IT-Wartung
und DSGVO

Nicht mit diesen Worten: Die Verordnung erwähnt keine Wartungsverträge. Sie verlangt geeignete technische und organisatorische Maßnahmen zum Schutz der Daten und dass Sie nachweisen können, dass diese fortlaufend angewendet werden – nicht nur an dem Tag, an dem ein Dokument unterschrieben wurde. In der Praxis ist ein Großteil dieser technischen Maßnahmen IT: dass Backups funktionieren und ihre Wiederherstellung geprüft wird, dass Systeme aktuell sind, dass Zugänge kontrolliert und entzogen werden, wenn jemand das Unternehmen verlässt, und dass man einen Vorfall tatsächlich erkennen kann und weiß, was zu tun ist. Nichts davon hält sich mit der Zeit von selbst: Ein heute gut eingerichtetes System verschlechtert sich, wenn es danach niemand prüft. Deshalb ist IT-Wartung keine technische Spielerei, die zur Compliance hinzukommt, sondern der Teil, der sie Monat für Monat am Leben hält, statt sie zu einmal unterschriebenem Papier zu machen.

Ja – und genau diesen Vertrag finden wir erstaunlich oft nicht unterschrieben, selbst in Unternehmen, deren DSGVO-Dokumentation ansonsten in Ordnung ist. Greift Ihr IT-Dienstleister auf Geräte zu, auf denen Daten von Kunden, Patienten oder Mitarbeitern liegen – und für technischen Support tut er das, wenn auch nur punktuell –, verarbeitet er personenbezogene Daten in Ihrem Auftrag. Damit ist er Auftragsverarbeiter, und dieses Verhältnis muss durch einen eigenen Vertrag neben dem Dienstleistungsvertrag geregelt sein: welche Daten er berühren darf, zu welchem Zweck, welche Vertraulichkeit er von seinem Personal verlangt, welche Sicherheitsmaßnahmen er anwendet, ob und unter welchen Bedingungen er Unterauftragnehmer einsetzen darf und was mit den Daten geschieht, wenn die Zusammenarbeit endet. Ein seriöser Dienstleister bietet ihn von sich aus an. Wundert sich Ihrer, wenn Sie danach fragen, sagt Ihnen das schon einiges darüber, wie er seine übrigen Pflichten Ihnen gegenüber handhabt.

Jeder Vorfall, der zur Vernichtung, zum Verlust, zur Veränderung oder zum unbefugten Zugriff auf personenbezogene Daten führt, gilt als Datenpanne: eine Ransomware, die den Server verschlüsselt, ein gestohlener unverschlüsselter Laptop, eine E-Mail mit Kundendaten an den falschen Empfänger, sogar ein Mitarbeiter, der ohne Grund Akten einsieht. Es braucht weder Absicht, noch müssen die Daten das Unternehmen verlassen. Birgt der Vorfall ein echtes Risiko für die Rechte der Betroffenen, muss er unverzüglich der Aufsichtsbehörde gemeldet werden, möglichst innerhalb von 72 Stunden, nachdem er bekannt wurde. Für Improvisation ist das knapp, deshalb sollte man es vorher festlegen: Wer bewertet das Risiko, wer verfasst die Meldung und wer informiert bei Bedarf die Betroffenen. Den Vorfall zu dokumentieren ist ebenfalls Pflicht, auch wenn er am Ende nicht gemeldet wird, weil das Risiko als gering eingeschätzt wird: Fehlt die Dokumentation, ist das bereits ein Mangel.

Sie sind ein Teil – und nicht der, der bei einer Beschwerde oder Prüfung den Unterschied macht. Was fast kein Unternehmen dokumentiert hat, ist das, was den Rest trägt: wer auf welche Systeme zugreifen darf und warum, was genau an dem Tag passiert, an dem jemand das Unternehmen verlässt, wie oft geprüft wird, ob sich die Backups wirklich wiederherstellen lassen und nicht nur, ob der Vorgang gelaufen ist, und was man in den ersten Stunden tun würde, wenn ein Sicherheitsalarm losgeht. DSGVO-Konformität heißt nicht, Virenschutz und Backups installiert zu haben, sondern nachweisen zu können, dass beides funktioniert und dass hinter dem Zugriff auf jedes Datum eine Regel steht. Diese Dokumentation wird als Erstes verlangt, wenn Sie sich je vor der Aufsichtsbehörde verantworten müssen – und sie wird als Erstes vergessen, weil sie im Alltag keine sichtbaren Probleme macht, bis sie es plötzlich tut.

Die Pflichten sind unabhängig von der Größe dieselben; verhältnismäßig ist die Art, sie zu erfüllen, nicht die Frage, ob man sie erfüllt. Ein sehr kleines Unternehmen braucht nicht dieselbe Struktur wie eines mit hundert Mitarbeitern, wohl aber dieselben grundlegenden Garantien: dass die Daten geschützt sind, dass sich das nachweisen lässt und dass es ein Mindestmaß an Kontrolle darüber gibt, wer worauf zugreift. Eine Feinheit wird oft vergessen: Die Größe eines Unternehmens sagt nichts darüber aus, wie sensibel seine Daten sind. Eine Kanzlei mit zwei Personen oder eine kleine Praxis verarbeiten Gesundheits- oder Finanzdaten, die heikler sind als die vieler großer Unternehmen, die nur Bestellungen und Rechnungen verwalten. Wenn Sie unsicher sind, welches Anforderungsniveau für Ihre Tätigkeit genau gilt, ist das eine Frage für einen Datenschutzspezialisten; was von der IT abhängt – Backups, Zugänge, Verschlüsselung –, gilt unabhängig von Ihrer Größe.

Die Reaktionszeit gibt an, wie lange es dauert, bis sich jemand der Meldung annimmt: ans Telefon geht, das Ticket öffnet, bestätigt, dass er sich darum kümmert. Die Lösungszeit gibt an, wie lange es dauert, bis das Problem tatsächlich behoben ist – und das kann viel länger sein, wenn ein Ersatzteil bestellt, ein großes Backup wiederhergestellt oder etwas mit einem Dritten abgestimmt werden muss. Fast alle Wartungsverträge sagen die erste schriftlich und mit klaren Zahlen zu und belassen es bei der zweiten bei einem allgemeinen „so schnell wie möglich“, das zu nichts Konkretem verpflichtet. Der Unterschied ist wichtig, weil Sie genau ihn zu spüren bekommen: Eine Antwort nach fünfzehn Minuten nützt wenig, wenn das System sechs Stunden nach dem Anruf immer noch steht. Fragen Sie vor der Unterschrift ausdrücklich, welche der beiden zugesagt wird, mit welcher Zahl und was passiert, wenn sie nicht eingehalten wird. Ist nur von Reaktion die Rede, bekommen Sie wahrscheinlich weniger, als es auf den ersten Blick scheint.

Für ein sehr kleines Unternehmen mit wenig Infrastruktur und geringem Risiko kann das sinnvoll sein, vor allem am Anfang. Das Problem zeigt sich mit der Zeit: Einzelne Stunden bucht man, wenn schon etwas kaputt ist, also werden sie immer fürs Löschen des aktuellen Brandes verbraucht und nie für die Vorsorge – also genau das, was verhindert, dass es überhaupt brennt. Backups prüfen, Updates kontrollieren, Zugänge durchsehen oder die DSGVO-Dokumentation aktuell halten löst keinen dringenden Anruf aus, und im Stundenmodell bleibt es deshalb mangels Anlass meist liegen. Wenn Sie sich trotzdem für Stunden entscheiden, sollten Sie ausdrücklich ein festes Jahreskontingent für vorbeugende Prüfungen einplanen, statt darauf zu warten, dass Budget übrig bleibt. Sobald das Unternehmen wächst oder sensiblere Daten verarbeitet, ist eine Pauschale mit dieser Vorsorge meist günstiger als die Stunden, die man durch zu spätes Reagieren vermeintlich spart.

Das muss schriftlich im Vertrag geregelt sein, nicht an dem Tag improvisiert werden, an dem Sie wechseln wollen. Mindestens drei Dinge gehören hinein: die Rückgabe oder Löschung der Daten, auf die der bisherige Dienstleister Zugriff hatte; die Übergabe von Zugangsdaten, Passwörtern und technischer Dokumentation des Systems; und die Bestätigung, wer tatsächlicher Inhaber der Domains, Lizenzen und Cloud-Konten ist. Der letzte Punkt kommt häufiger vor, als man denkt: Nicht selten sind Domains oder E-Mail-Lizenzen auf den Dienstleister registriert und nicht auf das Unternehmen, und aus einem einfachen Wechsel wird eine lange Blockade. In diesem Moment kommen außerdem schlecht gemachte oder gar nicht vorhandene Verträge ans Licht: Wurde nie etwas unterschrieben, gibt es nichts, worauf man sich bei der Rückforderung berufen kann. Deshalb sollten Sie diese Klausel prüfen, bevor Sie sie brauchen, nicht erst, wenn es eilt.