Liebe Leserin, lieber Leser,

die fortschreitende Digitalisierung bietet Ihrem Unternehmen enorme Chancen: flexibleres Arbeiten, automatisierte Prozesse und neue Wege der Kundengewinnung. Doch wo Daten digital verarbeitet, transportiert und gespeichert werden, wachsen auch die Risiken. Personenbezogene Daten sind heute eines der wertvollsten Güter im Wirtschaftsleben – und gleichzeitig eines der am strengsten geschützten.

Die Realität zeigt: Datenschutz und IT-Sicherheit sind längst keine reinen „IT-Themen“ mehr. Sie sind Chefsache und ein entscheidender Faktor für das Vertrauen Ihrer Kunden, Partner und Mitarbeiter.

Das Problem: Die Kluft zwischen Gesetz und Praxis

Viele Unternehmen stehen vor der Herausforderung, die komplexen rechtlichen Vorgaben der DSGVO in konkrete, technische Maßnahmen zu übersetzen.

• Wann ist eine Verschlüsselung ausreichend?
• Wie sichere ich das Homeoffice ab, ohne die Produktivität meiner Mitarbeiter einzuschränken?
• Was passiert, wenn doch einmal ein Gerät verloren geht?

Wer hier den Überblick verliert, riskiert nicht nur empfindliche Bußgelder der Aufsichtsbehörden, sondern im Ernstfall auch existenzbedrohende Reputationsschäden und Datenverluste durch Cyberangriffe.

Unsere Philosophie: Pragmatismus statt Paragrafen-Dschungel

Wir bei sicherkomm sind davon überzeugt, dass Datenschutz und IT-Sicherheit Ihr Unternehmen nicht ausbremsen dürfen. Sie müssen sich nahtlos in Ihren Arbeitsalltag integrieren lassen, praxistauglich sein und echten Schutz bieten – ohne unnötigen bürokratischen Ballast.

Mit dieser Checkliste geben wir Ihnen ein Werkzeug an die Hand, das die Brücke zwischen IT-Infrastruktur und rechtlichen Anforderungen schlägt. Sie hilft Ihnen dabei:

• Sicherheitslücken systematisch aufzudecken,
• Haftungsrisiken für die Geschäftsführung zu minimieren und
• eine solide Basis für ein gelebtes Datenschutz- und Sicherheitskonzept zu schaffen.

Nutzen Sie gerne diesen Leitfaden als strukturierten Ausgangspunkt. Gehen Sie die Punkte Schritt für Schritt durch – für eine IT, die nicht nur funktioniert, sondern auch rechtssicher schützt.

Wir wünschen Ihnen viel Erfolg bei der Umsetzung. Und falls Sie bei der Anpassung an Ihre individuellen Unternehmensprozesse Unterstützung benötigen: Wir von sicherkomm stehen Ihnen selbstverständlich als starker Partner zur Seite und übernehmen auch Haftungsrisiken, die sie lieber nicht selbst tragern sollten.

Ihr Team von sicherkomm

Beratung für Datenschutz & IT-Sicherheit

Checkliste:

Die nachfolgende strukturierte und praxisorientierte Checkliste verbindet die gesetzlichen Anforderungen der DSGVO mit konkreten technischen und organisatorischen Maßnahmen (TOMs) der IT-Sicherheit.

Leitfaden zur rechtskonformen und sicheren Datenverarbeitung

Wenn IT-Sicherheit auf Datenschutz trifft, geht es nicht nur um Firewalls, sondern um den Schutz personenbezogener Daten (z. B. Kundendaten, Mitarbeiterdaten, IP-Adressen). Diese Checkliste hilft Ihnen, die wichtigsten Baustellen systematisch zu prüfen und abzusichern.

1. Organisation & Dokumentation (Das Fundament)

Bevor technische Filter greifen, muss die rechtliche Struktur stehen. Ohne Dokumentation drohen bei Prüfungen der Aufsichtsbehörden die schnellsten Bußgelder.

1 a) Datenschutzbeauftragte(r) (DSB): 

Ist geklärt, ob eine Benennungspflicht besteht?

Wann Pflicht? Sobald in der Regel mindestens 20 Personen ständig automatisiert mit der Verarbeitung personenbezogener Daten beschäftigt sind oder eine Datenschutz-Folgenabschätzung (DSFA) nötig ist (§ 38 BDSG).

1 b) Verzeichnis von Verarbeitungstätigkeiten (VVT): 

Sind alle internen Prozesse, bei denen Daten fließen (HR, CRM, Buchhaltung, Newsletter), im VVT erfasst?

1 c) Auftragsverarbeitungsverträge (AVV): 

Liegen mit allen Dienstleistern, die Zugriff auf Ihre Daten haben (Cloud-Anbieter, Hoster, IT-Supporter, Newsletter-Tools), gültige AV-Verträge vor?

1 d) Drittlandtransfer-Prüfung: 

Werden Daten auf Servern außerhalb der EU/des EWR gespeichert (z. B. USA)? Wenn ja: Ist das wirklich erforderlich, gibt es keine deutsche Alternative. Sind diese Transfers durch EU-Standardvertragsklauseln (SCCs) oder das Data Privacy Framework abgesichert?

2. Technische & Organisatorische Maßnahmen (TOM)

Hier greift die IT-Sicherheit direkt in den Datenschutz ein. Gemäß Art. 32 DSGVO müssen Daten nach dem „Stand der Technik“ geschützt werden.

2.1 Identitäts- & Zugriffsschutz

2.1 a) Rechte- & Rollenkonzept: Gilt das Need-to-know-Prinzip? (Mitarbeiter haben nur Zugriff auf Daten, die sie für ihre Arbeit zwingend benötigen).

2.1 b) Passwort-Richtlinie & 2FA: Ist eine starke Passwort-Policy aktiv und wird die Zwei-Faktor-Authentisierung (2FA) für alle kritischen Zugänge (VPN, E-Mail, Cloud-Dienste) erzwungen?

2.1 c) Benutzerkonten-Bereinigung: Werden Konten ausgeschiedener Mitarbeiter sofort gesperrt und deren Zugriffe entzogen?

2.2 Datensicherheit & Verschlüsselung

2.2 a) Verschlüsselung (At Rest & In Transit):

Werden mobile Geräte (Laptops, Smartphones) vollständig verschlüsselt (z. B. BitLocker/FileVault)?

Sind Datenübertragungen (Websites, E-Mails, API-Endpunkte) durchgehend verschlüsselt (HTTPS, TLS 1.3)?

2.2 b) Sicheres Backup-Konzept: Existieren regelmäßige, verschlüsselte und räumlich getrennte Backups? Wird die Wiederherstellung (Restore) regelmäßig getestet?

2.2 c) Patch-Management: Werden Betriebssysteme, Anwendungen und Firmware (insb. Router und Firewalls) automatisiert und zeitnah mit Sicherheitsupdates versorgt?

3. Datenlebenszyklus & Betroffenenrechte

Daten dürfen nicht "auf ewig" gehortet werden. Die DSGVO verlangt Kontrolle von der Erfassung bis zur Vernichtung.

3 a) Löschkonzept & Löschfristen: Gibt es definierte Regeln, wann welche Daten gelöscht werden müssen (z. B. Bewerberdaten nach 6 Monaten, Rechnungen nach 10 Jahren)? Wird dies technisch (automatisiert) umgesetzt?

3 b) Prozess für Betroffenenanfragen: Kann das Unternehmen Auskunftsbegehren, Löschungs- oder Übertragungsanfragen von Kunden oder Mitarbeitern innerhalb der gesetzlichen Frist von einem Monat sauber beantworten?

3 c) Sichere Entsorgung: Werden physische Datenträger (Festplatten, USB-Sticks) und Papierakten nach DIN 66399 datenschutzkonform vernichtet?

4. Webauftritt & externe Kommunikation

Die eigene Website ist das digitale Aushängeschild – und das erste Ziel für Abmahner.

4 a) Datenschutzerklärung & Impressum: Sind diese von jeder Unterseite mit maximal zwei Klicks erreichbar und rechtlich auf dem neuesten Stand?

4 b) Cookie-Consent-Banner: Werden nicht-essenzielle Cookies (z. B. Tracking- und Marketing-Cookies) erst nach einer aktiven, freiwilligen Einwilligung (Opt-In) geladen?

4 c) SSL-Verschlüsselung: Ist die Website durchgehend per HTTPS abgesichert?

4 d) Kontaktformulare: Werden Formulardaten verschlüsselt übertragen und wird der Zweck der Datenerhebung transparent erklärt?

5. Notfallmanagement (Incident Response)

Wenn trotz aller Maßnahmen etwas passiert, zählt jede Sekunde.

5 a) Data-Breach-Prozess: Gibt es einen klaren internen Ablaufplan für den Fall einer Datenpanne (z. B. Ransomware-Befall, verlorener Firmen-Laptop)?

5 b) 72-Stunden-Frist: Ist sichergestellt, dass meldepflichtige Vorfälle innerhalb von 72 Stunden an die zuständige Landesdatenschutzbehörde gemeldet werden können?

Tipp für unsere sicherkomm-Mandanten: Datenschutz ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Wir empfehlen, diese Checkliste mindestens einmal jährlich oder bei jeder größeren IT-Umstellung (z. B. Einführung neuer Software, Wechsel des Cloud-Anbieters) neu durchzugehen.

6. ) Homeoffice & Mobiles Arbeiten (Sicherheit außerhalb des Büros)

Im Homeoffice verschwimmt die Grenze zwischen privater und geschäftlicher IT, was diesen Bereich zu einer der größten Schwachstellen für den Datenschutz und die Informationssicherheit macht.

Sobald Daten die kontrollierte Büroumgebung verlassen, steigt das Risiko für Datenpannen. Hier müssen klare technische Hürden und Verhaltensregeln gelten.

6.1 Technische Absicherung

6.1 a) Sichere VPN-Verbindung: Greifen Mitarbeiter aus der Ferne ausschließlich über ein verschlüsseltes Virtual Private Network (VPN) mit Zwei-Faktor-Authentisierung (2FA) auf das Firmennetzwerk zu?

6.1 b) Ggf. Verbot privater Endgeräte (BYOD - Bring Your Own Device): Ist die Nutzung privater PCs, Laptops oder Tablets für geschäftliche Zwecke ohne explizites, technisch abgesichertes Konzept (z. B. über isolierte virtuelle Desktop-Infrastrukturen) untersagt?

6.1 c) Lokale Datenspeicherung untersagen: Sind die Systeme so konfiguriert, dass sensible Daten nicht lokal auf den Geräten im Homeoffice, sondern ausschließlich auf den geschützten Firmenservern oder freigegebenen Cloud-Speichern abgelegt werden?

6.1 d) Schnittstellensperre: Sind USB-Ports an Firmen-Laptops gesperrt, um den unkontrollierten Abfluss von Daten auf private Speichermedien zu verhindern?

6.1 e) Router-Sicherheit zu Hause: Gibt es eine verständliche Richtlinie für Mitarbeiter, wie sie ihr privates WLAN absichern müssen (z. B. individuelles, starkes WPA3-Passwort, Deaktivierung von WPS und regelmäßige Router-Updates, Virenschutzprogramme)?

6.2 Organisatorischer Schutz & Verhalten

6.2 a) Blickschutz & Clean-Desk-Policy:

Nutzen Mitarbeiter an mobilen Geräten in der Öffentlichkeit (Bahn, Café) Blickschutzfolien?

Wird der Bildschirm im Homeoffice beim Verlassen des Arbeitsplatzes gesperrt (z. B. per Shortcut Win + L)?

6.2 b) Zutritts- und Einsichtsschutz: Ist sichergestellt, dass Familienmitglieder, Mitbewohner oder Besucher weder Einblick in den Bildschirm noch Zugriff auf ausgedruckte Arbeitsunterlagen haben?

6.2 c) Sicheres Telefonieren: Werden vertrauliche Telefonate oder Videokonferenzen so geführt, dass Dritte (auch im eigenen Haushalt) nicht mithören können (z. B. durch Nutzung von Headsets und geschlossenen Zimmertüren)?

6.2 d) Umgang mit Papierdokumenten: Ist geregelt, dass sensible Dokumente nicht im privaten Hausmüll entsorgt werden dürfen, sondern entweder im Büro geschreddert oder mit einem privaten Aktenvernichter (mindestens Sicherheitsstufe P-4) vernichtet werden müssen?

6.2 e) Smarte Assistenten ausschalten: Sind Sprachassistenten (wie Alexa, Siri, Google Home) im Homeoffice-Arbeitszimmer während der Arbeitszeit stummgeschaltet oder komplett ausgeschaltet, um ein versehentliches Mithören von Telefonaten zu verhindern?

Rechtlicher Hinweis für unsere sicherkomm-Mandanten: 

Arbeitgeber sind gesetzlich dazu verpflichtet, die Einhaltung des Datenschutzes auch im Homeoffice stichprobenartig zu kontrollieren. Da die Wohnung der Mitarbeiter jedoch unter dem besonderen Schutz des Grundgesetzes (Art. 13 GG) steht, sollte im Arbeitsvertrag oder einer Homeoffice-Betriebsvereinbarung vorab ein vertragliches Zutrittsrecht für den Datenschutzbeauftragten (nach vorheriger Anmeldung und nur im begründeten Einzelfall) vereinbart werden.