Inhalt in Kürze
- Deutsche Datenschutzbehörden verhängten 2025 insgesamt 46,9 Millionen Euro DSGVO-Bußgelder
- Datensicherheit und Datenschutz sind nicht dasselbe — aber ohne technische Sicherheit ist DSGVO-Konformität unmöglich
- Cloud-Dienste sind DSGVO-konform nutzbar, wenn AVV, EU-Datenresidenz und Verschlüsselung stimmen
- Mobile Device Management (MDM) wird Pflicht, sobald Mitarbeiter mit Firmengeräten mobil arbeiten
Datenschutz. Klingt nach Papierkram und Juristendeutsch. Ist aber ein knallhartes Geschäftsrisiko. 46,9 Millionen Euro DSGVO-Bußgelder allein in Deutschland im Jahr 2025. Auch KMU waren darunter.
Datensicherheit vs. Datenschutz: Der Unterschied
Die Begriffe werden oft verwechselt, meinen aber unterschiedliche Dinge:
Datenschutz (DSGVO): Regelt, wie personenbezogene Daten erhoben, verarbeitet und gespeichert werden dürfen. Betrifft Kundendaten, Mitarbeiterdaten, Gesundheitsdaten, Finanzdaten.
Datensicherheit: Die technischen und organisatorischen Maßnahmen, um Daten vor Verlust, Diebstahl oder unbefugtem Zugriff zu schützen. Betrifft alle Daten — auch Geschäftsgeheimnisse, Konstruktionspläne, Rezepturen.
Ohne Datensicherheit gibt es keinen Datenschutz. Wenn Ihre Kundendatenbank unverschlüsselt auf einem Server ohne Passwort liegt, ist das ein Datenschutzverstoß — auch wenn Sie einen perfekten Datenschutzbeauftragten haben.
DSGVO-Grundlagen für Geschäftsführer
Die DSGVO verlangt von jedem Unternehmen, das personenbezogene Daten verarbeitet:
- Verarbeitungsverzeichnis. Dokumentieren Sie, welche Daten Sie warum erheben, wo sie gespeichert werden und wer Zugriff hat.
- Technisch-organisatorische Maßnahmen (TOMs). Verschlüsselung, Zugriffskontrollen, Backup, Firewall — alles dokumentiert.
- Auftragsverarbeitungsverträge (AVV). Mit jedem Dienstleister, der Ihre Daten verarbeitet (IT-Partner, Cloud-Anbieter, E-Mail-Provider).
- Löschkonzept. Daten, die nicht mehr benötigt werden, müssen gelöscht werden. Nicht in 5 Jahren — zeitnah.
- Datenschutzbeauftragter. Ab 20 Mitarbeitern, die regelmäßig personenbezogene Daten verarbeiten. Kann extern bestellt werden.
- Meldepflicht bei Datenschutzverletzungen. Innerhalb von 72 Stunden an die Aufsichtsbehörde. Ein Ransomware-Angriff ist eine Datenschutzverletzung.
Cloud und Datenschutz: Worauf Sie achten müssen
Die Cloud ist nicht per se unsicher. Aber sie ist auch nicht per se DSGVO-konform. Worauf es ankommt:
- Datenresidenz. Wo stehen die Server? Für DSGVO-Konformität idealerweise in der EU, besser in Deutschland.
- AVV vorhanden. Microsoft, Google, AWS — alle großen Anbieter stellen Auftragsverarbeitungsverträge bereit.
- Verschlüsselung. Daten müssen verschlüsselt übertragen (TLS) und gespeichert werden (Encryption at Rest).
- Zugriffskontrollen. Wer darf auf welche Daten zugreifen? Prinzip der minimalen Berechtigung.
- Audit-Logs. Wer hat wann auf welche Daten zugegriffen? Nachvollziehbarkeit ist Pflicht.
Viele KMU speichern sensible Daten in der Cloud ohne Verschlüsselung oder Zugangskontrollen. Laut CMS-Jahresanalyse ist das einer der häufigsten Gründe für DSGVO-Bußgelder. Prüfen Sie Ihre Cloud-Konfiguration.
Mobile Device Management: Firmendaten auf mobilen Geräten schützen
Ihre Mitarbeiter arbeiten auf Laptops im Home Office, lesen E-Mails auf dem Smartphone, greifen vom Tablet auf SharePoint zu. Was passiert, wenn ein Gerät verloren geht oder gestohlen wird?
Mobile Device Management (MDM) löst dieses Problem. Mit Microsoft Intune (in Microsoft 365 Business Premium enthalten) können Sie:
- Sicherheitsrichtlinien durchsetzen. Geräteverschlüsselung, PIN-Pflicht, automatische Bildschirmsperre.
- Remote Wipe. Verlorene oder gestohlene Geräte aus der Ferne löschen — nur die Firmendaten, nicht die privaten.
- App-Kontrolle. Nur genehmigte Apps dürfen auf Firmendaten zugreifen.
- Compliance-Check. Geräte, die nicht den Sicherheitsanforderungen entsprechen, werden automatisch gesperrt.
Die IT muss wie ein offenes Buch sein. Die muss funktionieren — und dann ist das auch eine ganz tolle Zusammenarbeit, die auch ganz lange währt.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
IoT und Datenschutz: Das vergessene Risiko
Drucker, Kameras, Sensoren, Smart-Building-Systeme — alle diese IoT-Geräte sind im Netzwerk und können Daten sammeln oder als Einfallstor dienen. Datenschutz-Risiken:
- Drucker speichern gescannte Dokumente im internen Speicher
- Kameras übertragen Bildmaterial an externe Server
- Smart-Building-Systeme sammeln Bewegungsdaten von Mitarbeitern
Maßnahmen: IoT-Geräte in ein eigenes Netzwerksegment stellen, regelmäßig updaten, Standard-Passwörter ändern.
Datenschutz-Checkliste für Ihr Unternehmen
- Verarbeitungsverzeichnis aktuell. Alle Datenverarbeitungen dokumentiert.
- TOMs dokumentiert und umgesetzt. Verschlüsselung, Backup, Firewall, MFA.
- AVV mit allen Dienstleistern. IT-Partner, Cloud, E-Mail, CRM.
- Datenschutzbeauftragter bestellt. Intern oder extern, ab 20 MA Pflicht.
- Löschkonzept vorhanden. Wann werden welche Daten gelöscht?
- Mitarbeiter geschult. DSGVO-Basics, Umgang mit Kundendaten, Meldepflichten.
- MDM eingerichtet. Für alle mobilen Geräte mit Firmendaten.
- Meldeprozess für Datenpannen. Wer meldet was innerhalb von 72 Stunden?
Ihr nächster Schritt
Sie sind sich nicht sicher, ob Ihr Unternehmen DSGVO-konform aufgestellt ist? Wir prüfen Ihre IT-Infrastruktur auf Datenschutz-Lücken — pragmatisch und ohne Juristendeutsch.
