Ungewöhnliche Datenübertragungen oder eine unerwartet weitergegebene Unterlage werfen Fragen auf. Ihr Unternehmen braucht jetzt eine sachliche Einschätzung, ohne aus einer Beobachtung vorschnell einen persönlichen Vorwurf zu machen. Ein sinnvoller Untersuchungsauftrag legt fest, welche konkrete Frage geklärt werden soll, wer darüber entscheiden darf und welche Daten dafür überhaupt betrachtet werden dürfen. Technische Fachkenntnis, Datenschutz und gegebenenfalls arbeitsrechtliche Beratung müssen dazu zusammenpassen. Dieser Ratgeber hilft bei der Auswahl und Abgrenzung einer solchen Unterstützung, nicht bei der eigenständigen Überwachung von Beschäftigten.
Beobachtung und Schlussfolgerung auseinanderhalten
Beschreiben Sie zunächst, was tatsächlich bekannt ist. Welche Information wurde bemerkt, wann wurde sie festgestellt und aus welcher bereits rechtmäßig verfügbaren Quelle stammt sie? Eine auffällige Meldung kann unterschiedliche Erklärungen haben. Vielleicht liegt ein erlaubter Arbeitsablauf vor, eine fehlerhafte Berechtigung oder eine missverständliche Zuordnung. Schreiben Sie deshalb die beobachteten Tatsachen auf und kennzeichnen Sie Vermutungen ausdrücklich als solche. Eine Untersuchung soll diese Unsicherheit klären.
Benennen Sie die geschäftliche Frage hinter der Beobachtung. Möchten Sie wissen, ob eine bestimmte Unterlage einen freigegebenen Bereich verlassen hat? Geht es um den Umfang einer bereits bestätigten unberechtigten Weitergabe oder zunächst um die Erklärung eines technischen Ereignisses? Diese Fragen benötigen nicht automatisch dieselben Daten und dieselbe Prüftiefe. Ein begrenzter Auftrag hilft, passende fachliche Unterstützung zu wählen und eine unkontrollierte Ausweitung auf sämtliche Arbeitsaktivitäten zu vermeiden.
Verteilen Sie persönliche Vorwürfe nicht über einen großen internen Verteiler. Für die Vorbereitung sollten nur die zuständigen Beteiligten die erforderlichen Informationen erhalten. Halten Sie auch entlastende Beobachtungen fest. Wenn später eine zulässige Weitergabe nachgewiesen wird, gehört diese ebenso zum Ergebnis wie ein bestätigter Sicherheitsmangel. Ein sachliches Vorgehen schützt die Qualität der Untersuchung und ermöglicht Entscheidungen auf einer nachvollziehbaren Grundlage statt auf Gerüchten.
Vor dem Zugriff Zuständigkeit und Zulässigkeit klären
Lassen Sie die rechtliche Grundlage der vorgesehenen Untersuchung anhand des konkreten Falls prüfen. Bei Beschäftigtendaten setzt § 26 Absatz 1 BDSG für die Aufdeckung von Straftaten dokumentierte tatsächliche Verdachtsanhaltspunkte, Erforderlichkeit und eine verhältnismäßige Abwägung voraus. Ein allgemeiner Verdacht ist daher keine pauschale Erlaubnis zur vollständigen Durchsicht aller Beschäftigtendaten. Welche Grundlage tatsächlich passt, entscheidet die zuständige rechtliche Beratung. § 26 BDSG
Beziehen Sie die für Datenschutz und gegebenenfalls betriebliche Interessenvertretung zuständigen Personen rechtzeitig ein. Klären Sie, welche Beteiligung im konkreten Fall erforderlich ist und wer sie organisiert. Die Auswahl eines technisch leistungsfähigen Anbieters ersetzt diese Abstimmung nicht. Ebenso sollte eine interne Führungskraft keine Untersuchung allein deshalb freigeben, weil sie Zugang zu einem betroffenen System besitzt. Technische Zugriffsmöglichkeit und Befugnis zur konkreten Auswertung sind unterschiedliche Fragen.
Die Datenschutz-Grundverordnung verlangt unter anderem eine Rechtsgrundlage, Zweckbindung und Datenminimierung. Für Ihren Auftrag bedeutet das eine präzise festgehaltene Untersuchungsfrage und einen dazu passenden Datenumfang. Die BfDI stellt die Verordnung in ihrer Textsammlung vom März 2026 bereit. Lassen Sie offene rechtliche Fragen vor der betroffenen Datenverarbeitung klären und dokumentieren Sie die zuständige Entscheidung. BfDI: DSGVO und BDSG, insbesondere Artikel 5 und 6
Einen schriftlichen Untersuchungsrahmen vereinbaren
Der Auftrag sollte die betroffenen Systeme und den zu untersuchenden Zeitraum benennen. Er sollte außerdem erklären, welche Datenarten einbezogen werden und welche Bereiche außerhalb des vereinbarten Umfangs liegen. Gerade private oder besonders sensible Inhalte benötigen eine sorgfältige rechtliche Einordnung. Lassen Sie das Vorgehen durch die zuständigen Fachpersonen bestimmen. Ein allgemeiner Auftrag nach dem Muster alles prüfen ist für eine begrenzte sachliche Frage keine verständliche Leistungsbeschreibung.
Legen Sie fest, wer dem Anbieter Auskünfte erteilt und wer Erweiterungen freigibt. Während einer Untersuchung können neue Hinweise auftauchen. Daraus folgt nicht automatisch ein unbegrenzter Folgeauftrag. Der Anbieter sollte einen zusätzlichen Erkenntnisbedarf benennen und die dafür vorgesehenen nächsten Schritte begründen. Ihr Unternehmen kann dann die fachliche und rechtliche Abstimmung vornehmen, bevor weitere Daten oder andere Personen in die Untersuchung einbezogen werden.
Vereinbaren Sie einen Umgang mit unerwarteten Funden. Welche Beobachtungen werden sofort an eine benannte Stelle gemeldet? Welche Informationen gehören ausschließlich in einen geschützten Fachbericht? Eine solche Festlegung verhindert, dass technische Einzelheiten oder personenbezogene Vorwürfe unkontrolliert in einem allgemeinen Projektprotokoll landen. Sie ermöglicht zugleich, dringende Schutzentscheidungen gezielt vorzubereiten, ohne das Ergebnis der vollständigen Untersuchung vorwegzunehmen.
Sicherung und Auswertung als verschiedene Leistungen betrachten
Fragen Sie, ob der Anbieter zunächst vorhandene relevante Informationen kontrolliert sichern soll oder bereits deren inhaltliche Auswertung übernimmt. Diese Aufgaben können zusammenhängen, sind aber nicht identisch. Für beide braucht es einen geklärten zulässigen Umfang. Lassen Sie erklären, welche Maßnahmen vorgesehen sind und wie der ursprüngliche Zustand nachvollziehbar bleibt. Dazu gehören eine bezeichnete Herkunft und eine verständliche Dokumentation der tatsächlich durchgeführten Arbeitsschritte.
Technische Details der Beweissicherung gehören in qualifizierte Hände. Ihr Unternehmen sollte vor allem wissen, welche Systeme betroffen sind, welche betrieblichen Auswirkungen möglich sind und wer die erforderlichen Freigaben erteilt. Lassen Sie auch beschreiben, welche Informationen aufgrund fehlender Voraussetzungen nicht mehr erhoben werden können. Ein Anbieter sollte Grenzen offen benennen, statt durch nachträgliche Vermutungen den Eindruck eines vollständig verfügbaren Datenbestands zu erzeugen.
Besprechen Sie, wie mit bereits bestehenden Lösch- und Aufbewahrungsabläufen umgegangen werden soll. Ändern Sie diese nicht pauschal und ohne Abstimmung für die gesamte Umgebung. Die zuständigen technischen und rechtlichen Fachpersonen sollten den erforderlichen begrenzten Umgang festlegen. Für Ihre Beauftragung zählt, dass ein möglicher Erhaltungsbedarf erkannt wird und eine dokumentierte Entscheidung erhält. Daraus darf keine unbegründete dauerhafte Sammlung sämtlicher Mitarbeiteraktivitäten entstehen.
Einen geeigneten Anbieter nach seinem Vorgehen auswählen
Bitten Sie um eine verständliche Beschreibung des Untersuchungsprozesses. Wie grenzt der Anbieter die Fragestellung ein, wie behandelt er alternative Erklärungen und wie trennt er Tatsachen von Bewertungen? Eine überzeugende Antwort sollte nicht nur eingesetzte Werkzeuge nennen. Sie sollte zeigen, wie der vereinbarte Untersuchungsumfang eingehalten und jede wesentliche Schlussfolgerung auf eine überprüfbare Grundlage bezogen wird. Das hilft Ihnen, die spätere Aussagekraft des Berichts einzuschätzen.
Fragen Sie nach der Zusammenarbeit mit Ihrer bestehenden IT-Betreuung. Diese kennt möglicherweise die Umgebung, kann aber selbst Teil der zu klärenden Zuständigkeiten sein. Besprechen Sie deshalb, wann eine unabhängige technische Bewertung sinnvoll ist und wie notwendige Informationen bereitgestellt werden. Es geht nicht darum, vorhandene Beteiligte pauschal auszuschließen. Die Rollen sollten so festgelegt sein, dass bekannte Interessenkonflikte sichtbar und fachliche Feststellungen nachvollziehbar bleiben.
Lassen Sie die vertrauliche Behandlung der Ergebnisse und den Zugriff auf Untersuchungsdaten erläutern. Wer arbeitet tatsächlich an dem Fall, welche weiteren Stellen werden einbezogen und wie erfolgt die Rückgabe oder Löschung nach Abschluss? Klären Sie die erforderlichen vertraglichen Vereinbarungen mit den zuständigen Fachpersonen. Eine allgemeine Vertraulichkeitsformel allein beschreibt noch nicht, wie sensible Unterlagen im konkreten Projekt bearbeitet und an die berechtigten Empfänger übergeben werden.
Den laufenden Betrieb und die Untersuchung koordinieren
Ihr Unternehmen muss möglicherweise gleichzeitig einen vermuteten Abfluss begrenzen und dessen Ursache verstehen. Lassen Sie diese beiden Ziele durch die zuständigen Fachpersonen abstimmen. Eine betriebliche Schutzmaßnahme kann den später sichtbaren technischen Zustand verändern. Umgekehrt darf eine Untersuchung einen erforderlichen Schutzschritt nicht ohne verantwortliche Entscheidung verzögern. Benennen Sie deshalb, wer die Abwägung vorbereitet und wer eine notwendige Maßnahme tatsächlich freigibt.
Halten Sie fest, welche Tätigkeiten der bestehenden IT-Betreuung währenddessen weiterlaufen sollen. Unkoordinierte Änderungen können die Erklärung eines Ereignisses erschweren. Ein benannter Kontakt kann notwendige Arbeiten mit dem Untersuchungsteam abstimmen. Das verlangt keinen Stillstand der gesamten Umgebung. Ziel ist, dass beteiligte Fachpersonen relevante Veränderungen kennen und bei ihrer Bewertung berücksichtigen können, statt später aus einem veränderten Systemzustand einen falschen Ablauf abzuleiten.
Wenn personenbezogene Daten betroffen sein könnten, benötigen mögliche weitere Pflichten eine eigenständige fachliche Bewertung. Lassen Sie die zuständige Datenschutzstelle früh prüfen, ob ein gesonderter Bearbeitungsweg notwendig ist. Warten Sie damit nicht automatisch auf einen abschließenden Technikbericht. Die technische Untersuchung liefert Tatsachen und Unsicherheiten; die rechtliche Bewertung und Kommunikation müssen den konkreten Sachverhalt unabhängig davon in ihrem erforderlichen Ablauf berücksichtigen können.
Vom Bericht eine nachvollziehbare Antwort erwarten
Ein brauchbarer Abschlussbericht beantwortet die vereinbarte Frage, beschreibt seine Datengrundlage und nennt Grenzen. Welche Ereignisse sind belegt? Welche Erklärung ist plausibel, aber nicht abschließend bestätigt? Welche Frage lässt sich mit dem verfügbaren Material nicht beantworten? Verlangen Sie diese Unterscheidung ausdrücklich. Ein Bericht wird nicht dadurch aussagekräftiger, dass er eine große Menge technischer Einzelinformationen ohne erkennbaren Bezug zur Ausgangsfrage enthält.
Bitten Sie um eine Fassung für die jeweils berechtigten Empfänger. Die Geschäftsleitung benötigt möglicherweise eine verständliche Entscheidungsgrundlage, während eine technische Fachperson genauere Angaben für notwendige Verbesserungen braucht. Personenbezogene Einzelheiten sollten dabei nicht unnötig verbreitet werden. Klären Sie, welche Aussagen in einer Zusammenfassung verkürzt werden dürfen und welche Einschränkungen erhalten bleiben müssen. Eine kurze Managementfassung darf aus einem ungeklärten Verdacht keine bestätigte persönliche Handlung machen.
Rechtliche Verwertbarkeit oder ein bestimmter Verfahrensausgang sollten nicht als pauschales Ergebnis der technischen Leistung versprochen werden. Stimmen Sie einen möglichen späteren Verwendungszweck des Berichts vorab mit Ihrer rechtlichen Beratung ab. Der Untersuchungsauftrag kann passende Dokumentation vorsehen. Ob daraus weitere Schritte folgen, hängt jedoch vom tatsächlichen Befund und seiner fachlichen Bewertung ab. Ihr Unternehmen sollte nach dem Bericht eine begründete Entscheidung treffen können.
Eine harmlose Erklärung ebenfalls abschließen
Stellt sich eine auffällige Übertragung als freigegebene Tätigkeit heraus, sollte der Abschluss dies ausdrücklich festhalten. Vielleicht wurde eine zulässige Vertretung nicht in der ursprünglichen Übersicht berücksichtigt oder eine technische Meldung falsch zugeordnet. Lassen Sie die fachliche Erklärung nachvollziehbar dokumentieren und klären Sie mit den zuständigen Stellen, welche zuvor informierten Personen eine Korrektur benötigen. Der entkräftete Verdacht darf nicht als unkommentierte offene Notiz weiterbestehen.
Prüfen Sie trotzdem, ob ein organisatorisches Missverständnis verbessert werden sollte. Ein klarer benannter Freigabeweg oder eine verständlichere Zuordnung technischer Meldungen kann künftige Fehlalarme vermeiden. Diese Verbesserung ist etwas anderes als eine bestätigte Pflichtverletzung. Eine Untersuchung hat auch dann einen konkreten Nutzen, wenn sie einen Verdacht ausräumt und dem Unternehmen zeigt, wie gleichartige Beobachtungen künftig sachlicher eingeordnet werden können.
Den Abschluss ohne dauerhaften Sonderzugriff organisieren
Halten Sie nach der Untersuchung fest, welche Zugriffe, Arbeitskopien und vorübergehenden Berechtigungen noch vorhanden sind. Lassen Sie deren weiteren Umgang nach dem abgestimmten Zweck klären. Ein beendeter Untersuchungsauftrag sollte nicht unbemerkt als dauerhaftes Monitoring weiterlaufen. Wenn Ihr Unternehmen künftig eine andere Schutzleistung benötigt, wird diese als eigener Bedarf fachlich und rechtlich eingeordnet und anschließend gezielt beauftragt.
Leiten Sie Verbesserungen aus bestätigten Schwachstellen ab. Eine unklare Freigabe, ein fehlender Meldeweg oder eine falsch zugeordnete Berechtigung kann einen konkreten Folgeauftrag begründen. Ein ungeklärter persönlicher Verdacht ist dagegen keine tragfähige Grundlage für beliebige neue Kontrollen. Bewahren Sie den Zusammenhang zwischen Feststellung, Entscheidung und tatsächlich umgesetzter Verbesserung. So erhält die Untersuchung einen sachlichen Abschluss und ihr Ergebnis bleibt für die verantwortlichen Stellen nachvollziehbar.
Fachliche Unterstützung für die Untersuchungsfrage anfragen
Beschreiben Sie in der Anfrage auf der Startseite zunächst die beobachtete Auffälligkeit, die betroffene Umgebung und den noch offenen Untersuchungsbedarf. Übermitteln Sie keine personenbezogenen Vorwürfe, privaten Inhalte oder Zugangsdaten über ein allgemeines Anfragefeld. Den zulässigen Auftrag und den geschützten Austausch klären Sie anschließend mit den zuständigen Fachpersonen und dem ausgewählten Anbieter.