Symbolbild, künstlich erzeugt
DSGVO in der Praxis: Von der Vorschrift zur technischen Maßnahme
„Angemessene technische und organisatorische Maßnahmen“ – der Gesetzestext bleibt bewusst allgemein. Was daraus im IT-Alltag tatsächlich folgt.
Das Journal des DAVINCI RechenzentrumsSonntag, 11. Oktober 2026196 Beiträge · 14 Ressorts
Ressort · 27 Beiträge
Ressort Datenschutz & Compliance
Regeln, die Sie ohnehin einhalten sollten.
DSGVO, NIS2, Aufbewahrungspflichten, Auftragsverarbeitung: Rechtliche Anforderungen an die IT – übersetzt in konkrete technische und organisatorische Maßnahmen.
Worum es in diesem Ressort geht
Datenschutz & Compliance behandelt die rechtlichen Pflichten, die sich aus DSGVO, NIS2 und angrenzenden Regelungen ergeben, und übersetzt sie in konkrete Schritte: Löschkonzepte, Auftragsverarbeitungsverträge, die Bearbeitung von Auskunftsersuchen, die Meldung eines Vorfalls innerhalb von 72 Stunden, die Frage, ab wann ein Datenschutzbeauftragter Pflicht wird.
Diese Pflichten treffen jedes Unternehmen, das personenbezogene Daten verarbeitet – also nahezu jedes. Anders als bei rein technischen Maßnahmen gibt es hier feste Fristen und dokumentierte Nachweispflichten: Wer im Ernstfall nicht zeigen kann, dass ein Verfahren eingehalten wurde, haftet unabhängig davon, ob tatsächlich ein Schaden entstanden ist. Das macht Dokumentation zum eigentlichen Kern dieses Themenfelds, nicht die Technik allein, so wichtig sie auch ist.
Abgegrenzt wird hier zu Cybersecurity, das die technische Schutzmaßnahme selbst behandelt, während dieses Ressort die rechtliche Pflicht dahinter einordnet – etwa welche Meldewege bei einem Vorfall parallel laufen. Auch die datenschutzrechtliche Seite von KI-Einsatz wird hier vertieft, während allgemeine KI-Anwendungsfälle im Ressort KI & Automatisierung stehen.
Wenn Sie hier neu sind
Weitere Beiträge aus Datenschutz
Welche Unterlagen dürfen 2026 vernichtet werden? Die Jahrgänge – und die eine Bedingung, die oft übersehen wird
Jedes Jahr dieselbe Frage im Archivraum: Was darf weg? 2026 lautet die Antwort für Belege und Rechnungen: Jahrgang 2017 und älter – zwei Jahrgänge mehr, als viele noch gewohnt sind, weil die Frist seit 2025 nur noch acht Jahre beträgt. Bevor der Aktenvernichter läuft, sollte man aber eine Frage klären, die mit dem Kalender nichts zu tun hat.
Kontoauszüge aufbewahren: acht Jahre, im richtigen Format – und warum der Download aus dem Bankportal nicht reicht
Kontoauszüge sind in der Buchhaltung Belege für jede Zahlung – und damit Buchungsbelege, die seit 2025 acht Jahre aufzubewahren sind. Die eigentliche Frage ist heute aber nicht das Wie lange, sondern das Wie: Seit die meisten Auszüge nur noch elektronisch kommen, entscheidet das Format darüber, ob die Aufbewahrung im Zweifel trägt.
Zwanzig Meldungen vom Validator – welche davon zählen? Die drei Fehlerklassen des BMF
Ein Validator meldet bei einer XRechnung schnell eine ganze Liste. Seit Oktober 2025 gibt es eine amtliche Antwort darauf, welche Meldung was bedeutet: Formatfehler, Geschäftsregelfehler, Inhaltsfehler. Die Unterscheidung entscheidet, ob eine Rechnung zurückgeht oder gebucht wird.
Acht Jahre XML: Was die E-Rechnung am Archiv ändert, das seit Jahren läuft
Die Fristen sind dieselben wie immer. Neu ist, was aufbewahrt wird: nicht mehr die Ansicht einer Rechnung, sondern eine Datei, die in ihrer ursprünglichen Form erhalten bleiben muss. Viele Archive, die seit Jahren zuverlässig PDFs ablegen, sind dafür nicht gebaut.
Zehn IT-Feststellungen, die in Prüfungsberichten des Mittelstands immer wieder stehen – und was jede davon beendet
Wer Prüfungsberichte mittelständischer GmbHs liest, findet unter „Feststellungen zum IT-System“ seit Jahren dieselben Sätze. Keiner davon ist technisch schwer zu beheben. Alle hängen an einem Dokument, das fehlt. Die zehn häufigsten – mit dem Beleg, der sie aus dem nächsten Bericht nimmt.
Donnerstag, 9:30 Uhr: Der Wirtschaftsprüfer fragt nach dem Berechtigungskonzept
Protokoll eines Prüfungstags in einem Maschinenbaubetrieb mit 90 Beschäftigten – erfunden, damit es sich genau erzählen lässt, aber in jedem Satz aus echten Prüfungen. Was gefragt wird, was geantwortet wird, und an welcher Stelle der Tag kippt.
Verfahrensdokumentation in zwei Tagen: Was hinein muss, was nicht, und wer welchen Teil schreibt
Die GoBD verlangen für jedes buchführungsrelevante System eine Verfahrensdokumentation – und die meisten Häuser haben keine, weil sie sie für ein Projekt halten. Sie ist keines. Für einen Betrieb mit Buchhaltungssoftware, Scanprozess und einem Vorsystem sind es zwei Arbeitstage, wenn drei Leute die richtigen Teile schreiben.
TISAX ohne Konzernberater: Was ein Zulieferer mit 80 Beschäftigten wirklich braucht
Die Anfrage kommt vom Einkauf des Herstellers, mit Frist. Die Angebote, die danach eintreffen, sind für Konzerne geschrieben. Dazwischen steht ein Zulieferer, der weder ein Sicherheitsteam hat noch eines braucht – sondern vier technische Dinge, ein paar Dokumente und einen zugelassenen Prüfdienstleister.
ISAE 3402 Typ 2: Wie Sie den Bericht Ihres Rechenzentrums lesen – und was fehlt, wenn er fehlt
Ihr Wirtschaftsprüfer fragt nach dem PS-951-Bericht Ihres IT-Dienstleisters, Sie bekommen 60 Seiten und wissen nicht, wo anfangen. Drei Stellen genügen: Geltungsbereich, Abweichungen, komplementäre Kontrollen. Und für den Fall, dass es den Bericht nicht gibt – auch bei uns nicht –, was stattdessen zu verlangen ist.
Going Concern und Cyberrisiko: Warum der Abschlussprüfer 2026 nach der Angriffserkennung fragt
Die Fortführungsannahme ist die Grundlage jeder Bilanz: Das Unternehmen besteht in zwölf Monaten noch. Ein Verschlüsselungsvorfall, der den Betrieb drei Wochen stoppt, stellt sie in Frage. Deshalb fragt der Prüfer inzwischen nicht nur nach Liquidität, sondern danach, ob ein Angriff bemerkt würde – und ob der Vorfall im Geschäftsjahr vollständig erfasst ist.
Größenklassen nach HGB: Ab wann die Prüfungspflicht greift – und was sie für die IT bedeutet
7,5 Millionen Euro Bilanzsumme, 15 Millionen Euro Umsatz, 50 Arbeitnehmer: Wer zwei dieser drei Grenzen überschreitet, ist nicht mehr klein – und wird jedes Jahr geprüft, mit der IT. Viele Häuser wachsen über die Grenze, ohne es zu merken, und erfahren es vom ersten Prüfungsbericht. Was die Schwellen sind, wie sie zählen, und was ab dann von der IT verlangt wird.
„Wir sind doch kein Energieversorger“: Die fünf Irrtümer zur NIS2-Betroffenheit
In fast jedem Gespräch über NIS2 fällt ein Satz, der falsch ist – und meist derselbe. Die fünf häufigsten Fehlannahmen zur Frage, ob ein Unternehmen unter das Gesetz fällt, und was § 28 BSIG stattdessen sagt.
Die „Garantie“ im Sicherheitsvertrag: Was im Kleingedruckten steht, wenn man es liest
Manche Anbieter von Angriffserkennung versprechen eine Zahlung, falls doch etwas passiert. Das klingt nach Versicherung und ist keine – es darf nicht einmal so heißen. Was solche Zusagen leisten, was sie ausschließen und warum der Einkaufsleitfaden der Branche sie als nicht seriös bezeichnet.
Server in Frankfurt, Recht aus Washington: Warum der Betreiber zählt, nicht die Adresse
„Die Daten liegen in Deutschland“ beruhigt – und beantwortet die falsche Frage. Entscheidend ist, wessen Recht für den Betreiber gilt, der die Server hält. Was der US CLOUD Act regelt, warum ein deutscher Standort allein nichts daran ändert und was das für die Wahl eines Sicherheitsdienstes bedeutet.
Schreibt NIS2 eine Angriffserkennung vor? Ja, nein, und warum die Antwort egal ist
Wörtlich verlangt das Gesetz Systeme zur Angriffserkennung nur von Betreibern kritischer Anlagen. Für alle anderen Einrichtungen steht das Wort nicht im Gesetz – und trotzdem kommen sie ohne nicht aus. Warum die Pflicht aus zwei anderen Paragrafen folgt und was sie praktisch verlangt.
Was vor der ersten Kamera im Betrieb zu klären ist
Eine Kamera ist schnell montiert, die Begründung dafür braucht länger. Der Beitrag zeigt die Rechtsgrundlage, die dreistufige Abwägung, die Hinweispflichten, die Speicherdauer und die Punkte, an denen Aufsichtsbehörden regelmäßig ansetzen.
Was bei der Datenübermittlung in Drittländer zählt
Fernzugriff aus dem Ausland, Unterauftragnehmer, Cloud-Support: Daten verlassen den EWR oft unbemerkt. Der Beitrag ordnet Angemessenheitsbeschlüsse, Standardvertragsklauseln und die Prüfung, die dazwischen gehört.
Ab wann ein Datenschutzbeauftragter Pflicht wird
Zwanzig Personen an Bildschirmen genügen oft schon – und in manchen Fällen kommt es auf die Zahl gar nicht an. Der Beitrag klärt Benennungspflicht, die Wahl zwischen intern und extern, Stellung, Aufgaben und Interessenkonflikte.
NIS2 in Deutschland: Was nach den ersten Monaten gilt
Das Umsetzungsgesetz ist seit Dezember 2025 in Kraft, die Registrierungsfrist beim BSI im März 2026 abgelaufen. Wer bis heute nicht geprüft hat, ob er betroffen ist, hat kein Zeitproblem mehr, sondern ein Haftungsproblem.
Wann eine Datenschutz-Folgenabschätzung wirklich nötig ist
Die Datenschutz-Folgenabschätzung gilt als Großprojekt für Konzerne. Der Beitrag zeigt, welche Auslöser das Gesetz und die Listen der Aufsichtsbehörden nennen, wie das Verfahren abläuft und was am Ende dokumentiert sein muss.
Digital Omnibus: Die DSGVO bekommt Schrauben zum Nachziehen
Cookie-Regeln wandern in die DSGVO, das Training von KI-Modellen soll sich auf berechtigtes Interesse stützen können, Pseudonymisierung wird neu gefasst. Für Unternehmen heißt das: Vieles wird einfacher, manches unsicherer.
Wo die Auswertung von Beschäftigtendaten ihre Grenze hat
Zeiterfassung, Protokolle, Gerätemanagement: In jedem Betrieb entstehen Daten, aus denen sich Verhalten und Leistung ablesen lassen. Der Beitrag ordnet Rechtsgrundlage, Mitbestimmung und den Umgang mit Protokolldaten.
Ein Auskunftsersuchen erreicht Sie – und die Frist läuft
Nach Eingang eines Antrags nach Artikel 15 DSGVO bleibt in der Regel ein Monat. Dieser Beitrag zeigt, was mitzuliefern ist, wie die Identität geprüft wird und welche Vorarbeiten die Bearbeitung von Wochen auf Stunden verkürzen.
Löschen statt sammeln: Warum ein Löschkonzept die IT entlastet
Daten aufzubewahren fühlt sich sicher an. Tatsächlich erhöht jedes zusätzliche Jahr Bestand Risiko, Kosten und Aufwand – und kollidiert mit dem Datenschutz.
Datenschutzvorfall: Die 72-Stunden-Frist beginnt früher, als man denkt
Nach Kenntnis eines meldepflichtigen Vorfalls bleiben 72 Stunden. Wer erst dann anfängt, Zuständigkeiten zu klären, hat den größten Teil der Zeit bereits verloren.
Auftragsverarbeitung: Wenn Dienstleister Ihre Daten anfassen
Sobald ein externer Partner Zugriff auf personenbezogene Daten hat, braucht es mehr als Vertrauen: einen Vertrag, eine Prüfung und eine dokumentierte Auswahl.
Datenschutz: Wie steht Ihr Unternehmen da?
Eine Einschätzung Ihrer Lage, ohne Verkaufsgespräch. Sie erhalten innerhalb der nächsten zwei Stunden eine Antwort von jemandem, der entscheiden kann.