Datenschutz landet in vielen kleinen und mittleren Unternehmen zuerst bei der IT oder im Sekretariat. Rechtlich ist er aber eine Aufgabe des Unternehmens als Ganzes. Dieser Beitrag gibt der Geschäftsführung einen Überblick: Wer ist verantwortlich, welche Rollen braucht es, was verlangt Art. 32 der Datenschutz-Grundverordnung (DSGVO) an technischen und organisatorischen Maßnahmen, und wie hängen Datenschutz und IT-Sicherheit zusammen?
Die einzelnen Umsetzungsschritte, vom Verzeichnis der Verarbeitungen bis zur Antwort auf Auskunftsanfragen, beschreibt unser Beitrag DSGVO-Umsetzung im Mittelstand. Beide Beiträge beschreiben gesetzliche Pflichten. Eine Rechtsberatung ersetzen sie nicht.
Wer verantwortlich ist
Die DSGVO richtet ihre Pflichten an den „Verantwortlichen“. Das ist nach Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. In einem Unternehmen ist das in der Regel das Unternehmen selbst.
Art. 24 Abs. 1 DSGVO beschreibt, was daraus folgt: Der Verantwortliche setzt geeignete technische und organisatorische Maßnahmen um. Er muss sicherstellen und nachweisen können, dass die Verarbeitung der Verordnung entspricht. Die Maßnahmen werden erforderlichenfalls überprüft und aktualisiert. Hinzu kommt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO: Das Unternehmen muss die Einhaltung der Datenschutzgrundsätze nachweisen können.
Für die Geschäftsführung heißt das praktisch: Sie entscheidet, wie das Unternehmen diese Pflichten organisiert. Dazu gehören Zuständigkeiten, Budget, Freigaben für neue Software und Dienstleister sowie ein Termin, an dem der Stand regelmäßig auf den Tisch kommt.
Rollen im Unternehmen
Eine klare Rollenverteilung verhindert, dass Anfragen liegen bleiben oder Verträge fehlen. Wir empfehlen eine Aufteilung wie diese:
| Rolle | Aufgabe |
|---|---|
| Geschäftsführung | legt Ziele, Zuständigkeiten und Mittel fest, gibt Richtlinien frei |
| Datenschutzbeauftragte oder Datenschutzbeauftragter | berät, überwacht, sensibilisiert und ist Anlaufstelle für die Aufsichtsbehörde |
| Fachbereiche | beschreiben ihre Abläufe, Zwecke, Daten und Speicherfristen |
| IT | setzt technische Maßnahmen um, etwa Zugriffsrechte, Updates und Datensicherung |
| Beschäftigte | halten Vorgaben ein und melden Auffälligkeiten |
Die Aufgaben der oder des Datenschutzbeauftragten stehen in Art. 39 DSGVO. Dazu gehören die Unterrichtung und Beratung des Unternehmens und der Beschäftigten, die Überwachung der Einhaltung des Datenschutzrechts und die Zusammenarbeit mit der Aufsichtsbehörde. Die Verantwortung für die Verarbeitung bleibt beim Unternehmen.
Was die Geschäftsführung gegenüber dem Datenschutzbeauftragten sicherstellt
- Er wird frühzeitig in alle Datenschutzfragen eingebunden (Art. 38 Abs. 1 DSGVO).
- Er erhält die nötigen Ressourcen und Zugang zu Daten und Verarbeitungsvorgängen (Art. 38 Abs. 2).
- Er ist bei seinen Aufgaben weisungsfrei und berichtet unmittelbar der höchsten Managementebene (Art. 38 Abs. 3).
- Weitere Aufgaben dürfen nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6).
Die Person kann eine Beschäftigte oder ein Beschäftigter sein oder die Aufgabe auf Grundlage eines Dienstleistungsvertrags erfüllen (Art. 37 Abs. 6 DSGVO). Wann Sie eine benennen müssen, regeln Art. 37 DSGVO und in Deutschland ergänzend § 38 BDSG, unter anderem ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Technische und organisatorische Maßnahmen nach Art. 32
Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, kurz TOM, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Maßstab sind der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos für die betroffenen Personen. Das Gesetz nennt beispielhaft:
- Pseudonymisierung und Verschlüsselung personenbezogener Daten;
- die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen;
- die Fähigkeit, Daten und den Zugang zu ihnen nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
- ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.
Angemessen heißt also: passend zum Risiko. Personalakten oder Gesundheitsdaten brauchen einen höheren Schutz als eine Liste mit Terminen. Nach Art. 32 Abs. 4 DSGVO muss das Unternehmen außerdem dafür sorgen, dass Beschäftigte mit Zugang zu personenbezogenen Daten diese nur auf Anweisung verarbeiten. Und nach Art. 25 DSGVO gehört Datenschutz schon in die Planung neuer Systeme, etwa über datenschutzfreundliche Voreinstellungen.
Für die Geschäftsführung ist vor allem der vierte Punkt wichtig. Es reicht nicht, Maßnahmen einmal einzuführen. Sie werden regelmäßig geprüft, zum Beispiel mit einem Wiederherstellungstest der Datensicherung oder einer Überprüfung der Zugriffsrechte, und das Ergebnis wird dokumentiert.
Datenschutz und IT-Sicherheit: verwandt, aber nicht dasselbe
Datenschutz schützt Menschen vor einer unzulässigen Verarbeitung ihrer Daten. IT-Sicherheit schützt Informationen und Systeme vor Ausfall, Manipulation und unbefugtem Zugriff, unabhängig davon, ob es um personenbezogene Daten geht. Die Schnittmenge ist groß: Art. 5 Abs. 1 lit. f DSGVO verlangt eine angemessene Sicherheit der Daten („Integrität und Vertraulichkeit“), und Art. 32 setzt das um. Eine Firewall oder eine Sicherung ersetzt aber keine Rechtsgrundlage und keinen Auftragsverarbeitungsvertrag. Umgekehrt schützt ein gutes Verzeichnis keine Systeme.
NIS2 als zusätzlicher Rahmen
Seit dem 6. Dezember 2025 gilt in Deutschland das Gesetz zur Umsetzung der europäischen NIS2-Richtlinie, das das BSI-Gesetz (BSIG) neu gefasst hat. Es betrifft „besonders wichtige“ und „wichtige Einrichtungen“, die im Wesentlichen nach Branche und Größe bestimmt werden (§ 28 BSIG). Nach Angaben des BSI müssen Unternehmen selbst prüfen, ob sie betroffen sind. Für betroffene Einrichtungen verpflichtet § 38 BSIG die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und deren Umsetzung zu überwachen. Außerdem muss sie regelmäßig an Schulungen teilnehmen.
Bei einem Vorfall laufen zwei Meldewege nebeneinander, die sich nicht gegenseitig ersetzen:
- Datenschutz: Eine Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden der Datenschutzaufsichtsbehörde, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO).
- NIS2: Betroffene Einrichtungen melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe: spätestens nach 24 Stunden eine frühe Erstmeldung, spätestens nach 72 Stunden eine Meldung mit erster Bewertung und spätestens einen Monat nach dieser Meldung eine Abschlussmeldung (§ 32 BSIG).
Ein Angriff mit Datenabfluss kann beide Pflichten auslösen. Legen Sie deshalb vorab fest, wer welche Meldung bewertet und abgibt. Ob Ihr Unternehmen unter NIS2 fällt und was daraus folgt, erläutern wir auf unserer Seite NIS2 und Risikomanagement.
Bußgelder nach Art. 83 DSGVO
Die Aufsichtsbehörden können Geldbußen verhängen, die im Einzelfall wirksam, verhältnismäßig und abschreckend sein sollen (Art. 83 Abs. 1 DSGVO). Die DSGVO kennt zwei Obergrenzen:
- Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4). Das betrifft unter anderem die Pflichten aus Art. 25 bis 39, also auch die TOM nach Art. 32 und die Regeln zum Datenschutzbeauftragten.
- Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5). Das betrifft unter anderem die Grundsätze und Rechtsgrundlagen (Art. 5, 6, 7 und 9), die Rechte der Betroffenen (Art. 12 bis 22) und Übermittlungen in Drittländer (Art. 44 bis 49).
Das sind Höchstbeträge. Bei der Bemessung berücksichtigt die Behörde nach Art. 83 Abs. 2 unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensminderung, die Zusammenarbeit mit der Behörde und den Grad der Verantwortung unter Berücksichtigung der nach Art. 25 und 32 getroffenen Maßnahmen. Dokumentierte, angemessene Maßnahmen sind damit auch hier von Bedeutung.
Fünf Fragen für die nächste Geschäftsführungsrunde
- Wer ist bei uns für Datenschutz zuständig, und brauchen wir eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten?
- Gibt es ein aktuelles Verzeichnis der Verarbeitungen und für jeden Dienstleister mit Datenzugriff einen Vertrag?
- Welche technischen und organisatorischen Maßnahmen haben wir, und wann wurden sie zuletzt geprüft?
- Wer bewertet einen Vorfall, und wer meldet ihn innerhalb der Fristen?
- Fällt unser Unternehmen unter NIS2, und wenn ja, sind Datenschutz und Informationssicherheit aufeinander abgestimmt?
Die Antworten zeigen, wo Sie stehen. Den Gesetzestext der DSGVO finden Sie auf EUR-Lex.
Unterstützung bei der technischen Seite
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen bei der IT. Wir unterstützen bei der technischen Umsetzung von Schutzmaßnahmen und bei der IT-Sicherheit. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Rechtliche Fragen klären Sie bitte mit Ihrer oder Ihrem Datenschutzbeauftragten oder einer Rechtsberatung.
Sie möchten Datenschutz und IT-Sicherheit in Ihrem Unternehmen gemeinsam angehen? Sprechen Sie uns an.