Warum Datenschutzbeauftragter und IT-Dienstleister eng zusammenarbeiten sollten

Zwei Rollen, ein gemeinsames Ziel

Datenschutz und IT-Sicherheit werden in vielen Unternehmen getrennt gedacht: hier der Datenschutzbeauftragte, der die rechtlichen Anforderungen im Blick hat, dort der IT-Dienstleister, der die Systeme betreibt und absichert. Tatsächlich lassen sich beide Aufgaben nicht sauber trennen – eine technisch unsichere IT-Umgebung macht jedes Datenschutzkonzept auf dem Papier wertlos.

Wo sich beide Rollen zwangsläufig überschneiden

• Technische und organisatorische Maßnahmen (TOM): Verschlüsselung, Zugriffskontrollen und Backup-Konzepte müssen vom Datenschutzbeauftragten bewertet, aber von der IT tatsächlich umgesetzt werden.
• Meldepflichten bei Sicherheitsvorfällen: Ein Ransomware-Angriff ist zugleich ein IT-Sicherheitsvorfall und eine potenziell meldepflichtige Datenschutzverletzung.
• NIS2-Anforderungen: Betroffene Unternehmen müssen sowohl technische Risikomanagementmaßnahmen als auch begleitende organisatorische Prozesse nachweisen.

Was passiert, wenn beide Seiten nicht kommunizieren

Ohne enge Abstimmung entstehen typische Lücken: Der Datenschutzbeauftragte fordert Maßnahmen, die technisch nie konsequent umgesetzt werden. Oder die IT trifft Sicherheitsentscheidungen (etwa neue Cloud-Dienste), ohne die datenschutzrechtliche Bewertung – inklusive notwendigem AV-Vertrag – einzuholen.

Wie eine gute Arbeitsteilung aussieht

• Regelmäßiger Austausch zwischen Datenschutzbeauftragtem und IT-Dienstleister, nicht nur anlassbezogen im Ernstfall.
• Gemeinsame Bewertung neuer Systeme und Tools, bevor sie produktiv eingesetzt werden.
• Klare Zuständigkeit für den Ernstfall: Wer meldet was, an wen, in welcher Reihenfolge?

Wie CMD diese Schnittstelle organisiert

CMD Datenschutz & Compliance übernimmt die datenschutzrechtliche Bewertung und arbeitet dabei eng mit dem jeweiligen IT-Dienstleister zusammen, statt Datenschutz als isolierte Papierübung neben der eigentlichen IT-Sicherheit laufen zu lassen.

Fazit

Datenschutz ohne funktionierende IT-Sicherheit bleibt Theorie, IT-Sicherheit ohne Datenschutzperspektive übersieht rechtliche Pflichten. Erst die enge Zusammenarbeit beider Seiten macht Compliance im Alltag belastbar.

Passend zum Thema