Datenschutz ist längst mehr als eine rechtliche Pflichtübung. Aus diesem Grund haben wir ein Whitepaper „Datenschutz als Compliance- und Business-Baustein“ erstellt. Das Whitepaper stellen wir Ihnen in einem 6-teiligen Preview in verkürzter Form vor; das ausführliche Dokument senden wir Ihnen gerne zu. Dieser Beitrag ist Teil 3.

Operative Aufgaben des Datenschutzes im Unternehmen

Datenschutz wird in vielen Unternehmen noch immer vor allem als juristische Notwendigkeit oder als „Pflicht ohne Ertrag“ und als Aufgabe des Datenschutzbeauftragten wahrgenommen. Auch werden manche Pflichten – wie beispielsweise die Rechte der Betroffenen (Auskunft, Löschung etc.) – als „Schikane“ empfunden. Diese Sichtweise greift zu kurz. Wer Datenschutz als strategisches Steuerungsinstrument versteht, verbindet rechtliche Sicherheit mit wirtschaftlichem Mehrwert: bessere Compliance, stärkere Cybersicherheit und integrierte Steuerung, die Management- bzw. Businessentscheidungen unterstützen, um Haftungsrisiken zu reduzieren sowie einen Wettbewerbsvorteil zu erlangen.

Transparenz und Informationspflichten

Unternehmen müssen betroffene Personen verständlich und umfassend informieren, etwa in:

• Datenschutzhinweisen auf der Website
• Vertragsunterlagen und Formularen
• Hinweisen an Mitarbeitende und Bewerbende
• Nutzungsbedingungen von digitalen Diensten

Die Informationspflichten nach Artt. 13 und 14 DSGVO sorgen für Transparenz zu Zwecken der Verarbeitung, Rechtsgrundlagen, Speicherdauern, Empfängern und Auftragsverarbeitenden sowie zu Betroffenenrechten. Die internen Aufgaben sind hierbei:

• Erstellung und Pflege standardisierter Datenschutzhinweise
• Konsistenzprüfung zwischen Website, Vertragstexten und internen Prozessen
• Abstimmung mit Marketing, HR, Vertrieb und IT

Transparenz stärkt nicht nur die Rechtskonformität, sondern wirkt sich positiv auf Vertrauen und Reputation aus.

Umgang mit Betroffenenrechten

Betroffene Personen haben nach Artt. 12-22 DSGVO weitreichende Rechte, etwa auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Typische Aufgaben im Unternehmen sind hierbei:

• Einrichtung eines zentralen Ansprechweges (z. B. eigene E-Mail-Adresse)
• Standardisierte Prüf- und Antwortprozesse
• Einbindung von Fachabteilungen und IT (z. B. bei Datenlöschung)
• Fristenkontrolle (i. d. R. 1 Monat)

Ein klar definierter und dokumentierter Prozess reduziert den Bearbeitungsaufwand – ein messbarer Effizienzgewinn, der sich auch in KPI abbilden lässt (z. B. durchschnittliche Bearbeitungszeit pro Anfrage).

Verzeichnis von Verarbeitungstätigkeiten als Datenlandkarte

Das Verzeichnis von Verarbeitungstätigkeiten ist das „Organigramm der Datenverarbeitung“. Es schafft Transparenz darüber, welche Daten zu welchen Zwecken in welchen Systemen mit welchen Empfängern verarbeitet werden.

Abgeleitete Aufgaben des Datenschutzes sind hierbei:

• Strukturierter Aufbau des Verzeichnisses
• Dokumentation von Löschfristen und TOMs
• Regelmäßige Aktualisierung (z. B. einmal jährlich oder bei Prozessänderungen)

In der Praxis bildet dieses Verzeichnis häufig die Grundlage für Risikoanalysen, für eine Datenschutz-Folgenabschätzung, für Risikoanalysen nach ISO 27001 oder BSI IT-Grundschutz sowie für interne und externe Audits. Durch einen praktikablen Aufbau kann es daher einen Mehrwert für Compliance- und Businessprozesse haben, da Datenschätze und Datenverarbeitungen transparent werden.

Informationssicherheit / Technische und organisatorische Maßnahmen

Cybersicherheit ist heute ein zentrales Geschäftsrisiko – nicht nur ein IT-Thema. Ransomware, Datendiebstahl, Angriffe über Lieferketten und der zunehmende Einsatz von künstlicher Intelligenz durch Angreifende bedrohen Wertschöpfung, Reputation und Handlungsfähigkeit von Unternehmen. Auch wenn die Bereitschaft, nach Ransomware-Attacken auch Lösegeld zu zahlen in den letzten Jahren zurückgeht, so ist ein Anstieg der durchschnittlichen Zahlungen zu verzeichnen. Hinzu kommt, dass beispielsweise pro Tag durchschnittlich 119 neue Schwachstellen bekannt werden (1). Parallel verschärfen rechtliche Vorgaben wie NIS2 die Anforderungen an Compliance parallel zur DSGVO und machen Cybersicherheit explizit zur Aufgabe der Geschäftsleitung.

Technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO bilden die Brücke zwischen Datenschutz und Informationssicherheit. Typische Themen sind:

• Zugriffskonzepte und Rollenrechte
• Verschlüsselung (z. B. Datenträger, E-Mail, Backups)
• Patch- und Schwachstellenmanagement
• Backup- und Notfallkonzepte
• Identitäts- und Berechtigungsmanagement

Verzahnung mit dem Informationssicherheits-Managementsystem (ISMS)

Viele Anforderungen der DSGVO decken sich mit etablierten Standards der Informationssicherheit. Ein integrierter Ansatz bietet folgende Vorteile:

• Vermeidung von Doppelstrukturen zwischen Datenschutz und ISMS
• einheitliche Risikobetrachtung für Informationssicherheit und Datenschutz
• konsistentes Reporting an Geschäftsführung und Aufsichtsorgane
• bessere Vorbereitung auf Audits und Kundenprüfungen

Datenschutzaufgaben werden so Teil eines ganzheitlichen Sicherheits- und Compliance-Managements. Im Whitepaper gehen wir auch auf die Frage „Soll der Datenschutz in das ISMS komplett integriert werden?“ ein.

Praxisnahe Maßnahmen zur Erhöhung der Informationssicherheit

Konkrete Maßnahmen zur Erhöhung der Sicherheit des Unternehmens dienen sowohl dem Datenschutz als auch der Informationssicherheit. Hierzu zählen u. a.:

• Mehr-Faktor-Authentifizierung für kritische Systeme
• „Härtung“ von Servern, Endgeräten und Cloud-Diensten
• Netzwerksegmentierung und Schutz vor Ausbreitung des Angreifers im Netzwerk (sog. lateral movement)
• Protokollierung und Monitoring sicherheitsrelevanter Ereignisse
• Maßnahmen zum Schutz vor Ransomware-Angriffen (2)

Gerade auch die gemeinsame Schulung von Datenschutz und Informationssicherheit ist zielführend, um Phishing-Betrug und Malware-Infektionen zu verhindern. Denn bei knapp 70% aller Cyberangriffe war eine E-Mail das Einfallstor (3); was oftmals durch eine unangemessene Reaktion der Nutzer auf die Angriffe begünstigt wird. Somit reduzieren technische und sensibilisierende Maßnahmen die Eintrittswahrscheinlichkeit und den Schaden von Datenschutzvorfällen – ein direkter wirtschaftlicher Nutzen.

Sichere Lieferketten durch Dienstleister-Management

Wo Dienstleister personenbezogene Daten im Auftrag verarbeiten, ist nach Art. 28 DSGVO ein Auftragsverarbeitungsvertrag (AVV) erforderlich. Zentrale Aufgaben:

• Identifikation aller Auftragsverarbeitenden (z. B. Cloud-Services, IT-Dienstleister, Lohnbuchhaltung, CRM-Anbieter)
• Prüfung der technischen und organisatorischen Maßnahmen der Dienstleister
• Abschluss und Pflege von AVV
• regelmäßige Kontrollen (z. B. Fragebögen, Zertifikate, Auditberichte)

Insbesondere im B2B-Umfeld ist ein professionelles AV-Management ein entscheidender Wettbewerbsfaktor: Unternehmen, die ihre Dienstleister-Struktur sauber dokumentieren und belegen können, bestehen Audits Ihrer (potentiellen) Auftraggeber deutlich schneller.

Gleichzeitig entstehen neue Risiken durch Lieferanten: Vendor Lock-in, rechtliche Unsicherheiten bei internationalen Datentransfers, steigender Druck durch Regulierung sowie eine dynamische Bedrohungslage in der Cybersicherheit. Wer seine digitalen Abhängigkeiten nicht kennt oder nicht aktiv steuert, riskiert Kontrollverlust über Daten, Prozesse und Geschäftsmodelle. Hierzu empfehlen wir das Whitepaper „Digitale Souveränität: Abhängigkeiten managen und Risiken reduzieren“.

(1) BSI Lagebericht 2025: https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html

(2) Empfehlungen des BSI: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware-Angriffe/Top-10-Ransomware-Massnahmen/top-10-ransomware-massnahmen.html

(3) G DATA „Security Awareness in Zahlen 2026“ (https://www.gdata.de/fileadmin/web/de/documents/whitepaper/G_DATA_academy_Paper_Security_Awareness_in_Zahlen_2026.pdf) und Forsa-Befragung (https://www.gdv.de/gdv/medien/medieninformationen/forsa-umfrage-zu-cyberrisiken-it-sicherheit-vieler-deutscher-unternehmen-ist-mangelhaft-192844)