DSGVO für kleine Unternehmen — IT-seitig umsetzen

Verantwortung auch ohne Datenschutzbeauftragten

Ab fünfzehn beschäftigten Personen mit ständiger Datenverarbeitung kann ein Datenschutzbeauftragter Pflicht sein — unabhängig davon muss die Geschäftsführung sicherstellen, dass IT und Organisation zusammenpassen. In der Praxis liefert IT die Fakten: Systeme, Speicherorte, Zugriffe, Logs. Rechtliche Bewertung kann intern oder extern erfolgen.

Steuerkanzleien, Makler und Personaldienstleister verarbeiten oft besonders sensible Informationen. Hier lohnt frühzeitige Abstimmung zwischen Büroleitung, Datenschutz und IT-Betreuung — nicht erst nach einer Anfrage der Aufsicht. Wer Verantwortung teilt, vermeidet Lücken zwischen Papier und Technik.

Die DSGVO verlangt keine Perfektion, sondern Angemessenheit zum Risiko. Ein Büro mit fünf Mitarbeitenden und ein Personaldienstleister mit tausenden Bewerberdaten haben unterschiedliche Anforderungen — aber beide brauchen nachweisbare Maßnahmen, nicht nur guten Willen.

IT Security Expert unterstützt KMU bei der technischen Umsetzung: Inventar, Verschlüsselung, Zugriffskontrolle, Backup-Nachweise. Freigabe von Policies und rechtliche Einordnung bleiben bei Ihnen — der Partner liefert, was Prüfer in der Praxis sehen wollen.

Rollenklärung spart Streit: IT dokumentiert Systeme und Zugriffe, Datenschutz pflegt Verzeichnis und TOM-Texte, GF trägt Gesamtverantwortung. Ohne diese Aufteilung landen Aufgaben zwischen den Stühlen — bis eine Anfrage der Aufsicht kommt. Steuerkanzleien sollten zusätzlich berufsrechtliche Anforderungen mit einbeziehen; Personaldienstleister Bewerberdaten und Mandantentrennung.

Auch ohne Pflicht-Datenschutzbeauftragten lohnt eine externe oder interne Beratungsstunde jährlich — Grenzfälle bei neuen Tools, US-Transfers oder KI-Nutzung einordnen. IT liefert dafür Inventar und Konfigurationsdetails, keine Rechtsgutachten.

Schatten-IT ist der häufigste Verzeichnis-Killer: Mitarbeitende nutzen private Clouds, Messenger oder KI-Tools ohne Genehmigung. Ein einseitiges SaaS-Formular — Zweck, Datenkategorien, Freigabe durch GF — stoppt vieles im Vorfeld. IT scannt vierteljährlich Netzwerk und Rechnungen nach neuen Abos.

Verarbeitungsverzeichnis und IT-Systeme

Verknüpfen Sie jeden Verzeichniseintrag mit einem technischen Anker: Wo liegt das Backup? Wer hat Admin? Wann wird gelöscht? Prüfer wollen Umsetzung sehen, nicht Schlagworte.

Verschlüsselung allein reicht nicht: Schlüsselverwaltung, Recovery und Offboarding müssen dokumentiert sein. MFA für alle Cloud-Zugänge ist TOM-Standard, nicht Kür. Für besonders sensible Daten: Zugriff nur über Gruppen, Protokollierung wo lizenziert, keine dauerhaften Gast-Admin.

TOM-Review jährlich: Stimmen Maßnahmen noch zum Risiko? Neue Homeoffice-Regelung, neues CRM, neue NIS-2-Anforderungen — alles triggert Update. Glossar TOM und AVV erklären Begriffe für Schulungen.

Subunternehmerketten prüfen: Backup-Anbieter, Newsletter-Tool, Support-Ticket-System — oft US- oder Drittland-Bezug. Standardvertragsklauseln und Transfer Impact Assessment dokumentieren, wo nötig. EU-Region allein schützt nicht bei falsch gesetzten Freigaben weltweit.

IT-Betreuung mit Zugriff auf Mandantendaten braucht AVV — auch wenn der Partner „nur“ Admin ist. Vorlage anpassen, Speicherort von Tickets klären, Löschfristen vereinbaren.

Löschkonzept technisch umsetzen: automatische Archivierung in Exchange, Retention Labels in Microsoft 365, definierte Fristen im ATS. Bei Auskunft: Wer sucht in welchen Systemen, wer gibt frei, wer antwortet an Betroffene — Fristen einhalten.

Backup vs. Löschung: dokumentieren, wie lange Bänder aufbewahrt werden und wann überschriebene Daten praktisch weg sind. Recht und IT gemeinsam formulieren, damit Auskünfte ehrlich sind.

Technische und organisatorische Maßnahmen konkret

Datenpannen-Runbook: Entscheider benennen, Vorlage für Behördenmeldung, Kontakt Aufsicht, IT-Forensik-Checkliste. Jährliche Tischübung — verlorener Laptop, Phishing mit Mandantenordner, falsch adressierte Mail mit Anhang.

Nicht jeder Vorfall ist meldepflichtig — aber jede Entscheidung dokumentieren. IT liefert Timeline und betroffene Systeme; GF entscheidet mit Datenschutz binnen 72 Stunden.

Priorisierung nach Schaden: Mandantendaten in offener SharePoint-Freigabe vor internem Marketing-Ordner. DSGVO-Risiko-Check liefert Scorecard für Steuerberater und vergleichbare KMU — Abgleich mit TOM und Verzeichnis.

Wachstum ohne Prozesse erzeugt Lücken: jede Einstellung neue Geräte, jede Kündigung vergessene Konten. Quartalsreview IT plus Datenschutz hält Stand aktuell.

Betreuungspartner setzt Verschlüsselung, MFA, Backup-Tests um — GF genehmigt Policies, Datenschutz Verzeichnis. Start: Check, dann TOM, dann AVV. Wellen statt Big Bang.

Dokumentation vom Partner verlangen: Änderungslogs, Backup-Nachweise, MFA-Reports. IT Security Expert kombiniert DSGVO-Risiko-Check mit Betreuung — Einstieg unverbindlich.

Kanzleien und Agenturen sollten Lösch- und Auskunftsprozesse einmal jährlich testen — nicht erst bei der ersten Behördenanfrage. IT liefert Exporte, Datenschutz prüft Vollständigkeit.

Auftragsverarbeitung und Cloud-Anbieter

Newsletter- und CRM-Tools oft ohne AVV — vierteljährliche Rechnungs- und SaaS-Review schließt Lücken.

Verschlüsselung auf Smartphones vergessen — Intune- oder Defender-Report zeigt Compliance.

US-Transfer nur mit dokumentierter Grundlage — Standardvertragsklauseln allein reichen nicht ohne Risikoanalyse.

Betroffenenrechte: Wer antwortet innerhalb von 30 Tagen? Eskalation definieren.

Übung Datenpanne: Timeline, Entscheider, Vorlagen — einmal jährlich.

DSGVO-Risiko-Check als Abgleich mit TOM — Scorecard archivieren.

Externe Betreuung liefert Logs und Konfigurationsnachweise — GF und Datenschutz entscheiden Freigaben.

Betroffenenrechte und Löschkonzept

Listen Sie Zweck, Datenkategorien, Betroffene, Empfänger, Speicherfristen und technische Schutzmaßnahmen pro Verarbeitung. Microsoft 365, DATEV-Umfeld, Bewerber-SaaS, VoIP-Anbieter und Backup-Dienstleister sind typische Einträge. Vergessen werden oft private Smartphones mit Firmenmail oder WhatsApp-Gruppen mit Kundendaten.

IT sollte vierteljährlich prüfen, ob neue Tools ohne Genehmigung genutzt werden. Ein kurzes Freigabeformular für SaaS verhindert, dass das Verzeichnis veraltet, bevor das nächste Audit ansteht. Schatten-IT ist kein Kavaliersdelikt — sie erzeugt Verarbeitungen, die niemand dokumentiert hat.

Verknüpfen Sie Verzeichnis und technische Realität: Wenn ein Eintrag „Verschlüsselung auf Endgeräten“ nennt, muss BitLocker oder vergleichbar aktiv sein. Widersprüche zwischen TOM und Ist-Zustand sind der häufigste Grund für Beanstandungen bei kleinen Unternehmen.

Glossar-Einträge zu TOM und AVV erklären Begriffe vertiefend. Der DSGVO-Risiko-Check strukturiert typische IT-Lücken für Steuerberater und vergleichbare KMU — ideal als Einstieg vor der nächsten Verzeichnis-Aktualisierung.

Mindeststandard für KMU: Vollverschlüsselung auf Laptops und Smartphones, MFA für Cloud-Zugänge, zentrale Passwort-Verwaltung, Patch-Management, Schutz auf Endgeräten und getestete Backups. Für Kanzleien und HR-Daten gelten höhere Anforderungen an Zugriffstrennung und Protokollierung.

Dokumentieren Sie TOM so, dass ein Prüfer die Umsetzung erkennt — nicht nur „Firewall vorhanden“, sondern wer sie wartet, wie oft Updates laufen und wer Admin ist. Verantwortliche benennen, Review-Datum setzen — sonst veralten Maßnahmen still.

Least Privilege und zeitnahes Offboarding sind TOM, nicht optional. Wer nach Austritt noch SharePoint sieht, hat organisatorisch und technisch versagt. Access Reviews quartalsweise protokollieren — Nachweis für Zugriffskontrolle.

Datenpannen: 72 Stunden vorbereiten

Kombinieren Sie TOM mit NIS-2-Roadmap, wo relevant — doppelte Dokumentation vermeiden. Eine Maßnahmenliste mit Owner und Frist schlägt zwei getrennte Papierstapel.

Microsoft, Google, Backup-Anbieter, Newsletter-Tools, Bewerbermanagement — prüfen Sie Subunternehmerketten und Serverstandorte. EU-Rechenzentren allein reichen nicht, wenn Konfiguration weltweite Freigaben erlaubt. US-Transfers nur mit gültiger Rechtsgrundlage und dokumentierter Risikobewertung.

Auch Ihr IT-Betreuungsvertrag kann Auftragsverarbeitung sein, wenn der Partner Zugriff auf Mandanten- oder Kundendaten erhält. AVV-Vorlagen vom Anbieter anpassen, nicht blind unterschreiben. Fragen Sie MSPs nach MFA auf deren Zugängen und Speicherort von Tickets.

Subunternehmer in AVVs nachverfolgen: Wer hostet Backups, wer wertet Logs aus? Lücken in der Kette sind Ihr Risiko als Verantwortlicher. Jährlich prüfen, ob neue Dienste ohne AVV dazugekommen sind.

Cloud-Konfiguration ist Teil des Schutzes: Externe Freigaben, Standard-Links, Gastzugänge ohne Ablauf — technische Fehlsettings machen AVV wertlos, wenn Daten öffentlich liegen.

Definieren Sie, wo welche Daten liegen: Exchange-Postfächer, SharePoint, CRM, Bewerber-Tool. Löschfristen pro Datenkategorie festlegen und technisch umsetzen — etwa automatische Archivierung, wenn möglich. Bei Auskunftsanfragen brauchen Sie Prozesse, wer sucht, wer freigibt, wer antwortet.

Backups erschweren Löschung — deshalb Aufbewahrungsfristen für Backup-Medien dokumentieren und bei Löschanfragen prüfen, ob alte Bänder noch relevant sind. Recht und IT müssen abgestimmt sein, was „gelöscht“ technisch heißt.

Typische IT-Lücken in KMU

Prozesse schriftlich: Ansprechpartner, Fristen, Eskalation an Datenschutz. Üben Sie einmal jährlich eine Auskunftsanfrage — dann merken Sie, wo Suche hakt. IT liefert Exporte, GF oder Datenschutz prüft Inhalt.

Personaldienstleister mit Bewerberdaten: Löschfristen nach Absage oft übersehen. Automatisierung in ATS prüfen — manuelles Vergessen ist DSGVO-Risiko.

Runbook erstellen: Wer entscheidet über Meldung an die Aufsicht? Wer informiert Betroffene? Welche Logs stehen wie lange zur Verfügung? Üben Sie einmal jährlich ein Szenario — z. B. verlorener Laptop mit Mandantenordner.

Meldepflicht bei Risiko für Betroffene — nicht bei jedem kleinen Vorfall. Dokumentation der Entscheidung ist Pflicht. IT liefert Timeline, betroffene Systeme und Gegenmaßnahmen. GF entscheidet mit Datenschutz, nicht allein im Tunnel.

Phishing mit Datenabflug, Ransomware mit personenbezogenen Dateien, falsch adressierte Mail mit Anhang — typische Auslöser. Vorlage für Behördenmeldung und Kundeninformation vorbereiten, Felder ausfüllen statt bei null starten.

Glossar-Eintrag Datenpanne und IT-Notfallplan im IT-Betrieb-Cluster ergänzen technische Schritte. Versicherung und Rechtsberatung vor dem Vorfall klären — nicht am Wochenende.

SharePoint-Links mit „Jeder mit Link“, persönliche Dropbox-Ordner für Kundendaten, geteilte Team-Passwörter ohne Audit — solche Muster finden Audits schnell. Priorisieren Sie Schließung nach Schadenpotenzial, nicht nach Bequemlichkeit.

Umsetzung mit externer Betreuung

Steuerkanzleien: Mandantendaten auf privaten Geräten, fehlende Trennung Admin/Alltag. Makler: Phishing-gefährdete Zahlungsprozesse ohne technische Absicherung. Personaldienstleister: Bewerberdaten in ungesicherten Tools.

Der DSGVO-Risiko-Check strukturiert diese Lücken für Steuerberater und vergleichbare KMU und liefert eine Scorecard zum Abgleich mit Ihrer TOM-Dokumentation. Nutzen Sie das Ergebnis als Prioritätenliste für die nächsten dreißig Tage.

Viele Lücken entstehen durch Wachstum ohne Standards — jede neue Einstellung bringt Geräte und Tools mit. Quartalsweise IT-Review mit Datenschutz hält Drift klein.

Sinnvolle Aufteilung: Betreuungspartner konfiguriert Microsoft 365, führt Backup-Tests durch, liefert Inventar und Log-Auszüge. GF genehmigt Policies. Datenschutz bewertet Rechtmäßigkeit und Verzeichnis. Quartalsweise Kurz-Review verhindert Drift.

Starten Sie mit dem Check, dann TOM aktualisieren, dann AV-Verträge nachziehen. So entsteht ein belastbarer Stand, bevor ein Vorfall die Prioritäten setzt. Wellen statt Big Bang — Betrieb darf nicht wochenlang stillstehen.

Dokumentation vom Partner verlangen: Änderungslogs, Backup-Nachweise, MFA-Status. Das spart Stunden bei Prüfungen. AVV mit Betreuungspartner nicht vergessen, wenn Mandantendaten im Scope sind.

IT Security Expert kombiniert Betreuung mit DSGVO-Risiko-Check — Einstieg unverbindlich, Umsetzung im vereinbarten Tempo. Ziel: lebende Compliance, nicht Aktenordner.

Datenschutz-Folgenabschätzung braucht selten jedes KMU — aber wenn Sie neue KI-Tools, US-Clouds oder umfangreiche Videoüberwachung einführen, lohnt die Abstimmung mit Beratung früh. IT liefert Datenflüsse und Speicherorte; Recht bewertet Notwendigkeit und Dokumentation.

Behördenanfragen kommen selten über Nacht — aber wenn sie kommen, zählt jede Stunde. Halten Sie Verzeichnis, TOM und technische Nachweise so aktuell, dass Sie nicht erst bei der Anfrage mit Screenshots jagen müssen.