausdrücklich. Derselbe Dienst kann Kundentermine, interne Personalinformationen und allgemeine Dokumente enthalten. Nicht jede Person braucht Zugriff auf sämtliche Bereiche. Ein Anbieter sollte die Nutzung verstehen, bevor er pauschale Zugriffsrechte oder ein einziges Schutzmodell vorschlägt. Du kaufst damit eine passende Lösung für Deine Verarbeitung, nicht bloß das Schlagwort „DSGVO-konform“.
Beratung, Umsetzung und Kontrolle klar zuordnen
Für Deine Leistungsbeschreibung helfen drei Fragen: Wer bewertet den Umgang mit den Daten? Wer führt technische und organisatorische Maßnahmen aus? Wer überprüft, ob sie den gewünschten Zweck erfüllen? Diese Aufgaben können von mehreren Beteiligten übernommen werden. Entscheidend ist, dass die Übergaben ausdrücklich vereinbart sind. Wenn alle Anbieter nur beraten, bleibt die Umsetzung offen. Wenn ausschließlich technische Arbeiten beauftragt werden, können notwendige fachliche Entscheidungen fehlen.
Ein Datenschutzbeauftragter hat insbesondere Beratungs- und Überwachungsaufgaben. Daraus folgt nicht automatisch die operative Betreuung Deiner Geräte, Konten und Sicherungen. Lass deshalb im Angebot erkennen, welche zusätzlichen Leistungen tatsächlich enthalten sind. Wenn ein Anbieter mehrere Rollen übernimmt, müssen mögliche Interessenkonflikte betrachtet werden. Für Dein Unternehmen ist wichtig, dass Aufgaben und Kontrolle sinnvoll organisiert bleiben. Die bloße Bezeichnung „alles aus einer Hand“ beantwortet diese Frage nicht.
Beschreibe auch Deine interne Rolle. Die Geschäftsleitung muss benötigte Entscheidungen treffen können, und Fachbereiche kennen den geschäftlichen Zweck der Verarbeitung. Der IT-Dienstleister kennt wiederum Möglichkeiten und Grenzen der Systeme. Ein sinnvoller Beratungsweg bringt diese Informationen zusammen. Frage, wie offene Punkte in eine Entscheidung überführt werden und wer anschließend die Umsetzung beauftragt. Eine kleine, klar zusammengesetzte Abstimmung kann dafür besser funktionieren als mehrere unabhängig gelieferte Berichte.
Besonders praktisch ist ein gemeinsam besprochener Beispieldurchlauf aus Deinem Betrieb. Lass für einen relevanten Datenweg erläutern, welche fachliche Frage geklärt wird, welche technische Arbeit folgt und wie der Abschluss nachgewiesen werden soll. Die Beteiligten müssen dabei nicht jedes Detail derselben Fachsprache sprechen. Der Anbieter sollte die Entscheidungen so erklären, dass Du ihren Nutzen und Aufwand beurteilen kannst. Wenn Du auch nach dem Gespräch nicht weißt, wer die Maßnahme tatsächlich ausführt, ist der Leistungsumfang noch nicht ausreichend beschrieben.
Schutzmaßnahmen als nutzbare Arbeitswege gestalten
Technische und organisatorische Maßnahmen werden häufig mit „TOM“ abgekürzt. Für Deine Kaufentscheidung ist ihre konkrete Anwendung wichtiger als die Abkürzung. Bei Zugriffsrechten geht es etwa darum, welche Beschäftigten bestimmte Daten sehen oder verändern dürfen. Bei einer Sicherung geht es darum, welche Daten nach einem Zwischenfall wieder verfügbar werden sollen. Bei einer organisatorischen Regel geht es darum, wie das Team diesen Arbeitsweg verlässlich nutzt.
Lass den Anbieter Maßnahmen an den tatsächlichen Aufgaben erklären. Eine Beschränkung muss die benötigte Arbeit ermöglichen und unnötige Zugriffe begrenzen. Für Ausnahmen braucht es eine fachliche Entscheidung und einen geeigneten technischen Weg. Wenn Beschäftigte nur mit privaten Ersatzlösungen eine Aufgabe erledigen können, ist die vorgesehene Umsetzung möglicherweise unpraktikabel. Frage deshalb nach einem vorgeführten Arbeitsablauf und nach Rückmeldungen derjenigen, die die Anwendung täglich nutzen.
Auch Verschlüsselung braucht einen betreuten Zusammenhang. Welche Daten werden geschützt, wer verwaltet die Schlüssel und wie bleibt eine autorisierte Wiederherstellung möglich? Ein Anbieter sollte keine konkrete Schutzwirkung versprechen, ohne die eingesetzten Systeme zu kennen. Gleichzeitig gehört zur Lösung, unnötige Offenlegung bei Übergaben und Support zu vermeiden. Für die erste Angebotsanfrage reichen Angaben zur Umgebung; sensible Datenbestände oder Zugangsmittel sollten erst über einen vereinbarten geschützten Weg bereitgestellt werden.
Ordne die Maßnahmen nach ihrer Funktion. Einige schützen vor unberechtigtem Zugriff, andere unterstützen Wiederherstellung oder machen Veränderungen nachvollziehbar. Eine einzelne technische Kontrolle kann nicht alle diese Aufgaben gleichzeitig übernehmen. Lass vorhandene Lösungen berücksichtigen und begründen, was ergänzt werden muss. So vermeidest Du einen Einkauf ausschließlich nach Produktnamen. Entscheidend ist, welche Lücke geschlossen wird, welcher Aufwand dafür nötig ist und wie die Lösung anschließend im Betrieb gepflegt wird.
Fremdzugriffe und Verarbeitung im Auftrag bewusst prüfen
Wenn ein externer Anbieter personenbezogene Daten in Deinem Auftrag verarbeitet, sind seine tatsächlichen Aufgaben datenschutzrechtlich einzuordnen. Artikel 28 DSGVO regelt die Anforderungen an Auftragsverarbeiter. Dazu gehören unter anderem vertraglicher Umfang, Weisungen, Vertraulichkeit und Unterstützung bei bestimmten Pflichten. Daraus folgt aber nicht, dass jede beliebige Tätigkeit eines Dienstleisters automatisch dieselbe Rolle besitzt. Lass die Einordnung anhand der konkreten Leistung von einer qualifizierten Datenschutzfachperson vornehmen.
Für die IT-Betreuung interessiert Dich zusätzlich der praktische Zugriff. Welche Personen können auf welche Systeme zugreifen? Werden nur notwendige Berechtigungen vergeben, und wie endet ein Zugang nach Abschluss der Aufgabe? Frage, wie Fernwartung und Support durchgeführt werden. Ein Vertrag ist wichtig, sollte aber mit dem tatsächlichen Arbeitsweg übereinstimmen. Wenn der Anbieter regelmäßig Daten außerhalb der beschriebenen Umgebung verwendet, muss diese Abweichung geklärt werden.
Berücksichtige weitere Beteiligte, die der Anbieter einsetzt. Ein Unterauftrag oder ein zusätzlicher Dienst kann den Datenweg verändern. Du brauchst verständliche Informationen darüber, welche Teile der Leistung weitergegeben werden und wie Änderungen behandelt werden. Die konkrete rechtliche Beurteilung hängt von Verarbeitung und Vereinbarungen ab. Für den Angebotsvergleich sollte der Anbieter die beteiligten Dienste so benennen können, dass Deine Datenschutzfachperson den Umfang tatsächlich prüfen kann.
Zur Zusammenarbeit gehört außerdem der Abschluss. Was wird zurückgegeben, was gelöscht, und welche Daten müssen möglicherweise weiter aufbewahrt werden? Lass diese Fragen nicht erst bei einer Kündigung entstehen. Dein Unternehmen sollte die für den Betrieb benötigten Informationen und Dokumentationen verfügbar behalten. Der IT-Dienstleister kann geeignete technische Wege erklären, während die fachlich zuständigen Personen den zulässigen Umfang bestimmen. Damit wird der Ausstieg planbar, ohne eine pauschale Löschzusage zu machen, die tatsächliche Verpflichtungen oder benötigte Daten übersieht.
Wirksamkeit prüfen und Vorfälle gemeinsam bearbeiten
Eine dokumentierte Maßnahme ist nicht automatisch eine wirksame Maßnahme. Frage nach einem geeigneten Nachweis für den jeweiligen Zweck. Für Rollen und Zugriffe kann eine kontrollierte Berechtigungsprüfung sinnvoll sein. Für Sicherungen ist eine passende Wiederherstellungsprüfung aussagekräftiger als die bloße Existenz eines Sicherungsplans. Der konkrete Prüfumfang sollte zur Umgebung passen und den laufenden Betrieb schützen. Deine Anbieter müssen erklären können, welche Aussage das Ergebnis tatsächlich stützt.
Lass auch festlegen, wie Veränderungen aufgenommen werden. Ein neuer Dienst, ein zusätzlicher Datenzweck oder ein veränderter Personenkreis kann Anpassungen erforderlich machen. Wer meldet diese Änderung und wer prüft ihre Auswirkungen? Die Zusammenarbeit sollte an solchen Anlässen erneut auf den Datenweg schauen. Dafür braucht es keinen ständigen Großtermin. Ein bekannter Kontaktweg und nachvollziehbare Entscheidungen helfen, die Schutzmaßnahmen mit dem Betrieb aktuell zu halten.
Bei einem möglichen Vorfall müssen technische und datenschutzbezogene Informationen zusammenkommen. Die IT kann beispielsweise feststellen, welche Systeme betroffen sind und welche Maßnahmen ausgeführt wurden. Datenschutzfachpersonen benötigen diese Informationen, um die Auswirkungen auf personenbezogene Daten zu beurteilen. Vereinbare einen erreichbaren Meldeweg und die Weitergabe belastbarer Zwischenstände. Es wäre ungünstig, erst auf einen perfekten Abschlussbericht zu warten, während die zuständigen Personen notwendige Entscheidungen noch gar nicht vorbereiten können.
Unterscheide dabei Beobachtungen von Vermutungen. Ein ausgefallenes System belegt nicht automatisch einen Datenabfluss. Umgekehrt kann eine ungewöhnliche Anmeldung weitere Prüfung benötigen, auch wenn der Arbeitsbetrieb normal weiterläuft. Ein Anbieter sollte bekanntes Geschehen, offene Fragen und nächste Untersuchungen nachvollziehbar erklären. Dein Unternehmen behält damit eine brauchbare Entscheidungsgrundlage. Pauschale Entwarnung oder vorschnelle Alarmbehauptungen helfen weder der technischen Bearbeitung noch der sachlichen Beurteilung des Datenschutzrisikos.
Angebote nach einem gemeinsam erreichbaren Ergebnis auswählen
Eine gute Anfrage beschreibt den wichtigsten Datenweg, Deine genutzten Systeme und die gewünschte Unterstützung. Vielleicht brauchst Du zunächst eine gemeinsame Bestandsaufnahme. Vielleicht liegen fachliche Entscheidungen schon vor und es fehlt die technische Umsetzung. Oder bestehende Maßnahmen sollen auf ihre Wirkung geprüft werden. Diese Ausgangslagen führen zu unterschiedlichen Aufträgen. Lass sie im Angebot trennen, statt lediglich verschiedene Stundenpakete miteinander zu vergleichen.
Frage, welche Ergebnisse Du erhältst. Eine verständliche Übersicht von Datenwegen, ein umsetzbarer Maßnahmenplan und eine technisch bestätigte Änderung erfüllen unterschiedliche Zwecke. Benenne, welches Ergebnis Du für Deine nächste Entscheidung benötigst. Wichtig ist außerdem, dass notwendige Informationen an die zuständigen Beteiligten übergeben werden. Ein technisch präziser Bericht bringt wenig, wenn die Datenschutzberatung seine Aussagen nicht einordnen kann oder der Fachbereich den vorgesehenen Arbeitsweg nicht versteht.
Vergleiche einmalige und laufende Leistungen. Zur Einrichtung können Erhebung, fachliche Abstimmung, technische Änderungen und Einweisung gehören. Für den Betrieb können Pflege, wiederkehrende Prüfungen und Hilfe bei Änderungen erforderlich sein. Lass Zusatzarbeiten und benötigte interne Zeit offen ausweisen. Damit erkennst Du, ob Dein Unternehmen den vorgeschlagenen Ablauf tatsächlich tragen kann. Ein billigeres Angebot ist nicht automatisch schlechter, muss aber auf demselben Umfang beruhen, wenn Du den Preis sinnvoll vergleichen möchtest.
Wähle die Zusammenarbeit, bei der Entscheidungen und Ausführung verbunden bleiben. Die Datenschutzfachperson beurteilt die Verarbeitung, der IT-Dienstleister setzt den vereinbarten Schutz im passenden Umfang um, und Dein Unternehmen kann die Wirkung beurteilen. Das Ziel ist ein nutzbarer, betreuter Umgang mit Daten. Eine umfangreiche Dokumentensammlung kann diesen Weg unterstützen, sollte ihn aber nicht ersetzen. Wenn Dir die Anbieter den Ablauf konkret erklären können, hast Du eine tragfähige Grundlage für Deine Beauftragung.
Für die Abnahme eines Maßnahmenpakets hilft eine gemeinsame Gegenprobe. Wähle einen erlaubten und einen nicht vorgesehenen Zugriff aus dem besprochenen Datenweg. Der Dienstleister soll zeigen, wie die Umsetzung diese Fälle unterscheidet, ohne echte vertrauliche Daten unnötig offenzulegen. Die Fachperson beurteilt den gewählten Zweck, die IT den technischen Nachweis. So wird nachvollziehbar, ob die vereinbarte Maßnahme im tatsächlich genutzten System greift und welche Aussage die Prüfung erlaubt.
Bei umfangreicheren Maßnahmen solltest Du einen nutzbaren Zwischenstand vereinbaren. Vielleicht sind Rollen bereits geklärt, während eine technische Änderung noch auf einen Herstellertermin wartet. Der Bericht sollte diesen Unterschied darstellen und sagen, welche bisherigen Schutzmaßnahmen weiter gelten. Ein Zwischenstand darf offene Umsetzung nicht als abgeschlossen ausweisen. Gleichzeitig kann er Deine nächste Entscheidung vorbereiten, wenn seine Grenzen verständlich bleiben.
Die Unterlagen sollen anschließend an einer bekannten Stelle gepflegt werden. Wenn das Rollenmodell im IT-Vertrag etwas anderes beschreibt als die Datenschutzdokumentation, entstehen unnötige Rückfragen. Frage nach dem Ablauf zur Aktualisierung beider Seiten. Es geht um einen gemeinsamen Sachstand, aus dem technische Arbeit und fachliche Bewertung ihre jeweils benötigten Informationen erhalten.
Passende Unterstützung für Datenschutz und IT anfragen
Auf IT-Sicherheit Angebote kannst Du kostenfrei und unverbindlich Unterstützung anfragen. Wähle auf der Startseite das passende Anliegen und die nächstliegende IT-Umgebung. Welche Datenschutzberatung bereits vorhanden ist und wo Du technische Hilfe benötigst, klärst Du in der Rückmeldung. Halte Deine wichtigsten Datenwege und offenen Zuständigkeitsfragen bereit.