Warum Datenschutz im Unternehmen so unbeliebt ist
Es gibt kaum ein Thema mit einer größeren Lücke zwischen Anspruch und Alltag. Privat ist Datenschutz vielen Menschen ausgesprochen wichtig. In Kommentarspalten, in politischen Debatten, beim Blick auf die eigenen Daten. Kaum ist die Bürotür zu, verschwindet das Thema. Steffen Lüning, Datenschutzbeauftragter und Datenschutz-Comedian, hat dafür eine unaufgeregte Erklärung: Menschen ist in der Regel das wichtig, wovon sie selbst einen Vorteil haben. Sobald es um die Daten anderer geht, sinkt die Priorität. Seine Beobachtung aus der Praxis: Wer privat sorgsam mit Daten umgeht, tut das meist auch im Unternehmen. Und wer privat alles herausgibt, nimmt es auch im Job nicht besonders ernst.
Dazu kommt ein Erbe aus dem Jahr 2018. Als die DSGVO verpflichtend anzuwenden war, wurde das Thema von Beginn an belächelt. Lüning erinnert sich an Radiospots, in denen ein Lkw-Fahrer einen Stau meldet, aber wegen der Datenschutz-Grundverordnung nicht sagen darf, wo dieser Stau eigentlich ist. Parallel liefen viele Beratungen mit der großen Keule los: Verbote, Fristen, fünf vor zwölf. Der Klassiker war die Aufforderung, sämtliche WhatsApp-Gruppen zu löschen. Wenn 200 Menschen jahrelang genau darüber ihre Organisation abgewickelt haben, ist die Reaktion vorhersehbar. Nicht Einsicht, sondern Widerstand.
Und es gab einen zweiten Effekt. Mit der DSGVO entstand ein Geschäftsfeld, externe Datenschutzbeauftragte kamen in großer Zahl auf den Markt. Für viele Unternehmen bestätigte das den Verdacht, hier gehe es vor allem um Umsatz und um das Abhaken eines Gesetzes. Dieser Nachhall ist nach acht Jahren noch nicht ganz verschwunden.
Der Punkt, an dem sich das ändert, ist ein anderer Rahmen. Datenschutz ist keine Pflichtübung, die man neben der Unternehmensführung erledigt. Er ist ein Bestandteil davon, so wie Arbeitssicherheit, Buchhaltung oder Qualitätsmanagement.
Datenschutz oder IT-Sicherheit? Die Trennung, die es nicht gibt
Häufig gestellte Frage: Wo hört Datenschutz auf und wo fängt IT-Sicherheit an? Lünings Antwort: Das geht ineinander über.
Datenschutz beginnt physisch. Ist die Tür abgeschlossen? Kommt eine fremde Person unbemerkt in ein Büro und nimmt einen Rechner mit? Das hat mit IT-Sicherheit zunächst wenig zu tun. Nur: Personenbezogene Daten liegen heute im Regelfall digital vor. Aktenordner sind die Ausnahme geworden. Und sobald personenbezogene Daten digital verarbeitet werden, ist IT-Sicherheit unmittelbar Teil des Datenschutzes. Das beginnt bereits damit, dass ein Laptop unterwegs geöffnet wird.
Formal steht das in Artikel 32 DSGVO. Die Verordnung verlangt ein Schutzniveau, das dem Risiko angemessen ist, und nennt dabei ausdrücklich Verschlüsselung, Pseudonymisierung sowie die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.
Ein Merksatz, der im Gespräch nicht fällt, sich aber daraus ergibt: Der Datenschutz definiert, was geschützt werden muss. Die IT-Sicherheit liefert, womit.
Die zwei Dokumente, mit denen Sie anfangen sollten
Auf die Frage nach dem realistischen Einstieg nennt Lüning zwei Dokumente. Nicht drei Projekte und keine Software, sondern zwei Dokumente. Beide sind in der DSGVO verankert und beide zwingen dazu, das eigene Unternehmen einmal ehrlich anzuschauen.
Technische und organisatorische Maßnahmen (TOMs)
Die TOMs sind, salopp gesagt, das Blatt, auf dem steht, wie Sie Ihre Daten tatsächlich schützen. Rechtliche Grundlage ist Artikel 32 DSGVO. Typische Bereiche sind Zutritt zum Gebäude, Zugang zu Systemen, Zugriff auf Daten, Weitergabe an Dritte, Nachvollziehbarkeit von Eingaben, Verfügbarkeit und die Trennung von Datenbeständen.
Konkret heißt das zum Beispiel: Der Zugriff auf die Kundendatenbank und auf digitalisierte Personalakten ist geregelt. Es gibt eine Passwortrichtlinie, damit nicht alle mit 123456 arbeiten. Es gibt keine Sammelaccounts für ganze Abteilungen. Es gibt eine Zwei-Faktor-Authentifizierung. Der Arbeitsplatz wird nicht mit offenen Abrechnungen verlassen, gerade nicht in einem Büro mit Glaswand.
Lünings pragmatischer Hinweis: Muster und Vorlagen gibt es reichlich, teilweise lassen sich brauchbare Grundgerüste inzwischen sogar von einem KI-Chat erstellen. Die Krux liegt danach. Ein Muster zu finden ist einfach, es sinnvoll auszufüllen setzt Wissen voraus. Genau dort entstehen Lücken, über die man später stolpert.
Und wenn TOMs bereits existieren: kontrollieren, ob sie noch der Realität entsprechen. Dokumente aus dem Jahr 2018 beschreiben selten die IT-Landschaft von 2026.
Verzeichnis von Verarbeitungstätigkeiten (VVT)
Das zweite Dokument ist das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Es dokumentiert alle Prozesse, in denen personenbezogene Daten verarbeitet werden: Bewerbungen, Lohnabrechnung, CRM, Newsletter, Support-Tickets, Zeiterfassung, Videoüberwachung. Je Prozess werden unter anderem Zweck, Rechtsgrundlage, Kategorien der Daten und der Betroffenen, Empfänger und Löschfristen festgehalten.
Das ist Arbeit, und Lüning macht daraus kein Geheimnis. Sein Rat: aufsplitten. Wer es acht Jahre nicht angefasst hat, muss es nicht in vier Wochen erledigen. Ein halbes Jahr ist vertretbar, solange man anfängt. Der eigentliche Gewinn liegt ohnehin im Nebenprodukt: Sie sehen erstmals, welche Geschäftsprozesse es gibt, wie Ihre Leute arbeiten und wohin die Datenströme im Unternehmen tatsächlich laufen.
Ein verbreitetes Missverständnis am Rande: Artikel 30 Absatz 5 DSGVO enthält eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten. Diese Ausnahme greift in der Praxis selten, weil sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für Betroffene besteht oder besondere Datenkategorien verarbeitet werden. Für die meisten Unternehmen mit Personalverwaltung und Kundendaten trifft mindestens einer dieser Punkte zu.
Und ein dritter Punkt, der oft fehlt
Sobald Sie personenbezogene Daten an externe Dienstleister geben, sei es Ihre eigenen oder die Ihrer Kunden, braucht es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Lüning beschreibt das als klassische Nacharbeit der ersten Jahre: erst einmal auflisten, welche Dienstleister überhaupt welche Daten bekommen, und dann die Verträge nachziehen.
Zugriff, Passwörter und 2FA: wo Datenschutz technisch konkret wird
An dieser Stelle wird aus einem Papier ein Zustand. Denn was in den TOMs steht, muss auch umgesetzt sein. Genau hier liegt die Schnittstelle zur täglichen IT-Arbeit: Zugriffskonzepte, individuelle Accounts statt Sammelzugängen, durchgesetzte Passwortrichtlinien und Multifaktor-Authentifizierung.
Lünings Einordnung im Gespräch: Eine Zwei-Faktor-Authentifizierung für alle Geräte sollte inzwischen der Basisstandard sein. Warum das so ist und wo die typischen Stolpersteine bei der Einführung liegen, haben wir in einem eigenen Beitrag aufgeschrieben: 2FA für Unternehmen.
Der zweite Baustein ist die Passwortverwaltung. Solange Zugangsdaten in Excel-Listen, Notizen oder Köpfen liegen, lässt sich weder eine Richtlinie durchsetzen noch nachweisen, wer auf welches System Zugriff hat. Eine zentrale Verwaltung wie der Pleasant Password Server macht aus einer Absichtserklärung eine belegbare Maßnahme.
Wer haftet? Die Rolle der Geschäftsführung
Der klarste Satz des Gesprächs betrifft die Verantwortung. Aufgaben lassen sich delegieren, die Verantwortung nicht. Lünings Bild dafür ist unromantisch: Wer bekommt den Brief der Aufsichtsbehörde? Die Geschäftsführung. Und wer die Rechnung zahlt, sollte sich mit dem Thema beschäftigen.
Das gilt auch dann, wenn intern jemand benannt ist. Wird eine Person im Unternehmen mit dem Thema beauftragt, bleibt die Geschäftsführung in der Verantwortung, nicht die beauftragte Person.
Bei der Frage, wer diese Rolle übernehmen darf, gibt es eine harte Grenze: keine Führungsverantwortung. Eine IT-Leitung kann nicht gleichzeitig offiziell Datenschutzbeauftragte sein, eine Vertriebsleitung ebenfalls nicht, und die Geschäftsführung kann nicht Datenschutzbeauftragte des eigenen Unternehmens sein. Der Grund ist der Interessenkonflikt, den Artikel 38 Absatz 6 DSGVO ausschließt. Wer über Prozesse entscheidet, kann sie nicht unabhängig kontrollieren.
| Modell | Wann es sich anbietet | Wichtig zu wissen |
|---|---|---|
| Interne Benennung | Es gibt eine Person ohne Führungsverantwortung, für die Fortbildung und Zeitbudget bereitstehen | Kein Interessenkonflikt zulässig, Fachkunde muss vorhanden sein, Verantwortung bleibt bei der Geschäftsführung |
| Externe Benennung | Fachkunde ist intern nicht aufbaubar oder das Thema soll unabhängig begleitet werden | Beratung und Empfehlung, aber keine Weisungsbefugnis. Umsetzung entscheidet weiterhin das Unternehmen |
| Interne Koordination ohne formale Benennung | Es besteht keine Benennungspflicht, das Thema soll aber einen festen Ansprechpartner haben | Die inhaltlichen Pflichten der DSGVO gelten unabhängig davon weiter |
Zur Benennungspflicht selbst: Nach § 38 Absatz 1 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl kann sich die Pflicht auch aus Artikel 37 DSGVO ergeben, etwa bei umfangreicher Verarbeitung besonderer Datenkategorien. Ob Sie betroffen sind, ist eine Einzelfallfrage und gehört fachkundig geprüft.
Ein Detail, das Lüning betont: Ein externer Datenschutzbeauftragter berät und empfiehlt, er hat keine Weisungsbefugnis. Wenn er sagt, ein Prozess müsste anders laufen, und die Geschäftsführung entscheidet sich dagegen, dann ist das dokumentiert und die Entscheidung liegt beim Verantwortlichen. Genau dieser Konjunktiv gehört zur Rolle.
Und die Risiken? Zwei, sagt Lüning. Bußgelder, deren Höhe stark vom Einzelfall abhängt und für die im Regelfall viel zusammenkommen muss, insbesondere bewusstes Handeln gegen die DSGVO. Und schlechte Presse. Bei letzterer ist er erfrischend unaufgeregt: Die Meldung über verlorene Datenbanken ist auserzählt, sie läuft durch die Medien und danach ändern die Betroffenen ihr Passwort und machen weiter. Bei großen Unternehmen sei die Öffentlichkeit abgestumpft. Interessanter ist der umgekehrte Effekt. Je kleiner das Unternehmen, desto stärker wirkt der Vorfall im nahen Umfeld. Wenn im Dorf etwas passiert, weiß es das Dorf.
Woher Datenschutzvorfälle wirklich kommen
Die vielleicht überraschendste Aussage des Gesprächs betrifft den Auslöser von Behördenkontakten. Es sind selten Hackerangriffe und fast nie Sabotage von innen. Es sind Beschwerden.
Nach Lünings Erfahrung entstehen die meisten Beschwerden, Anfragen und Behördenkommunikationen, die er für Kunden bearbeitet, daraus, dass jemand das Unternehmen gemeldet hat. Aktuelle Mitarbeitende, ehemalige Mitarbeitende, Wettbewerber, Menschen, die sich persönlich übergangen fühlen. Wer im Streit über eine Abfindung steckt und intern etwas weiß, das nicht sauber läuft, hat einen niedrigschwelligen Hebel. Die zuständige Landesbehörde muss der Sache nachgehen.
Die tatsächlichen Pannen dagegen passieren aus Versehen. Der Klassiker ist der Verteiler in CC statt in BCC. Lüning beschreibt es als Jahresritual: Eine Schule verschickt eine Information an 250 private Adressen in CC, kurz danach kommt die Entschuldigung, ebenfalls an alle in CC. Dazu kommen die falsche Empfängerauswahl und, neu, die Kundenadresse, die beim Kopieren in einen KI-Chat nicht herausgeschnitten wurde.
Entscheidend ist dann die Reaktion. Wer nach einem Behördenschreiben Stellung nimmt, kooperiert und nacharbeitet, kommt in der Regel gut durch. Wer mit "das wusste ich nicht" reagiert, trifft auf wenig Verständnis, weil das Thema seit acht Jahren bekannt ist. Und wer belegen kann, dass geschult und dokumentiert wurde, steht anders da als jemand ohne jede Grundlage. Lüning formuliert es so: Man muss keine DSGVO-Könige sein. Es reicht zunächst, eine Basis zu haben und sich mit dem Thema beschäftigt zu haben.
Ergänzend, weil es im Gespräch nicht fällt, aber praktisch relevant ist: Eine Verletzung des Schutzes personenbezogener Daten ist nach Artikel 33 DSGVO grundsätzlich binnen 72 Stunden an die Aufsichtsbehörde zu melden. Diese Frist zu kennen, bevor der Fall eintritt, ist Teil der Vorbereitung.
KI ist die aktuelle Baustelle
Nach den Messengerdiensten und der fehlenden Dokumentation ist die nächste Welle längst da. Lüning nennt sie klar: ChatGPT und die vielen Nachfolger, Copilot, alles, was als KI-Unterstützung im Arbeitsalltag landet. Die Herausforderung ist weniger das Werkzeug als der Reflex. Es geht darum, Menschen so weit zu briefen, dass sie bei einem neuen Tool direkt an Datenschutz denken, statt es erst zu nutzen und danach zu fragen.
Praktisch bedeutet das: keine personenbezogenen Daten in Prompts, solange Rechtsgrundlage, Auftragsverarbeitung und Speicherort nicht geklärt sind. Dass genau diese Fragen auch bei neuen Microsoft-Diensten auftauchen, zeigt unser Beitrag zu Microsoft Scout.
Schulung, Awareness und warum Comedy dabei hilft
Beim Thema Schulung wird Lüning konkret, und seine Einschätzung widerspricht dem gängigen Format. Einmal im Jahr ist zu wenig. Anderthalb Stunden auf einmal sind zu lang. Sinnvoller sei es, etwa halbjährlich zu sensibilisieren und das zu dokumentieren, damit das Thema präsent bleibt und der Nachweis vorliegt.
Sein Comedy-Programm ist dabei ausdrücklich kein Ersatz für eine Schulung, sondern eine Ergänzung. Es ist der Türöffner, der die Barriere abbaut, damit die Leute beim nächsten Mal überhaupt zuhören, wenn es um Fachinhalte geht. In Kundenprojekten kombiniert er beides: anderthalb Stunden mit Fachwissen und komödiantischen Elementen, und der Schulungsraum ist voll, weil sich herumgesprochen hat, dass es nicht dröge wird.
Wo die Grenze liegt, beantwortet er als Stand-up-Comedian: Man kann über fast alles Comedy machen, die Frage ist wie. Datenschutzvorfälle spricht er an, aber er greift niemanden persönlich an. Die Pointe fällt am Ende immer auf den Datenschutzbeauftragten selbst zurück, also auf ihn. Das ist das Werkzeug, mit dem sich ein unbeliebtes Thema öffnen lässt.
Bleibt die Frage, wie eine Geschäftsführung überprüft, ob Datenschutz tatsächlich gelebt wird und nicht nur auf Papier steht. Möglichkeiten gibt es: Phishing-Kampagnen, kleine Wissenstests in Schulungen, verdeckte Begehungen. Lüning erzählt von einem Pflegeheim, in dem er sich mit Wissen der Leitung als Besucher durch die Häuser bewegte, sich irgendwann an eine Arbeitsinsel setzte und dort zwanzig Minuten an einem offenen Dokument tippte, ohne dass es jemandem auffiel. Solche Kontrollen sind aufschlussreich. Nur skalieren sie nicht. Niemand kontrolliert abends 150 Arbeitsplätze. Deshalb ist Sensibilisierung wirksamer als Kontrolle: Menschen sperren ihren Rechner von selbst, lassen keine Dokumente offen und kleben kein Passwort an den Monitor, wenn sie verstanden haben, warum.
Ihr Einstieg in drei Schritten
TOMs prüfen oder erstellen. Existieren sie, kontrollieren Sie, ob sie die heutige IT-Landschaft beschreiben. Existieren sie nicht, setzen Sie sich hin und schreiben Sie auf, wie Sie Daten heute tatsächlich schützen. Nicht, wie es idealerweise wäre.
Verzeichnis von Verarbeitungstätigkeiten aufbauen. In Etappen. Prozess für Prozess, Abteilung für Abteilung. Sie erhalten am Ende nicht nur ein Pflichtdokument, sondern eine Landkarte Ihrer Datenströme.
Einen Workshop mit jemandem machen, dem Sie vertrauen. Ein halber oder ganzer Tag Bestandsanalyse, in der Sie die Basics durchgehen und lernen, was Sie danach regelmäßig selbst tun können. Lünings Empfehlung ist ausdrücklich, dafür jemanden aus dem eigenen Umfeld zu nehmen, den man persönlich kennt.
Fazit
Datenschutz im Unternehmen ist keine Frage von Verboten und keine Frage von Perfektion. Er ist die Bereitschaft, einmal ehrlich hinzuschauen: Welche Daten haben wir, wer kommt daran, wie schützen wir sie und können wir das belegen? Die Verantwortung dafür liegt bei der Geschäftsführung und ist nicht delegierbar. Wer die zwei Basisdokumente hat, seine Leute regelmäßig sensibilisiert und die technische Seite mit Zugriffskonzepten und Multifaktor-Authentifizierung absichert, ist nicht fertig, aber handlungsfähig. Und das ist deutlich mehr als der Zustand, in dem sich acht Jahre nach der DSGVO noch viele Unternehmen befinden.
Dieser Beitrag gibt die Einschätzungen aus einem Podcast-Gespräch wieder und stellt keine Rechtsberatung dar. Für die Beurteilung Ihrer konkreten Pflichten holen Sie bitte fachkundigen Rat ein.
Häufige Fragen zu Datenschutz und DSGVO im Unternehmen
Verantwortlich ist das Unternehmen und damit die Geschäftsführung. Aufgaben lassen sich delegieren, etwa an einen internen oder externen Datenschutzbeauftragten, die Verantwortung bleibt jedoch bei der Geschäftsführung. Auch Schreiben der Aufsichtsbehörde gehen dorthin.
Nach § 38 Absatz 1 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Schwelle kann eine Pflicht auch aus Artikel 37 DSGVO folgen. Ob Sie betroffen sind, ist eine Einzelfallfrage und sollte fachkundig geprüft werden.
Personen mit Führungsverantwortung, weil dabei ein Interessenkonflikt entsteht, den Artikel 38 Absatz 6 DSGVO ausschließt. Die Geschäftsführung kann nicht Datenschutzbeauftragte des eigenen Unternehmens sein, ebenso wenig die IT-Leitung oder die Vertriebsleitung.
TOMs sind die technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO. Sie dokumentieren, wie ein Unternehmen personenbezogene Daten tatsächlich schützt, zum Beispiel durch Zugriffskonzepte, Passwortrichtlinien, Zwei-Faktor-Authentifizierung, Verschlüsselung und Regeln für den Arbeitsplatz.
Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO ist eine Dokumentation aller Prozesse, in denen personenbezogene Daten verarbeitet werden, samt Zweck, Rechtsgrundlage, Datenkategorien, Empfängern und Löschfristen. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift in der Praxis selten.
Datenschutz legt fest, welche personenbezogenen Daten geschützt werden müssen und warum. IT-Sicherheit liefert die Mittel dafür. Da personenbezogene Daten heute überwiegend digital verarbeitet werden, greifen beide Bereiche unmittelbar ineinander.
Nach der Praxiserfahrung von Steffen Lüning entstehen die meisten Behördenkontakte nicht durch Angriffe, sondern durch Beschwerden von Personen aus dem Umfeld des Unternehmens, etwa ehemaligen Mitarbeitenden. Die tatsächlichen Pannen passieren dagegen meist versehentlich, klassisch der E-Mail-Verteiler in CC statt in BCC.
Einmal jährlich ist nach Lünings Einschätzung zu wenig, und lange Blöcke sind kontraproduktiv. Wirksamer sind kürzere, etwa halbjährliche Sensibilisierungen, die dokumentiert werden.
Ihre TOMs sind nur so gut wie ihre Umsetzung
Zugriffskonzepte, individuelle Accounts, durchgesetzte Passwortrichtlinien und Multifaktor-Authentifizierung: Genau an dieser Stelle wird aus einem Datenschutzdokument ein belegbarer Zustand. Wir schauen mit Ihnen an, wo Ihre technischen Maßnahmen heute stehen und welche Schritte zuerst zählen.
