Wir helfen Ihnen, Anforderungen verständlich in Ihre Arbeitsabläufe einzubinden.
Ihre externen Datenschutzbeauftragten für Datenschutz im Alltag.
bdT übernimmt für Ihr Unternehmen die Aufgabe des externen Datenschutzbeauftragten. Wir beraten Ihre Geschäftsleitung und Beschäftigten, begleiten Ihre Datenschutzorganisation und unterstützen Sie dabei, Anforderungen in den Arbeitsalltag einzubinden. So erhält Ihr Team fachliche Unterstützung und klare Orientierung für Datenschutzfragen. Den Umfang der Betreuung stimmen wir mit Ihnen ab.
Prüfen, ob und wie Ihr Unternehmen von den Pflichten betroffen ist.
Wir begleiten Sie als externe Datenschutzbeauftragte nach dem vereinbarten Betreuungsumfang.
Datenschutz und IT-Sicherheit: vier Bereiche im Überblick.
Datenschutz ist mehr als eine Datenschutzerklärung. Rechtliche Anforderungen, interne Abläufe und technische Schutzmaßnahmen müssen zusammenpassen und dauerhaft gepflegt werden.
Personenbezogene Daten rechtmäßig verarbeiten
Rechtsgrundlagen, Informationspflichten, Betroffenenrechte und Nachweise müssen in den tatsächlichen Arbeitsabläufen verankert sein.
Mehr zur DSGVO →Unabhängige fachliche Begleitung
Der Datenschutzbeauftragte berät, sensibilisiert und überwacht die Datenschutzorganisation, ohne die Verantwortung der Geschäftsleitung zu übernehmen.
Mehr zum Datenschutzbeauftragten →Cyberrisiken strukturiert beherrschen
Betroffene Einrichtungen benötigen dokumentierte Maßnahmen, Meldewege und eine aktive Einbindung der Geschäftsleitung.
Mehr zu NIS2 →Schutzmaßnahmen wirksam betreiben
Zugriffsschutz, Backup, Updates, Protokollierung und Notfallvorsorge müssen zum Risiko und zur vorhandenen Infrastruktur passen.
Mehr zur IT-Sicherheit →Welche Bausteine gehören zur Datenschutzorganisation?
Eine tragfähige Datenschutzorganisation bildet die realen Abläufe ab. Dokumente, Zuständigkeiten und technische Maßnahmen müssen zusammengeführt, regelmäßig überprüft und bei Veränderungen angepasst werden.
Verzeichnis der Verarbeitungstätigkeiten
Welche personenbezogenen Daten werden zu welchem Zweck, auf welcher Grundlage und wie lange verarbeitet?
TransparenzInformationspflichten und Betroffenenrechte
Informationen zur Datenverarbeitung müssen verständlich bereitstehen. Für Auskunft, Berichtigung, Löschung und Widerspruch braucht es klare Abläufe.
ProzessAuftragsverarbeitung und Dienstleister
Zunächst wird die Rolle des Dienstleisters geklärt. Bei Auftragsverarbeitung sind eine Vereinbarung nach Art. 28 DSGVO und die Prüfung geeigneter Schutzmaßnahmen erforderlich.
PartnerTechnische und organisatorische Maßnahmen
Zugriff, Verfügbarkeit, Wiederherstellung und regelmäßige Wirksamkeitskontrollen werden dokumentiert.
TOMDatenschutzvorfälle
Ein interner Meldeweg sorgt dafür, dass Risiken bewertet und gesetzliche Fristen eingehalten werden können.
VorfallDatenschutz-Folgenabschätzung
Ist ein voraussichtlich hohes Risiko für die Rechte und Freiheiten von Personen zu erwarten, ist vor Beginn eine Datenschutz-Folgenabschätzung erforderlich.
RisikoWo die DSGVO im Unternehmensalltag konkret greift.
Für Unternehmen in Deutschland gilt die DSGVO grundsätzlich unabhängig von ihrer Größe, wenn sie personenbezogene Daten automatisiert oder in einem Dateisystem verarbeiten. Dazu zählen etwa Daten von Kunden, Beschäftigten und Ansprechpartnern bei Lieferanten.
Website und Marketing
Schon beim Websiteaufruf können personenbezogene Daten wie IP-Adressen verarbeitet werden. Für Cookies und ähnliche Zugriffe ist zusätzlich § 25 TDDDG zu beachten: Eine Einwilligung ist grundsätzlich erforderlich, sofern keine gesetzliche Ausnahme greift, etwa für unbedingt erforderliche Funktionen.
- Datenschutzerklärung
- Cookies und Einwilligung
- Tracking-Tools
- Newsletter
Beschäftigtendaten
Bewerbungen, Personalakten und Lohnabrechnungen enthalten vertrauliche personenbezogene Daten, teils auch Gesundheitsdaten. Zugriffe, Aufbewahrung und Löschung müssen geregelt sein.
- Bewerbungsverfahren
- Personalakten
- Berechtigungen
- Löschfristen
Cloud- und IT-Dienste
Sobald Dienstleister Daten hosten oder auf Systeme zugreifen, müssen Verträge, Zugriffe und der Speicherort geklärt sein.
- Microsoft 365 und Hosting
- Auftragsverarbeitung
- Fernwartung
- Datenübermittlung in Drittländer
Kunden, Lieferanten, Kommunikation
In CRM, ERP und E-Mail liegen täglich personenbezogene Daten. Wichtig ist, was wie lange aufbewahrt wird.
- CRM und ERP
- E-Mail-Postfächer
- Aufbewahrung und Löschung
Weitere typische Felder:
Videoüberwachung
Homeoffice und mobile Geräte
Fotos und Veröffentlichungen
Kundenkonten und Portale
72 Stunden
Meldung einer Datenpanne
Unverzüglich, möglichst binnen 72 Stunden ab Bekanntwerden. Eine Meldung entfällt, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten von Personen birgt.
1 Monat
Antwort auf Auskunftsanfragen
Antwort unverzüglich, grundsätzlich binnen eines Monats nach Eingang. Bei erforderlicher Verlängerung wegen Komplexität oder Anzahl der Anträge sind zwei weitere Monate möglich; darüber ist im ersten Monat mit Begründung zu informieren.
Unverzüglich
Information der Betroffenen
Bei voraussichtlich hohem Risiko sind die Betroffenen ohne unangemessene Verzögerung zu benachrichtigen. Art. 34 DSGVO regelt Ausnahmen, etwa bei wirksamem Schutz durch Verschlüsselung.
Wann wird ein Datenschutzbeauftragter benötigt?
Die Mitarbeiterzahl ist nur ein Kriterium. Zusätzlich können Art, Umfang und Risiko der Datenverarbeitung eine gesetzliche Benennungspflicht auslösen. Deshalb sollte immer der konkrete Einzelfall geprüft werden.
Regelmäßig mindestens 20 Personen
Nichtöffentliche Stellen müssen grundsätzlich einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen (§ 38 BDSG).
Dabei zählen tatsächlich mit der Verarbeitung beschäftigte Personen – nicht nur Vollzeitstellen.
Überwachung oder besondere Daten
Unabhängig von der Beschäftigtenzahl besteht eine Pflicht, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen oder eine umfangreiche Verarbeitung von Daten nach Art. 9 oder 10 DSGVO umfasst.
Typische Beispiele müssen anhand der konkreten Kerntätigkeit bewertet werden.
Datenschutz-Folgenabschätzung
Unterliegt eine Verarbeitung einer Datenschutz-Folgenabschätzung, sieht das BDSG die Benennung ebenfalls unabhängig von der Zahl der beschäftigten Personen vor.
Weitere Fälle: geschäftsmäßige Verarbeitung zur Übermittlung, anonymisierten Übermittlung oder Markt- und Meinungsforschung. Für Behörden gelten eigene Benennungspflichten.
Unklar, ob Ihr Unternehmen betroffen ist?
Prüfung anfragen
So unterstützen wir Sie als externe Datenschutzbeauftragte.
Mit bdT beauftragen Sie externe Datenschutzbeauftragte, die Ihre Geschäftsleitung und Beschäftigten beraten und die Einhaltung der Datenschutzvorgaben überwachen. Wir sind Anlaufstelle für Betroffene und Aufsichtsbehörden und begleiten Ihre Datenschutzfragen im vereinbarten Umfang. Ihr Team erhält fachliche Unterstützung, ohne die Beauftragtenfunktion intern besetzen zu müssen.
Beraten
Wir beraten Sie bei Projekten, Verträgen und neuen Verfahren, damit Datenschutzfragen frühzeitig geklärt werden.
Überwachen
Wir prüfen Ihre Datenschutzorganisation risikoorientiert und zeigen auf, wo Dokumentation oder Maßnahmen angepasst werden sollten.
Sensibilisieren
Wir begleiten Sensibilisierung und Schulungen, damit Ihre Beschäftigten Datenschutzfragen im Arbeitsalltag besser einordnen können.
Begleiten
Wir unterstützen Sie fachlich bei Datenschutz-Folgenabschätzungen, Vorfällen und Kontakten mit der Aufsichtsbehörde.
Ist Ihr Unternehmen von NIS2 betroffen?
In Deutschland sind insbesondere das BSI-Gesetz und seine Anlagen maßgeblich. Für die erste Einordnung betrachten wir mit Ihnen Tätigkeit, Unternehmensgröße und Sonderregelungen. Daraus ergeben sich die Einstufung und die jeweils geltenden Pflichten.
NIS2-Einordnung anfragenGehört Ihre Tätigkeit zu einem erfassten Sektor?
Die Anlagen 1 und 2 des BSI-Gesetzes nennen konkrete Einrichtungsarten. Die folgenden Branchen sind Beispiele; eine Branchenbezeichnung allein reicht für die Einstufung nicht aus.
- Energie
- Verkehr
- Gesundheit
- Wasser
- Digitale Infrastruktur
- Bestimmte IT-Dienste
- Finanzwesen
- Lebensmittel
- Bestimmte Hersteller
- Abfall
- Post- und Kurierdienste
- Chemie
Wie groß ist Ihr Unternehmen?
Für viele erfasste Einrichtungsarten gilt: mindestens 50 Beschäftigte oder jeweils mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme. Daten von Partner- und verbundenen Unternehmen sind nach den gesetzlichen Regeln zu berücksichtigen; bei unabhängigen IT-Systemen kann eine Ausnahme greifen. Bestimmte Anbieter sind auch unterhalb dieser Schwellen erfasst.
Besonders wichtige Einrichtungen
Unter anderem große Einrichtungen aus Anlage 1: mindestens 250 Beschäftigte oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme. Hinzu kommen gesetzliche Sonderfälle, etwa Betreiber kritischer Anlagen.
Wichtige Einrichtungen
Weitere erfasste Einrichtungen nach § 28 BSIG. Sektorspezifische Regeln, etwa DORA im Finanzwesen, können einzelne BSIG-Pflichten ersetzen.
Informationssicherheit wird zur Leitungsaufgabe.
NIS2 betrifft zahlreiche mittlere und große Unternehmen aus gesetzlich festgelegten Sektoren. Ob ein Unternehmen als wichtige oder besonders wichtige Einrichtung gilt, hängt unter anderem von Tätigkeit, Beschäftigtenzahl und wirtschaftlichen Schwellenwerten ab.
Zentrale Anforderungen
Betroffenheit und Registrierung
Betroffenheit prüfen und erforderliche Registrierung beim BSI grundsätzlich binnen drei Monaten nach Eintritt der Voraussetzungen vornehmen.
IT-Risikomanagement
Risiken analysieren und angemessene technische, operative und organisatorische Maßnahmen dokumentieren.
Notfall- und Lieferkettenmanagement
Betriebsfortführung, Wiederherstellung, Dienstleister und unmittelbare Anbieter einbeziehen.
Verantwortung der Geschäftsleitung
Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an entsprechenden Schulungen teilnehmen.
Meldekette bei erheblichen Sicherheitsvorfällen
24 h
Frühe Erstmeldung
Unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung.
72 h
Bewertung des Vorfalls
Unverzüglich, spätestens 72 Stunden nach Kenntnis: Erstmeldung bestätigen oder aktualisieren und Schweregrad sowie Auswirkungen bewerten.
1 Monat
Abschlussmeldung
Spätestens einen Monat nach der 72-Stunden-Meldung: Ursache, Auswirkungen und Abhilfe berichten. Dauert der Vorfall an, zunächst Fortschrittsbericht; Abschlussbericht binnen eines Monats nach Bewältigung.
Die Meldekette beschreibt § 32 BSIG für meldepflichtige erhebliche Sicherheitsvorfälle. Meldungen gehen an das BSI. Sektorspezifische Sonderregeln sind zu prüfen. Eine erforderliche DSGVO-Meldung an die Datenschutzaufsicht ist gesondert zu bewerten.
IT-Sicherheit macht Datenschutz im Alltag wirksam.
Technische und organisatorische Maßnahmen sollen ein dem Risiko angemessenes Schutzniveau schaffen. Dazu gehören Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Die folgenden Bereiche werden passend zu Ihren Daten, Systemen und Arbeitsabläufen ausgewählt und umgesetzt.
Vertraulichkeit
Integrität
Verfügbarkeit
Belastbarkeit
-
Identität
Zugriffe und Berechtigungen
Nur wer Daten für seine Aufgabe braucht, soll darauf zugreifen können.
-
Systeme
Updates und Schutz
Bekannte Schwachstellen werden zeitnah geschlossen, Geräte vor Schadsoftware geschützt.
-
Daten
Backup und Wiederherstellung
Sicherungen helfen, nach einem Ausfall oder Angriff den Betrieb wieder aufzunehmen.
-
Netzwerk
Segmentierung und Überwachung
Ein gut aufgebautes Netzwerk begrenzt Schäden und macht Auffälligkeiten sichtbar.
-
Vorfall
Notfall- und Meldewege
Im Ernstfall muss klar sein, wer entscheidet und wer informiert wird.
-
Mensch
Schulung und Sensibilisierung
Schulungen helfen Beschäftigten, Risiken im Alltag früh zu erkennen.
Gemeinsame Maßnahmen für Datenschutz und IT-Sicherheit.
DSGVO und NIS2 haben unterschiedliche Anwendungsbereiche, aber Überschneidungen bei Schutzmaßnahmen. Eine gemeinsame Planung kann Doppelarbeit verringern. Ob eine Maßnahme die jeweilige Pflicht erfüllt, hängt von ihrer Ausgestaltung und den geltenden Anforderungen ab.
Maßnahme
DSGVO
NIS2
Beispiele für die Umsetzung
Zugriffe und Multi-Faktor-AuthentifizierungZugriffsbeschränkungen sollen unbefugten Zugriff verhindern.
Berechtigungskonzept, Einführung von MFA, geregelte Benutzerwechsel
Backup und WiederherstellungSicherungen unterstützen die Wiederherstellung nach Ausfall oder Angriff.
Backup-Konzept, getrennte Sicherung, regelmäßiger Wiederherstellungstest
Updates und SchwachstellenBekannte Lücken werden zeitnah geschlossen.
Patchmanagement, Endpunktschutz, Überwachung der Systeme
Meldewege bei VorfällenWer meldet was, wann und an wen?
Notfall- und Eskalationsplan, Ansprechpartner, Übungen
Dienstleister und LieferketteDienstleister sind entsprechend ihrer Rolle und den Risiken zu prüfen.
Anbieterprüfung, bei Auftragsverarbeitung passende Vereinbarungen, Sicherheitsnachweise
Schulung und SensibilisierungSchulungen unterstützen das Erkennen typischer Risiken.
Praxisnahe Schulungen zu Phishing, Fehlversand und Datenschutz
Verzeichnis und BetroffenenrechteDokumentation der Verarbeitungen und Umgang mit Anfragen.
Verarbeitungsverzeichnis aufbauen, Abläufe für Auskunft und Löschung
BSI-Registrierung und NIS2-LeitungsschulungSpezifische Pflichten betroffener Einrichtungen und ihrer Geschäftsleitung.
Betroffenheit prüfen, Registrierung vorbereiten, erforderliche Leitungsschulungen planen
Wo steht Ihr Unternehmen heute?
Acht Fragen für einen ersten Überblick. Haken Sie alles an, was bei Ihnen bereits geregelt und nachweisbar ist. Die Anzahl der Häkchen ist eine Selbsteinschätzung und kein Nachweis für Rechtskonformität. Nicht jeder Punkt gilt für jedes Unternehmen in gleicher Weise.
Datenschutzbeauftragter und laufende Betreuung.
Von der Benennungspflicht über NIS2 bis zur Zusammenarbeit im Alltag: Hier beantworten wir häufige Fragen rund um Datenschutz, Informationssicherheit und die Betreuung durch einen externen Datenschutzbeauftragten.
Gilt die DSGVO auch für kleine Unternehmen?
Ja. Die DSGVO gilt unabhängig von der Unternehmensgröße, sobald personenbezogene Daten verarbeitet werden. Die Pflicht, einen Datenschutzbeauftragten zu benennen, ist davon getrennt und hängt von den beschriebenen Kriterien ab.
Was ist der Unterschied zwischen internem und externem Datenschutzbeauftragten?
Ein interner Datenschutzbeauftragter ist Beschäftigter des Unternehmens, ein externer übernimmt die Aufgabe auf Grundlage eines Dienstleistungsvertrags. Anforderungen an Fachkunde, Unabhängigkeit und Einbindung gelten für beide Modelle.
Bleibt das Unternehmen trotz Datenschutzbeauftragtem verantwortlich?
Ja. Der Datenschutzbeauftragte berät und überwacht. Die Verantwortung für rechtmäßige Verarbeitung und die Umsetzung erforderlicher Maßnahmen verbleibt beim verantwortlichen Unternehmen.
Ist jedes Unternehmen automatisch von NIS2 betroffen?
Nein. Entscheidend sind insbesondere die gesetzlich erfasste Einrichtungsart, die Unternehmensgröße und mögliche Sonderregelungen. Eine belastbare Einordnung erfordert die Prüfung der konkreten Geschäftstätigkeit.
Muss ich NIS2 beachten, wenn ich selbst nicht betroffen bin?
Nicht unmittelbar. Betroffene Unternehmen müssen aber ihre Lieferkette einbeziehen und können von Zulieferern und Dienstleistern Nachweise zur Informationssicherheit verlangen. Deshalb ist eine frühe Einordnung auch für nicht direkt betroffene Unternehmen sinnvoll.
Kann bdT Datenschutz und IT-Sicherheit gemeinsam begleiten?
Ja, mit klarer Rollen- und Aufgabentrennung. Die unabhängige Tätigkeit des Datenschutzbeauftragten wird organisatorisch von operativen IT-Entscheidungen und deren Umsetzung getrennt.
Wie beginnt die Zusammenarbeit?
In einem Erstgespräch klären wir Unternehmensstruktur, Datenverarbeitung, vorhandene Dokumentation und aktuelle Fragestellungen. Daraus entsteht ein abgestimmtes Vorgehen mit klaren Prioritäten.
Hinweis: Die Inhalte dienen der allgemeinen Information. Gesetzliche Betroffenheit, Benennungspflicht und konkrete Maßnahmen sind anhand des jeweiligen Unternehmens und Einzelfalls zu prüfen.