Zwei Rollen, ein gemeinsames Ziel
Datenschutz und IT-Sicherheit werden in vielen Unternehmen getrennt gedacht: hier der Datenschutzbeauftragte, der die rechtlichen Anforderungen im Blick hat, dort der IT-Dienstleister, der die Systeme betreibt und absichert. Tatsächlich lassen sich beide Aufgaben nicht sauber trennen – eine technisch unsichere IT-Umgebung macht jedes Datenschutzkonzept auf dem Papier wertlos.
Wo sich beide Rollen zwangsläufig überschneiden
- Technische und organisatorische Maßnahmen (TOM): Verschlüsselung, Zugriffskontrollen und Backup-Konzepte müssen vom Datenschutzbeauftragten bewertet, aber von der IT tatsächlich umgesetzt werden.
- Meldepflichten bei Sicherheitsvorfällen: Ein Ransomware-Angriff ist zugleich ein IT-Sicherheitsvorfall und eine potenziell meldepflichtige Datenschutzverletzung.
- NIS2-Anforderungen: Betroffene Unternehmen müssen sowohl technische Risikomanagementmaßnahmen als auch begleitende organisatorische Prozesse nachweisen.
Was passiert, wenn beide Seiten nicht kommunizieren
Ohne enge Abstimmung entstehen typische Lücken: Der Datenschutzbeauftragte fordert Maßnahmen, die technisch nie konsequent umgesetzt werden. Oder die IT trifft Sicherheitsentscheidungen (etwa neue Cloud-Dienste), ohne die datenschutzrechtliche Bewertung – inklusive notwendigem AV-Vertrag – einzuholen.
Wie eine gute Arbeitsteilung aussieht
- Regelmäßiger Austausch zwischen Datenschutzbeauftragtem und IT-Dienstleister, nicht nur anlassbezogen im Ernstfall.
- Gemeinsame Bewertung neuer Systeme und Tools, bevor sie produktiv eingesetzt werden.
- Klare Zuständigkeit für den Ernstfall: Wer meldet was, an wen, in welcher Reihenfolge?
Wie CMD diese Schnittstelle organisiert
CMD Datenschutz & Compliance übernimmt die datenschutzrechtliche Bewertung und arbeitet dabei eng mit dem jeweiligen IT-Dienstleister zusammen, statt Datenschutz als isolierte Papierübung neben der eigentlichen IT-Sicherheit laufen zu lassen.
Fazit
Datenschutz ohne funktionierende IT-Sicherheit bleibt Theorie, IT-Sicherheit ohne Datenschutzperspektive übersieht rechtliche Pflichten. Erst die enge Zusammenarbeit beider Seiten macht Compliance im Alltag belastbar.