DSGVO – Anforderungen an die IT und Umsetzung im Unternehmen

Die Datenschutz-Grundverordnung (DSGVO) stellt umfassende Anforderungen an den Umgang mit personenbezogenen Daten in Unternehmen – und damit auch an die IT-Infrastruktur. Erfahren Sie, welche technischen und organisatorischen Maßnahmen erforderlich sind und wie IT-Dienstleister bei der Umsetzung helfen.

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO, englisch: GDPR) ist eine Verordnung der Europäischen Union, die seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten gilt. Sie regelt die Verarbeitung personenbezogener Daten durch Unternehmen, Behörden und andere Organisationen. Ziel ist der Schutz natürlicher Personen bei der Verarbeitung ihrer Daten und der freie Verkehr solcher Daten innerhalb des europäischen Binnenmarkts.

Zentrale Grundsätze der DSGVO

Die Verordnung basiert auf mehreren Kernprinzipien, die für jede Datenverarbeitung gelten: Rechtmäßigkeit und Transparenz: Personenbezogene Daten dürfen nur auf einer gültigen Rechtsgrundlage verarbeitet werden – etwa einer Einwilligung, einer vertraglichen Notwendigkeit oder einem berechtigten Interesse. Betroffene müssen klar und verständlich über die Verarbeitung informiert werden. Zweckbindung: Daten dürfen nur für den Zweck verarbeitet werden, für den sie ursprünglich erhoben wurden. Eine Weiterverwendung für andere Zwecke erfordert eine neue Rechtsgrundlage. Datenminimierung: Es dürfen nur so viele personenbezogene Daten erhoben werden, wie für den jeweiligen Zweck tatsächlich erforderlich sind. Speicherbegrenzung: Personenbezogene Daten müssen gelöscht werden, sobald der Verarbeitungszweck entfällt – sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Integrität und Vertraulichkeit: Unternehmen müssen durch geeignete technische und organisatorische Maßnahmen (TOMs) sicherstellen, dass personenbezogene Daten vor unbefugtem Zugriff, Verlust und Zerstörung geschützt sind.

Technische Anforderungen an die IT

Die DSGVO verlangt von Unternehmen, den Schutz personenbezogener Daten bereits in der IT-Architektur zu verankern – ein Konzept, das als Privacy by Design und Privacy by Default bekannt ist. Konkret bedeutet das: Verschlüsselung sensibler Daten bei Speicherung und Übertragung, etwa durch TLS-Verschlüsselung für E-Mails und HTTPS für Webseiten. Ein durchdachtes Berechtigungskonzept, das sicherstellt, dass nur autorisierte Personen Zugang zu personenbezogenen Daten haben. Regelmäßige Backups und ein getestetes Disaster-Recovery-Konzept, um Daten im Schadensfall wiederherstellen zu können. Protokollierung von Zugriffen und Änderungen an personenbezogenen Daten, um im Fall eines Datenschutzvorfalls nachvollziehen zu können, was passiert ist. Sichere Löschkonzepte, die gewährleisten, dass Daten nach Ablauf der Aufbewahrungsfrist vollständig und unwiderruflich entfernt werden.

Meldepflicht bei Datenpannen

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten – etwa durch einen Hackerangriff, einen Datenverlust oder eine versehentliche Offenlegung – muss das Unternehmen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informieren. Betroffene Personen sind zu benachrichtigen, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht. Eine schnelle Erkennung solcher Vorfälle setzt ein funktionierendes IT-Monitoring und klare interne Prozesse voraus.

Bußgelder und Haftung

Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Darüber hinaus haften Unternehmen gegenüber Betroffenen auf Schadensersatz. Die Aufsichtsbehörden in Deutschland haben in den vergangenen Jahren zunehmend von ihrem Sanktionsrecht Gebrauch gemacht.

Wie IT-Dienstleister bei der DSGVO-Umsetzung helfen

Die technische Umsetzung der DSGVO-Anforderungen überfordert viele Unternehmen, insbesondere im Mittelstand. Spezialisierte IT-Dienstleister unterstützen bei der Analyse bestehender Systeme, der Implementierung von Verschlüsselungs- und Berechtigungskonzepten, der Einführung von Monitoring-Lösungen und der Erstellung von Verarbeitungsverzeichnissen. Auf IT-Dock finden Sie IT-Partner mit DSGVO-Expertise, die Ihr Unternehmen rechtssicher aufstellen.