Ein Softwareunternehmen mit 80 Mitarbeitern integriert einen neuen US-amerikanischen Cloud-Dienstleister in seine Produktionsinfrastruktur – ohne schriftlichen Auftragsverarbeitungsvertrag, ohne Prüfung der Drittlandübermittlung, ohne Meldung an den Datenschutzbeauftragten. Wenige Monate später erhält die Geschäftsführung eine Anhörung der Aufsichtsbehörde. Das Szenario ist kein Einzelfall.
DSGVO-Compliance für Unternehmen der Software- und IT-Branche umfasst die systematische Einhaltung der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) entlang der gesamten Datenverarbeitungskette – von der Softwareentwicklung über SaaS-Produkte bis zur Kundenintegration. Verstöße können Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen; die persönliche Haftung der Geschäftsführung ist zusätzlich zu berücksichtigen. Wer jetzt die strukturellen Risiken kennt und systematisch adressiert, schützt nicht nur das Unternehmen, sondern auch die eigene Organstellung.
Dieser Branchenreport analysiert die datenschutzrechtlichen Kernpflichten für IT- und Softwareunternehmen, zeigt branchentypische Risikoschwerpunkte und gibt konkrete Handlungsempfehlungen für Geschäftsführer im Mittelstand.
Rechtsrahmen: Was DSGVO und BDSG für die IT-Branche bedeuten
Die DSGVO gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten und erfasst jede Verarbeitung personenbezogener Daten durch Unternehmen, die im EU-Binnenmarkt tätig sind oder EU-Bürger adressieren. Für die Software- und IT-Branche hat dieser Rechtsrahmen besondere Sprengkraft: Kein anderer Sektor verarbeitet in so kurzer Zeit so viele Datenkategorien in so vielen rechtlichen Rollen gleichzeitig.
IT-Unternehmen agieren regelmäßig in einer Doppelrolle. Als Verantwortlicher im Sinne von Artikel 4 Nr. 7 DSGVO verarbeiten sie Daten eigener Kunden, Mitarbeiter und Interessenten. Als Auftragsverarbeiter nach Artikel 28 DSGVO verarbeiten sie Daten im Auftrag ihrer Unternehmenskunden – etwa beim Betrieb von SaaS-Plattformen, Hosting-Diensten oder Managed-Services-Lösungen. Beide Rollen lösen jeweils eigene Pflichtenkataloge aus, die sich nicht substituieren, sondern ergänzen.
Das BDSG konkretisiert und ergänzt die DSGVO auf nationaler Ebene. Relevant für die IT-Praxis sind insbesondere die Regelungen zur Bestellung eines Datenschutzbeauftragten (§ 38 BDSG), zur Videoüberwachung (§ 4 BDSG) sowie zu besonderen Kategorien personenbezogener Daten (§ 22 BDSG). In der Mandatspraxis sehen wir häufig, dass Unternehmen die DSGVO-Pflichten kennen, die BDSG-Ergänzungen aber vernachlässigen – ein Versäumnis, das Aufsichtsbehörden zunehmend aufgreifen.
Die territoriale Reichweite der DSGVO ist weit. Selbst ein deutsches Softwareunternehmen, das eine App lediglich in englischer Sprache anbietet und damit erkennbar auch EU-Bürger außerhalb Deutschlands anspricht, unterliegt vollumfänglich dem europäischen Datenschutzrecht. Wer zudem Software für nordamerikanische oder asiatische Märkte entwickelt und dabei Daten europäischer Nutzer verarbeitet, muss die DSGVO-Anforderungen auch für diese Verarbeitungsaktivitäten sicherstellen.
Welche Pflichten treffen IT-Unternehmen besonders hart?
Die DSGVO etabliert einen umfangreichen Pflichtenkatalog, dessen Schwerpunkte für die Software- und IT-Branche aufgrund der Verarbeitungsintensität und der typischen Geschäftsmodelle besonders scharf ausgeprägt sind. Vier Pflichtenfelder stechen in der Praxis regelmäßig hervor.
Erstens: Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Jeder Verantwortliche und Auftragsverarbeiter muss ein schriftliches oder elektronisches Verzeichnis aller Verarbeitungstätigkeiten führen. In der IT-Branche umfasst dieses Verzeichnis erfahrungsgemäß mehrere Dutzend Einträge – von der Kundendatenverwaltung über das Produkttelemetrie-Tracking bis zur Mitarbeiterzeitverwaltung. Die Aufsichtsbehörden fordern dieses Verzeichnis im Rahmen von Überprüfungen regelmäßig als erstes Dokument an. Ein fehlendes oder veraltetes Verzeichnis ist Indiz für mangelnde Compliance-Tiefe und kann die behördliche Bewertung erheblich beeinflussen.
Zweitens: Technische und organisatorische Maßnahmen (TOM) nach Artikel 32 DSGVO. Das Schutzniveau muss dem Stand der Technik entsprechen und regelmäßig überprüft werden. Für Softwareunternehmen bedeutet das konkret: Verschlüsselung von Daten in Ruhe und während der Übertragung, Zugriffskontrollen nach dem Prinzip der minimalen Rechte, Pseudonymisierung wo möglich, sowie dokumentierte Patch-Management- und Penetrationstestprozesse. Die Frage, ob eine Maßnahme dem „Stand der Technik" entspricht, ist keine statische, sondern eine dynamische Anforderung – was 2021 ausreichend war, kann 2026 bereits veraltet sein.
Drittens: Bestellung eines Datenschutzbeauftragten nach § 38 BDSG in Verbindung mit Artikel 37 DSGVO. Die Pflicht zur Bestellung besteht für Unternehmen, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. In der Software- und IT-Branche ist diese Schwelle strukturbedingt fast immer erreicht. Der Datenschutzbeauftragte muss fachlich geeignet sein und darf bei der Erfüllung seiner Aufgaben nicht benachteiligt werden. Die Benennung einer ungeeigneten Person als Alibi-DSB ist eine eigenständige Pflichtverletzung.
Viertens: Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 DSGVO. Eine DSFA ist zwingend durchzuführen, wenn eine Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für Betroffene begründet. Für IT-Unternehmen betrifft das insbesondere das systematische Tracking von Nutzerverhalten, die Verarbeitung besonderer Datenkategorien (Gesundheitsdaten, biometrische Daten) und den Einsatz automatisierter Entscheidungsfindung. Eine fehlende DSFA ist in der Prüfpraxis der Behörden ein eigenständiger Bußgeldtatbestand.
Drittlandübermittlungen: Das größte operative Risiko für SaaS-Unternehmen
Kein anderes Thema beschäftigt die Datenschutzbehörden in der IT-Branche so intensiv wie die Übermittlung personenbezogener Daten in Drittländer außerhalb der EU und des EWR. Wer als SaaS-Anbieter AWS, Google Cloud oder Microsoft Azure nutzt, überträgt in der Regel Daten in die USA – und muss dafür eine Rechtsgrundlage schaffen, die den Anforderungen des Kapitel V der DSGVO (Artikel 44 ff.) genügt.
Seit dem EuGH-Urteil „Schrems II" vom Juli 2020 ist der Privacy Shield als Übermittlungsgrundlage unwirksam. Als Ersatz stehen primär zwei Instrumente zur Verfügung: der EU-US Data Privacy Framework (DPF), der seit Juli 2023 gilt und eine Selbstzertifizierung US-amerikanischer Anbieter ermöglicht, sowie die Standardvertragsklauseln (SCC) der Europäischen Kommission in der Fassung von 2021. Auch beim DPF ist eine individuelle Prüfung erforderlich, ob der konkrete US-Anbieter zertifiziert ist und die Zertifizierung aktuell aufrechterhalten wird.
In der Mandatspraxis berät die Kanzlei regelmäßig Unternehmen, die nach einer behördlichen Prüfung feststellen, dass sie seit Jahren Kundendaten in die USA übermitteln, ohne eine wirksame Rechtsgrundlage dokumentiert zu haben. Das Problem ist nicht die Übermittlung als solche – sie ist bei Vorliegen der richtigen Rechtsgrundlage zulässig –, sondern die fehlende Dokumentation und die fehlende Transfer Impact Assessment (TIA), die das ergänzende Schutzniveau bewertet. Behörden werten das als strukturelles Versagen, nicht als Einzelfehler.
Besonders kritisch ist die Situation bei Sub-Auftragsverarbeitern. Wer als SaaS-Anbieter selbst Auftragsverarbeiter seines Kunden ist und dabei US-amerikanische Infrastruktur nutzt, gibt diese Verarbeitung an einen Sub-Auftragsverarbeiter weiter. Artikel 28 Abs. 2 und 4 DSGVO verpflichten dazu, hierfür die ausdrückliche Genehmigung des Verantwortlichen (also des eigenen Kunden) einzuholen und sicherzustellen, dass auch der Sub-Auftragsverarbeiter den DSGVO-Anforderungen genügt. Diese Kette bricht in der Praxis häufig an genau diesem Punkt.
Auftragsverarbeitungsvertrag: Pflicht, Gestaltung und typische Fehler
Der Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO ist das zentrale Vertragsinstrument zwischen Auftragsverarbeiter und Verantwortlichem. Er ist keine freiwillige Ergänzung, sondern gesetzlich vorgeschrieben und kann von Aufsichtsbehörden jederzeit angefordert werden. Für IT-Unternehmen, die Daten im Auftrag verarbeiten, bedeutet das: Ohne wirksamen AVV ist jede Datenverarbeitung im Kundenauftrag datenschutzrechtlich unzulässig.
Ein rechtskonformer AVV muss nach Artikel 28 Abs. 3 DSGVO mindestens die folgenden Elemente enthalten: Gegenstand, Dauer, Art und Zweck der Verarbeitung; Art der personenbezogenen Daten und Kategorien von betroffenen Personen; Rechte und Pflichten des Verantwortlichen; Verpflichtungen des Auftragsverarbeiters, einschließlich der Vertraulichkeitszusagen aller autorisierten Mitarbeiter; technische und organisatorische Maßnahmen; Regelungen zu Sub-Auftragsverarbeitern; Unterstützungspflichten bei Betroffenenanfragen und Datenschutz-Folgenabschätzungen; Löschungs- und Rückgabepflichten nach Vertragsende.
In der Beratungspraxis sehen wir drei Fehlertypen, die sich wiederholen: Erstens der fehlende AVV trotz eindeutiger Auftragsverarbeitung – häufig weil das Unternehmen die eigene Rolle als Auftragsverarbeiter nicht erkannt hat. Zweitens der inhaltlich unvollständige AVV, der Standardklauseln verwendet, aber die technischen und organisatorischen Maßnahmen nicht konkret beschreibt. Drittens der veralte AVV, der noch auf Basis der alten EU-Standardvertragsklauseln aus 2010 erstellt wurde und die Anforderungen der DSGVO sowie der neuen SCC-Fassung von 2021 nicht erfüllt. Alle drei Varianten begründen eigenständige Pflichtverletzungen.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter AVV erfordert die Prüfung der tatsächlich eingesetzten Dienstleister, der Sub-Auftragsverarbeiter-Kette und der vertraglich vereinbarten TOM. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Datenpannen und Meldepflichten: Was gilt, wenn etwas schiefgeht?
Eine Datenpanne – im Sinne der DSGVO eine Verletzung des Schutzes personenbezogener Daten – löst eine Meldepflicht binnen 72 Stunden gegenüber der zuständigen Aufsichtsbehörde aus (Artikel 33 DSGVO). Diese Frist beginnt mit dem Zeitpunkt, zu dem das Unternehmen von der Verletzung Kenntnis erlangt. Sie ist kurz, sie ist absolut, und sie ist in der Software- und IT-Branche besonders relevant, weil dort Sicherheitsvorfälle strukturell häufiger auftreten als in anderen Sektoren.
Die Meldung an die Aufsichtsbehörde nach Artikel 33 DSGVO ist dabei von der Benachrichtigung betroffener Personen nach Artikel 34 DSGVO zu unterscheiden. Die Betroffenenbenachrichtigung ist erforderlich, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen begründet. Ob dieses hohe Risiko vorliegt, ist eine Bewertungsfrage, die unmittelbar nach Bekanntwerden des Vorfalls – und nicht erst nach vollständiger Aufklärung – vorläufig beantwortet werden muss.
Für Auftragsverarbeiter gilt: Sie haben die Pflicht, den Verantwortlichen nach Artikel 33 Abs. 2 DSGVO unverzüglich zu informieren, sobald ihnen eine Datenschutzverletzung bekannt wird. Die 72-Stunden-Frist läuft beim Verantwortlichen; der Auftragsverarbeiter muss dem Verantwortlichen ausreichend Vorlaufzeit verschaffen, um die Frist einzuhalten. In der Praxis bedeutet das: Der interne Prozess muss so gestaltet sein, dass vom ersten Hinweis auf einen Sicherheitsvorfall bis zur behördlichen Meldung alle Schritte in deutlich unter 72 Stunden abgearbeitet werden können.
Welche Informationen muss die Meldung enthalten? Artikel 33 Abs. 3 DSGVO nennt die Mindestinhalte: Beschreibung der Verletzung und der betroffenen Datenkategorien; Kontaktdaten des Datenschutzbeauftragten; Beschreibung der wahrscheinlichen Folgen; Beschreibung der ergriffenen oder geplanten Abhilfemaßnahmen. Eine unvollständige Erstmeldung ist besser als keine Meldung – das Gesetz lässt ausdrücklich zu, Informationen nachzureichen, wenn sie im Meldezeitpunkt noch nicht vorliegen.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen mit rund 120 Mitarbeitern aus der SaaS-Branche. Ausgangslage: Nach einem erfolgreichen Phishing-Angriff auf einen Entwickler-Account erlangte ein unbekannter Dritter Zugang zu einer Entwicklungsumgebung, die Testkopien von Kundendaten enthielt. Vorgehen: Die Kanzlei unterstützte die Geschäftsführung bei der Bewertung des Schutzbedarfs, der fristgerechten Erstmeldung an die zuständige Aufsichtsbehörde innerhalb von 48 Stunden sowie bei der Kommunikation gegenüber den betroffenen Unternehmenskunden als Verantwortliche. Ergebnis: Das Verfahren wurde nach vollständiger Aufklärung und Nachweis der ergriffenen TOM-Verbesserungen ohne förmliche Bußgeldentscheidung abgeschlossen. Eine Erfolgsgarantie lässt sich für vergleichbare Verfahren nicht aussprechen; der Verlauf hängt maßgeblich von den Umständen des Einzelfalls ab.
Bußgelder und Aufsicht: Wie agieren deutsche Datenschutzbehörden in der IT-Branche?
Die deutschen Datenschutzaufsichtsbehörden – in Bayern der Landesbeauftragte für den Datenschutz (LfD Bayern), auf Bundesebene die BfDI für bestimmte Bereiche, sowie die Landesdatenschutzbehörden der übrigen Bundesländer – haben ihre Prüfaktivitäten in der Software- und IT-Branche in den vergangenen Jahren erheblich intensiviert. Schwerpunktprüfungen zu Cookie-Consent-Mechanismen, Drittlandübermittlungen und Auftragsverarbeitungsverträgen haben branchenweit zu Nachbesserungsforderungen geführt.
Das DSGVO-Bußgeldsystem sieht nach Artikel 83 DSGVO zwei Bußgeldstufen vor: Für weniger schwere Verstöße – etwa fehlende Datenschutzerklärungen oder unvollständige Verarbeitungsverzeichnisse – drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist. Für schwere Verstöße – etwa Verstöße gegen die Grundsätze der Verarbeitung nach Artikel 5 oder 6 DSGVO, gegen die Rechte der Betroffenen oder gegen die Übermittlungsregelungen – steigt der Rahmen auf bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Diese Größenordnungen treffen auch mittelständische IT-Unternehmen empfindlich.
Neben dem Bußgeld können Aufsichtsbehörden nach Artikel 58 DSGVO auch Verarbeitungsverbote aussprechen, Zertifizierungen widerrufen und Anordnungen zur Änderung von Verarbeitungsprozessen erteilen. Ein behördlich angeordnetes Verarbeitungsverbot für ein Kernsystem kann für ein SaaS-Unternehmen existenzgefährdend sein – unabhängig von der Bußgeldhöhe.
Wie unterscheiden sich die Behörden in ihrer Prüfpraxis? Nach unserer Erfahrung sind die norddeutschen Behörden (Hamburg, Bremen) besonders aktiv bei der Verfolgung von Tracking-Sachverhalten und Drittlandübermittlungen, während die bayerische Aufsicht einen starken Fokus auf Unternehmen mit verarbeitungsintensiven Geschäftsmodellen legt. Diese regionalen Unterschiede sind relevant, weil sich die örtliche Zuständigkeit nach dem Unternehmenssitz richtet, nicht nach dem Ort der Datenverarbeitung.
Haftung der Geschäftsführung: Wann haftet der GmbH-Geschäftsführer persönlich?
Die DSGVO adressiert primär das Unternehmen als Verantwortlichen – Bußgelder werden gegen die juristische Person verhängt. Doch für Geschäftsführer im Mittelstand ergibt sich eine eigenständige, persönliche Haftungsebene aus dem GmbH-Recht: Nach § 43 GmbHG haften Geschäftsführer der Gesellschaft gegenüber für Schäden, die durch die Verletzung ihrer Sorgfaltspflichten entstehen. Datenschutzrechtliche Compliance ist dabei nach der gesicherten Rechtsprechung Teil der ordnungsgemäßen Geschäftsführung.
Praktisch bedeutet das: Wenn ein GmbH-Geschäftsführer es unterlässt, ein angemessenes Datenschutzmanagementsystem einzurichten, und dem Unternehmen dadurch ein Bußgeld oder ein zivilrechtlicher Schadensersatzanspruch Betroffener entsteht, kann er von der Gesellschaft in Regress genommen werden. Diese Innenhaftung trifft auch Fremdgeschäftsführer, die keine Gesellschafter sind. Erschwerend kommt hinzu, dass die D&O-Versicherung Schäden aus wissentlichen Pflichtverletzungen typischerweise ausschließt.
Eine weitere Haftungsebene entsteht durch zivilrechtliche Schadensersatzansprüche Betroffener nach Artikel 82 DSGVO. Materielle und immaterielle Schäden sind ersatzfähig; die europäischen Gerichte legen den Schadensbegriff zunehmend weit aus. Sammelklagen über qualifizierte Einrichtungen nach dem Unterlassungsklagengesetz (UKlaG) haben in Deutschland erheblich an Bedeutung gewonnen und können auch mittelständische IT-Unternehmen vor erhebliche Abwehrherausforderungen stellen.
Was sollte die Geschäftsführung konkret tun? Mindestens vier Maßnahmen sind nach unserer Einschätzung unverzichtbar: Erstens die Bestellung eines fachlich geeigneten Datenschutzbeauftragten (intern oder extern). Zweitens die Einrichtung und regelmäßige Aktualisierung des Verarbeitungsverzeichnisses. Drittens die vertragliche Absicherung aller Drittbeziehungen durch wirksame AVV. Viertens die Etablierung eines Incident-Response-Prozesses, der die 72-Stunden-Meldefrist beherrschbar macht. Diese Maßnahmen begründen keine Immunität – wohl aber eine vertretbare Compliance-Position gegenüber Behörden und Gerichten.
Branchentypische Risikoschwerpunkte für Software- und IT-Unternehmen
Aus der Kombination von Verarbeitungsintensität, internationalem Geschäftsmodell und technischer Innovationsgeschwindigkeit ergeben sich für die Software- und IT-Branche spezifische Risikoprofile, die sich von anderen Sektoren deutlich unterscheiden.
Softwareentwicklung und „Privacy by Design": Artikel 25 DSGVO verlangt, dass Datenschutzaspekte bereits bei der Konzeption neuer Produkte und Funktionen berücksichtigt werden (Privacy by Design) und dass standardmäßig die datenschutzfreundlichsten Einstellungen gelten (Privacy by Default). Für agile Entwicklungsteams, die Features in kurzen Sprints ausliefern, bedeutet das: Datenschutzüberlegungen müssen Teil des Entwicklungsprozesses sein, nicht ein nachgelagerter Review-Schritt. In der Praxis fehlt genau diese strukturelle Integration häufig.
Tracking und Analytics: Web-Analytics, In-App-Tracking und Produkttelemetrie sind in der IT-Branche allgegenwärtig. Die Anforderungen an die Einwilligungspflicht nach dem Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG) und die Cookie-Anforderungen der DSGVO haben sich in den letzten Jahren durch Aufsichtsentscheidungen erheblich verschärft. Consent-Management-Plattformen (CMP) müssen so konfiguriert sein, dass eine echte, freiwillige, spezifische und informierte Einwilligung eingeholt wird – Dunkel-Muster (Dark Patterns), die den Nutzer in eine Einwilligung drängen, sind nach gefestigter Aufsichtspraxis unzulässig.
Künstliche Intelligenz und automatisierte Entscheidungsfindung: Der Einsatz von KI-Systemen in der Softwareentwicklung und in KI-basierten Produkten berührt Artikel 22 DSGVO, der besondere Anforderungen an vollautomatisierte Entscheidungen mit erheblicher rechtlicher oder ähnlicher Wirkung stellt. Parallel tritt der EU AI Act in Kraft, der für Hochrisiko-KI-Systeme eigenständige Pflichtenkataloge etabliert. Für IT-Unternehmen, die KI-Produkte entwickeln oder einsetzen, entsteht ein komplexes Überschneidungsfeld zwischen DSGVO und AI Act, das eine integrierte Betrachtung erfordert.
Open-Source-Komponenten und Lieferkette: Moderne Softwareprodukte basieren zu erheblichen Teilen auf Open-Source-Bibliotheken und Drittkomponenten. Jede dieser Komponenten kann Datenverarbeitungen auslösen – etwa durch Telemetrie-Funktionen oder externe API-Aufrufe. Die Verantwortung für diese Verarbeitungen verbleibt beim Unternehmen, das die Komponente einsetzt. Eine systematische Software-Composition-Analyse (SCA) mit datenschutzrechtlicher Bewertung ist daher nicht nur sicherheitstechnische, sondern auch datenschutzrechtliche Pflicht.
DSGVO-Audit und Compliance-Fahrplan: Praktische Handlungsschritte
Ein strukturierter DSGVO-Compliance-Fahrplan für IT-Unternehmen folgt einer klaren Sequenz: Bestandsaufnahme vor Bewertung, Bewertung vor Maßnahme, Maßnahme vor Dokumentation. Diese Reihenfolge ist nicht akademisch, sondern behördlich relevant: Aufsichtsbehörden bewerten nicht nur den Zustand, sondern auch den Prozess. Wer zeigt, dass er systematisch vorgeht und Mängel erkannt und adressiert hat, steht deutlich besser als wer dasselbe Defizit seit Jahren unbewegt belässt.
Schritt eins ist die Datenflussanalyse: Welche personenbezogenen Daten werden wo, wie und zu welchem Zweck verarbeitet? Für IT-Unternehmen umfasst diese Analyse typischerweise Produktionssysteme, Entwicklungs- und Testumgebungen, Support-Systeme, Marketing-Tools, HR-Systeme und Infrastrukturkomponenten. Das Ergebnis der Datenflussanalyse ist die Grundlage für das Verarbeitungsverzeichnis.
Schritt zwei ist die Rechtsgrundlagen-Prüfung: Für jede Verarbeitungstätigkeit muss eine Rechtsgrundlage nach Artikel 6 DSGVO (und ggf. Artikel 9 für besondere Datenkategorien) bestehen. In der IT-Branche sind die häufigsten Rechtsgrundlagen die Vertragserfüllung (Art. 6 Abs. 1 lit. b), das berechtigte Interesse (Art. 6 Abs. 1 lit. f) und die Einwilligung (Art. 6 Abs. 1 lit. a). Die Auswahl der Rechtsgrundlage muss vor Beginn der Verarbeitung feststehen und darf nachträglich nicht ohne Weiteres ausgetauscht werden.
Schritt drei ist die Vertragsprüfung: Alle Dienstleister, die in irgendeiner Form personenbezogene Daten des Unternehmens verarbeiten, sind auf ihre Rolle (Auftragsverarbeiter oder eigenständig Verantwortlicher) zu prüfen und entsprechend vertraglich einzubinden. Die AVV-Datenbank muss aktuell und vollständig sein.
Schritt vier ist die TOM-Bewertung: Die technischen und organisatorischen Maßnahmen sind anhand eines Schutzbedarfskonzepts zu dokumentieren und auf ihre Aktualität zu prüfen. Der Maßstab „Stand der Technik" nach Artikel 32 DSGVO ist dynamisch; eine Bewertung aus 2020 genügt im Jahr 2026 typischerweise nicht mehr.
Schritt fünf ist die Schulung und Sensibilisierung: Der menschliche Faktor ist nach wie vor die häufigste Ursache von Datenpannen. Regelmäßige Schulungen aller Mitarbeiter, die personenbezogene Daten verarbeiten, sind nach Artikel 39 DSGVO Teil der Aufgaben des Datenschutzbeauftragten und gleichzeitig eine eigenständige Pflicht des Unternehmens. In der IT-Branche, wo Entwickler regelmäßig Zugang zu Produktionsdaten haben, ist dieser Punkt besonders relevant.
Die vorstehende Darstellung gibt einen strukturierten Überblick über die Regelkonstellation. Ihre konkrete Compliance-Lage erfordert die Prüfung Ihrer Verträge, Ihrer Verarbeitungstätigkeiten und Ihrer technischen Infrastruktur. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance in der IT-Branche
Ab wann ist in einem IT-Unternehmen ein Datenschutzbeauftragter Pflicht?
Nach § 38 BDSG in Verbindung mit Artikel 37 DSGVO muss ein Datenschutzbeauftragter bestellt werden, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Da in der Software- und IT-Branche nahezu alle Mitarbeiter mit Computern und damit mit automatisierten Verarbeitungen arbeiten, ist diese Schwelle in der Praxis regelmäßig bereits bei kleineren Unternehmen erreicht. Der DSB kann intern oder extern bestellt werden; entscheidend ist die fachliche Eignung.
Welche Rechtsgrundlage gilt für Produkttelemetrie und In-App-Analytics?
Produkttelemetrie und In-App-Analytics verarbeiten personenbezogene Daten, sofern Nutzer oder Geräte identifizierbar sind. Als Rechtsgrundlage kommt primär die Einwilligung nach Artikel 6 Abs. 1 lit. a DSGVO in Betracht, wenn die Daten für Zwecke erhoben werden, die nicht zur Vertragserfüllung erforderlich sind. Das berechtigte Interesse (Art. 6 Abs. 1 lit. f) ist in Verbraucherkontexten schwerer zu begründen; im B2B-Bereich ist eine Interessenabwägung im Einzelfall erforderlich. Eine pauschale Antwort lässt sich ohne Kenntnis des konkreten Verarbeitungsumfangs nicht geben.
Muss auch eine Testumgebung mit echten Kundendaten DSGVO-konform gestaltet sein?
Ja. Die DSGVO unterscheidet nicht zwischen Produktions- und Testumgebungen. Jede Verarbeitung personenbezogener Daten – auch zu Testzwecken – muss eine Rechtsgrundlage haben, technisch abgesichert sein und im Verarbeitungsverzeichnis erfasst sein. In der Praxis empfiehlt sich die Anonymisierung oder Pseudonymisierung von Testdaten, um den Datenschutzaufwand für Testumgebungen zu reduzieren und das Risiko einer ungewollten Datenpanne zu minimieren.
Was passiert, wenn die 72-Stunden-Frist bei einer Datenpanne nicht eingehalten wird?
Eine verspätete Meldung nach Artikel 33 DSGVO ist ein eigenständiger Bußgeldtatbestand. Die Aufsichtsbehörden bewerten dabei sowohl das Ausmaß der Verzögerung als auch die Gründe. Wer zwar zu spät, aber substantiell und kooperativ meldet, wird in der behördlichen Praxis in der Regel milder bewertet als wer eine Meldung ganz unterlässt. Entscheidend ist daher der Aufbau eines funktionsfähigen Incident-Response-Prozesses, der die Frist strukturell beherrschbar macht.
Wie wirkt sich der EU AI Act auf die DSGVO-Compliance aus?
Der EU AI Act und die DSGVO überlappen sich bei KI-basierten Produkten erheblich. Hochrisiko-KI-Systeme unterliegen nach dem AI Act eigenständigen Pflichten zu Transparenz, Dokumentation und menschlicher Aufsicht, die parallel zu den DSGVO-Anforderungen an automatisierte Entscheidungsfindung nach Artikel 22 gelten. Unternehmen, die KI-Produkte entwickeln oder einsetzen, sollten beide Regelwerke integriert betrachten – eine isolierte Prüfung führt regelmäßig zu Lücken.
Gilt die DSGVO auch für B2B-Software, die ausschließlich Unternehmensdaten verarbeitet?
Die DSGVO schützt natürliche Personen, nicht juristische Personen. Reine Unternehmensdaten ohne Personenbezug fallen nicht unter die DSGVO. In der Praxis enthalten jedoch die meisten B2B-Systeme zumindest Kontaktdaten von Ansprechpartnern, Nutzeranmeldeinformationen oder Log-Dateien mit IP-Adressen – und damit personenbezogene Daten im Sinne von Artikel 4 Nr. 1 DSGVO. Eine vollständige Freistellung von der DSGVO ist für B2B-Software daher in der Regel nicht möglich.
Wie lange müssen Datenschutzunterlagen aufbewahrt werden?
Die DSGVO enthält keine einheitliche Aufbewahrungspflicht für Compliance-Dokumente. Verarbeitungsverzeichnisse und AVV müssen jedoch so lange vorgehalten werden, wie die Verarbeitung stattfindet; nach Beendigung empfiehlt sich eine Aufbewahrung über den Zeitraum möglicher behördlicher Prüfungen und zivilrechtlicher Verjährungsfristen hinaus. Handelsrechtliche und steuerrechtliche Aufbewahrungsfristen können für bestimmte Dokumente kürzer oder länger sein und sind gesondert zu prüfen.
Was ist der Unterschied zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit?
Bei der Auftragsverarbeitung nach Artikel 28 DSGVO verarbeitet der Auftragsverarbeiter ausschließlich nach Weisung des Verantwortlichen und ohne eigene Zweckbestimmung. Bei der gemeinsamen Verantwortlichkeit nach Artikel 26 DSGVO legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung fest. Die Abgrenzung ist in der Praxis nicht immer eindeutig – insbesondere bei Cloud-Diensten mit eigenen Nutzungsbedingungen oder bei Plattformlösungen, bei denen der Anbieter Daten auch zu eigenen Zwecken auswertet. Die falsche Einordnung führt zu strukturell falschen Vertragsgrundlagen.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.