Themenbereich · 3 Artikel
Datenschutz im Büro: Was die DSGVO von der IT verlangt
Auch kleine Büros und Selbstständige müssen personenbezogene Daten technisch und organisatorisch angemessen schützen, Dienstleister vertraglich binden, Verarbeitungen dokumentieren und Datenpannen rechtzeitig melden. Die Größe des Betriebs befreit davon nicht.
-
01
Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO im kleinen Büro
Art. 32 DSGVO verlangt keine feste Maßnahmenliste, sondern ein dem Risiko angemessenes Schutzniveau. Für ein kleines Büro heißt das: Zugriff begrenzen, Geräte und Backups verschlüsseln und prüfen, Updates einspielen, Beschäftigte unterweisen und alles knapp dokumentieren.
-
02
Auftragsverarbeitung und AV-Vertrag (Art. 28 DSGVO): Wann ein kleines Büro einen AVV braucht
Einen AV-Vertrag braucht, wer einen Dienstleister personenbezogene Daten weisungsgebunden für sich verarbeiten lässt, etwa bei Cloud-Speicher, Hosting, laufender Fernwartung oder einem Newsletter-Tool. Eine Mindestgröße für diese Pflicht gibt es nicht.
-
03
Datenträger sicher löschen: Festplatten, SSDs, Smartphones und Drucker vor Verkauf oder Entsorgung
Wer ein Gerät verkauft, verschenkt, zurückgibt oder entsorgt, muss die darauf gespeicherten personenbezogenen Daten unwiederbringlich entfernen. Löschen im Betriebssystem und Schnellformatieren genügen dafür nicht; je nach Datenträger braucht es vollständiges Überschreiben, das Löschen des Verschlüsselungsschlüssels oder die physische Vernichtung.
Diese Seite gibt allgemeine Informationen und ersetzt keine Rechtsberatung. Sie ordnet ein, welche Artikel der DSGVO die IT eines kleinen Büros berühren, und führt zu den drei Vertiefungen.
Gilt die DSGVO auch für ein Büro mit wenigen Beschäftigten?
Ja. Ausgenommen ist nur die Verarbeitung durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit. Kundendaten im häuslichen Arbeitszimmer fallen deshalb nicht unter diese Ausnahme. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 2 Abs. 2 Buchst. c)
Was verlangt Art. 32 von der IT?
Verantwortliche müssen unter Berücksichtigung von Stand der Technik, Implementierungskosten und Risiko für die betroffenen Personen geeignete technische und organisatorische Maßnahmen treffen. Genannt werden unter anderem Verschlüsselung, dauerhaft gesicherte Vertraulichkeit, Integrität und Verfügbarkeit, rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 32 Abs. 1) Was das im Alltag heißt, beschreibt der Beitrag zu den technischen und organisatorischen Maßnahmen.
Wann braucht ein Büro einen Vertrag mit Dienstleistern?
Werden personenbezogene Daten im Auftrag verarbeitet, etwa in einer Cloud, bei einem Hoster oder bei laufender Fernwartung, darf der Verantwortliche nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten. Die Verarbeitung erfolgt auf Grundlage eines schriftlichen Vertrags, der auch elektronisch geschlossen werden kann. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 28 Abs. 1, 3 und 9) Wann das zutrifft und was im Vertrag stehen muss, behandelt der Beitrag zur Auftragsverarbeitung (AVV).
Muss ein Büro mit unter 250 Beschäftigten ein Verarbeitungsverzeichnis führen?
In den meisten Fällen ja. Die Pflicht gilt nach Art. 30 Abs. 5 nicht für Unternehmen mit weniger als 250 Beschäftigten, sofern die Verarbeitung kein Risiko für die Rechte und Freiheiten der Betroffenen birgt, nicht nur gelegentlich erfolgt und keine besonderen Datenkategorien oder Daten über Straftaten einschließt. Die Bedingungen gelten alternativ: Schon eine davon reicht, damit die Ausnahme entfällt. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679) Die Datenschutzkonferenz nennt als Beispiel für eine nicht nur gelegentliche Verarbeitung die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten. (Quelle: datenschutzkonferenz-online.de/media/kp/dsk_kpnr_1.pdf) Wer Kunden oder Angestellte laufend verwaltet, fällt damit in der Regel unter die Pflicht. Das Verzeichnis ist schriftlich zu führen, was auch elektronisch möglich ist, und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 30 Abs. 3 und 4)
Wie schnell muss eine Datenpanne gemeldet werden?
Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Wird die Frist überschritten, ist die Verzögerung zu begründen. Ein Auftragsverarbeiter meldet eine Verletzung dem Verantwortlichen unverzüglich. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 33 Abs. 1 und 2) Die bayerische Aufsicht weist darauf hin, dass das Wochenende mitgezählt wird. (Quelle: lda.bayern.de/de/thema_schadcode.html)
Die drei Vertiefungen
- Technische und organisatorische Maßnahmen: Zugriff, Verschlüsselung, Updates, Backups, Schulung und wie sich das dokumentieren lässt.
- Auftragsverarbeitung und AVV: Cloud, Hosting, IT-Service und Newsletter-Tools.
- Datenträger sicher löschen: Festplatten, SSDs, USB-Sticks, Smartphones und Drucker vor Verkauf oder Entsorgung.
Eng verwandt sind die Datensicherung und der Ransomware-Notfallplan.