Datenschutz

Warum brauchen KMU ein DSGVO-konformes Löschkonzept?

Gemäß Artikel 17 DSGVO sind Unternehmen dazu verpflichtet, personenbezogene Daten zu löschen, sobald diese nicht mehr benötigt werden, beispielsweise wenn Fristen abgelaufen sind oder Betroffene ihr Recht auf Löschung geltend machen. Ein DSGVO konformes Löschkonzept hilft dir dabei, alle Löschvorgänge strukturiert, lückenlos und überprüfbar zu gestalten. So vermeidest du Bußgelder und schaffst Rechtssicherheit.

In sieben Schritten zum DSGVO-konformen Löschkonzept

1. Zuständigkeiten festlegen

Definiere, wer das Löschkonzept erstellt, umsetzt und kontrolliert. Benenne Verantwortliche und lege nachvollziehbare Stellvertretungen fest, damit Anfragen und Löschungen fristgerecht bearbeitet werden.​

2. Datenarten erfassen und systematisch auflisten

Führe eine Bestandsaufnahme durch:​

• Welche personenbezogenen Daten werden im Unternehmen verarbeitet?
• Wo – also in welchen Systemen, Cloud-Diensten, Listen oder Archiven – liegen diese Daten?
• Gliedere nach Kategorien wie Kundendaten, Mitarbeiterdaten, Bewerberdaten, Newsletterlisten, Backup-Ordner etc.​

3. Rechtsgrundlagen und Löschfristen bestimmen

Leg für jede Datenart fest:​

• Auf welcher Rechtsgrundlage erfolgt die Verarbeitung (z. B. Vertrag, Einwilligung, gesetzliche Pflicht)?
• Wie lange müssen oder dürfen die Daten aufbewahrt werden (z. B. handels- oder steuerrechtliche Fristen, interne Notwendigkeit)?
• Wann beginnt die Aufbewahrungsfrist und ab wann dürfen die Daten gelöscht werden?​

4. Konkrete Löschregeln erstellen

Leite aus den Fristen und Verwendungen klare Löschregeln ab, zum Beispiel:

• Wann genau ist was zu löschen?
• Welche Ereignisse lösen die Löschung aus (Ende des Vertragsverhältnisses, Ablauf einer Bewerbungsfrist usw.)?

Berücksichtige auch Backups und technische Protokolle. Gegebenenfalls gelten für verschiedene Datenarten unterschiedliche Regeln.​

5. Technische und organisatorische Umsetzung planen

Leg fest:

• In welchen Systemen wird wann automatisch gelöscht?
• Wo ist manuell zu löschen?
• Wie werden Papierunterlagen und Alt-Datenträger – zum Beispiel nach DIN 66399 – sicher vernichtet?
• Gibt es Prozesse für die Prüfung und Umsetzung von Betroffenenanfragen zur Löschung?​

6. Nachweisfähigkeit und Dokumentation sicherstellen

Führe ein Löschprotokoll, damit du belegen kannst:

• Welche Datenarten wurden wann und durch wen gelöscht?
• Welcher Auslöser führte zur Löschung (Routine, Betroffenenanfrage, Ablauf einer Frist)?
• Wie würden die Daten gelöscht oder vernichtet?

Diese Dokumentation ist wichtig für interne Prüfungen und Anfragen von Aufsichtsbehörden.​

7. Löschkonzept in den Alltag integrieren und regelmäßig überprüfen

• Schule dein Team regelmäßig zu Pflichten und Abläufen.
• Überprüfe und aktualisiere dein Löschkonzept mindestens einmal jährlich.
• Kontrolliere, ob die Regeln tatsächlich umgesetzt werden, und passe sie bei neuen Systemen oder Prozessen an.​

Beispiel für eine Löschfristentabelle

DSGVO-konformes Löschkonzept erstellen: Empfehlungen und Praxistipps

• Am besten startest du zunächst mit wenigen, dafür aber klar definierten Regeln und setzt gleichzeitig auf pragmatische Lösungen, die gut zu deinem Unternehmensalltag passen.
• Außerdem lohnt es sich, Checklisten, Tabellen (s. o.) sowie bei Bedarf digitale Tools oder Vorlagen zu nutzen, damit dein DSGVO-konformes Löschkonzept übersichtlich, strukturiert und nachvollziehbar bleibt.
• Achte darüber hinaus besonders darauf, dass auch alte Datenbestände systematisch erfasst und bewertet werden, da diese in der Praxis häufig übersehen werden. Wenn Unsicherheiten bestehen oder Fragen auftreten, ziehe am besten frühzeitig Datenschutzexpertinnen oder -experten hinzu, um auf Nummer sicher zu gehen.
• Ebenso ist es wichtig, dass externe Dienstleister in das Konzept eingebunden werden und dass ihre Löschpflichten vertraglich klar geregelt sind.

Mit einer solchen praxisnahen und strukturierten Vorgehensweise können KMU ein wirksames und DSGVO-konformes Löschkonzept aufbauen. Dieses entspricht nicht nur den gesetzlichen Anforderungen, sondern hält auch internen Audits sowie behördlichen Prüfungen stand.

{{box-list-right}}

Sicherheit im Umgang mit Daten ist ein Wunsch, den jeder hegt. Ein Dokumentenmanagementsystem (DMS) kann den Datenschutz und die Datensicherheit in Unternehmen erheblich unterstützen – vorausgesetzt, es wird korrekt verwendet. In diesem Artikel erfahren Sie, welche Vorteile ein DMS für den Datenschutz bietet und wie Sie DMS-Software optimal einsetzen.

Anforderungen an Datensicherheit und Compliance stark gestiegen

Mit der Datenschutzgrundverordnung (DSGVO) wurde 2019 das Datenschutzrecht europaweit verschärft. Vor allem stärkt die DSGVO die Rechte der Personen, deren personenbezogene Daten Sie verarbeiten. Kunden, Mitarbeiter, Interessenten, Lieferanten – sie alle sind „Betroffene“ im Sinne des Datenschutzes. Besonders schutzwürdig sind Informationen über Gesundheit, sexuelle Orientierung, Religion, Bonität, Vorstrafen und politische Meinung von Personen.

Die GoBD wiederum stellen hohe Anforderungen an den Umgang mit steuerrelevanten Belegen und Daten. Rechtssichere Archivierung bedeutet, dass Belege unverlierbar, unveränderbar und nachvollziehbar, das heißt mit Bezug zum Geschäftsvorfall, aufbewahrt werden müssen. Diese Anforderungen und die entsprechende Verfahrensdokumentation können nur mit einem Dokumentenmanagementsystem erfüllt werden.

Verstöße gegen diese Vorschriften sind kein Kavaliersdelikt. Unternehmen, die sich nicht an die Vorgaben halten, riskieren Bußgelder und rechtliche Nachteile. Die gute Nachricht: Moderne DMS-Software macht es Unternehmen leicht, die Compliance-Anforderungen zu erfüllen.

Wie DMS-Software Datenschutz und Compliance unterstützt

Welche Compliance-Anforderungen kann ein Dokumentenmanagementsystem besonders gut unterstützen? Diese Frage wird im folgenden Abschnitt beantwortet.

DSGVO besser einhalten mit DMS-Software

Die folgende Tabelle zeigt, welche Datenschutzrisiken Sie eingehen, wenn Sie auf ein DMS verzichten. Sie erfahren, welche Anforderungen die Datenschutzgrundverordnung (DSGVO) an den Umgang mit personenbezogenen Daten stellt und wie ein DMS Ihnen die Einhaltung erleichtert. In einer dritten Spalte sehen Sie, ob und wie Sie die jeweilige Anforderung auch ohne DMS erfüllen können.

GoBD besser einhalten mit DMS-Software

Eine ähnliche Betrachtung zeigt, wie DMS-Software auch die GoBD-Compliance Ihrer Buchführung auf ein neues Niveau heben kann.

{{box-list-right}}

Sechs Tipps für den Einsatz eines DMS

Eine DMS-Software allein kann den Datenschutz nicht garantieren. Die DSGVO verlangt daher geeignete „technische und organisatorische Maßnahmen“ (TOMs). Ein für den Unternehmenseinsatz geeignetes DMS erfüllt die technischen Anforderungen. Die organisatorischen Maßnahmen müssen jedoch von Ihnen selbst umgesetzt werden. Unsere Tipps unterstützen Sie dabei.

1. Geeignete DMS-Software verwenden

Dokumentenmanagementsysteme gibt es wie Sand am Meer – doch welches passt zu Ihrem Unternehmen? Unser Tipp: Setzen Sie auf ein DMS, das in der EU hergestellt wird. Hierauf ist besonders bei Cloud-Lösungen zu achten. Denn sobald Ihre Daten über den Atlantik wandern, ist eine GoBD- und DSGVO-konforme Archivierung nicht mehr gewährleistet. Grund dafür ist, dass US-Behörden per Gesetz Zugriff auf sämtliche in den USA gehosteten Daten erhalten können.

Achten Sie außerdem darauf, dass Ihre Dokumente im DMS verschlüsselt gespeichert werden. Die Software sollte alle Dokumentenvorgänge automatisch protokollieren. So bleiben Änderungen nachvollziehbar, Versionen wiederherstellbar und die Datenintegrität jederzeit gesichert.

Optimal ist ein Dokumentenmanagementsystem, das sich nahtlos in Ihre bestehenden Geschäftsanwendungen – idealerweise Ihr ERP-System – integriert. Auf diese Weise vermeiden Sie Datensilos, arbeiten durchgängig über Prozesse hinweg und steigern Ihre Effizienz. Zudem sollte Ihr DMS alle Funktionen bieten, die Sie benötigen, um die folgenden Empfehlungen umzusetzen.

2. Daten richtig klassifizieren und verschlagworten

Betroffene können jederzeit die Herausgabe oder Löschung ihrer Daten verlangen. In einem DMS können Sie jedes personenbezogene Dokument mit dem Namen der betroffenen Person verschlagworten. Oder Sie stellen einen Bezug zu seinen Stammdaten her, wenn die DMS-Software mit dem Kontaktmanagement integriert ist. Auch der Bezug zu Geschäftsvorfällen, Zweckbindungen und Einwilligungen kann auf diese Weise hergestellt werden.

Bei der Klassifizierung von Daten geht es um verschiedene Schutzstufen. Wie bereits erwähnt, sind einige Informationen besonders schutzwürdig. Andere wiederum unterliegen einer Aufbewahrungspflicht. Mit DMS-Software lassen sich Dokumente klassifizieren, so dass bestimmte Zugriffsprofile oder Verfallsdaten auf sie angewendet werden können, ohne dass sie einzeln angefasst werden müssen.

3. Berechtigungen richtig einstellen

Vertraulichkeit und Integrität sind wichtige Aspekte im Datenschutzrecht: Niemand darf unbefugt personenbezogene Daten einsehen, weitergeben, verändern oder löschen können.

Das bedeutet:

• Mitarbeitende erhalten so viel Zugriff wie nötig und so wenig wie möglich. Auch die Suchfunktion der DMS-Software soll ihnen keine Dokumente anzeigen, die sie nichts angehen.
• Auch zeitlich ist der Zugriff auf das geschäftlich Notwendige beschränkt.
• Die Zugriffsebenen, d.h. Lesezugriff, Zugriff zum Bearbeiten, Zugriff zum Herunterladen und/oder zur Weitergabe von Dokumenten und Informationen, sollten ebenfalls minimiert werden.

Damit nicht für jeden Mitarbeiter ein eigenes Zugriffsprofil erstellt werden muss, sollten Profile für Benutzergruppen erstellt werden. Beispielsweise benötigt die Personalsachbearbeiterin einen Schreibzugriff auf die Personalstammdaten, für den Auszubildenden reicht aber ein Lesezugriff auf ausgewählte Bereiche. Und dieser Zugriff sollte erlöschen, sobald der Auszubildende in eine andere Abteilung wechselt.

4. Datenschutzkonzept für DMS-Einsatz erstellen

Gemeinsam mit Ihrem Datenschutzbeauftragten sollten Sie ein Konzept zur Gewährleistung der Datensicherheit erarbeiten. Ein solches Konzept sollte folgende Aspekte abdecken:

• Unbefugten Zugriff auf sensible Daten verhindern
• Verhindern, dass Daten zur Unzeit gelöscht oder verändert werden
• Sicherstellen, dass Daten anonymisiert oder gelöscht werden, wenn der Verarbeitungszweck wegfällt – nicht jedoch bei Dokumenten, die einer Aufbewahrungspflicht unterliegen
• Rechtzeitige Löschung im DMS nach Ablauf der Aufbewahrungsfrist sicherstellen
• Verschlüsselung und Integritätsschutz sicherstellen
• Datenschutz-Folgenabschätzung für besonders schutzwürdige Daten vornehmen
• Protokollierung und Versionierung in die Verfahrensdokumentation integrieren
• Prozesse rund um die Speicherung und Verarbeitung personenbezogener Daten definieren und ebenfalls in die Verfahrensdokumentation aufnehmen

5. Ersetzendes Scannen und Belegarchivierung

Papierdokumente wie Rechnungen, Verträge und Quittungen sind nach wie vor wichtig. Um sie zu sichern und für die digitale Verarbeitung verfügbar zu machen, werden sie gescannt. Das gescannte Dokument ersetzt dann das Original und wird im Dokumentenmanagementsystem (DMS) archiviert.

Moderne DMS-Software bietet speziell für Eingangsrechnungen umfassende Unterstützung bei der GoBD-Compliance. Dazu gehören der Schutz vor unbeabsichtigtem Löschen sowie die revisionssichere Archivierung der Belege. Häufig beinhaltet die Software auch ein spezielles Berechtigungsprofil für den Zugriff durch die Finanzbehörden.

6. Dokumentenbasierte Prozesse definieren

Einige DMS bieten die Möglichkeit, dokumentenbasierte Prozesse zu definieren. Diese Prozesse ermöglichen es Ihnen, bestimmte Dokumenttypen durch vordefinierte Bearbeitungsabläufe zu leiten. So können Sie zum Beispiel für Eingangsrechnungen einen Genehmigungsworkflow festlegen oder vom Dokumentenempfänger eine Bestätigung einfordern, dass er die Sicherheitsbelehrung gelesen und verstanden hat. Der Vorteil solcher Workflows ist, dass Sie einen qualitätsgesicherten Prozess haben, der beweiskräftig dokumentiert ist.

Fazit

Die Anforderungen an Datenschutz, Verfahrensdokumentation und Ordnungsmäßigkeit der digitalen Buchführung sind in den letzten Jahren stetig gestiegen. Mit modernen Dokumentenmanagementsystemen können Unternehmen diese Anforderungen erfüllen – vorausgesetzt, sie konfigurieren und administrieren ihr DMS richtig.

Der Aufwand lohnt sich, denn DMS-Software bietet verschlüsselte Ablage, Zugriffskontrolle und spezielle Funktionen für die rechtssichere Verwaltung von Dokumenten. Mehr noch: Sie unterstützt dokumentenbezogene Prozesse und ermöglicht die revisionssichere Archivierung von Buchungsbelegen.

Die Datenschutz-Grundverordnung enthält spezifische Regelungen und Prinzipien, die auch für den Datenschutz in der Finanzbuchhaltung relevant sind. Im Wesentlichen geht es in der DSGVO in Bezug auf den Schutz personenbezogener Daten um zwei Grundsätze:

1. Datenminimierung oder Datensparsamkeit: Es sollten so wenig personenbezogene Daten wie möglich verwendet werden und nur so lange, wie es notwendig ist, um den Verarbeitungszweck zu erfüllen.
2. Zweckbindung: Sobald der Zweck der Datenspeicherung erreicht ist, müssen personenbezogene Daten gelöscht werden. In diesem Zusammenhang wird häufig der Grundsatz der Speicherbegrenzung genannt.

Zum Gesamtpaket der DSGVO gehören auch das „Recht auf Vergessenwerden“, umfassende Auskunfts- und Widerspruchsrechte der Betroffenen, „Privacy by default“ sowie die neuen Regelungen zur Datenverarbeitung im Auftrag.

In der Finanzbuchhaltung werden schutzbedürftige Daten von Kunden, Lieferanten, Partnern und anderen verarbeitet. Dazu gehören beispielsweise Stammdaten, Rechnungsdaten und Kontodaten. Für einen effektiven Datenschutz in der Finanzbuchhaltung müssen daher einige Prozesse überprüft werden. Sehen wir uns an, welche Maßnahmen Sie dazu ergreifen können.

Wo ist der Datenschutz in der Finanzbuchhaltung rechtlich geregelt?

Bis Mai 2018 war der Datenschutz in Deutschland im Wesentlichen durch das alte Bundesdatenschutzgesetz (BDSG) geregelt. Seit dem 25. Mai 2018 gilt in Deutschland und allen anderen EU-Mitgliedstaaten die Datenschutz-Grundverordnung (DSGVO). Um der Datenschutz-Grundverordnung zu entsprechen, wurde das Bundesdatenschutzgesetz (BDSG) zur gleichen Zeit angepasst.

Das BDSG-neu dient dazu, spezifische nationale Regelungen zu ergänzen und auszugestalten, wo die DSGVO den Mitgliedstaaten entsprechende Gestaltungsspielräume lässt. Es enthält beispielsweise Regelungen zur Datenverarbeitung im Beschäftigungskontext, zu den Rechten der Betroffenen, zur Datenschutzaufsicht und zu Sanktionen.

Die Regelungen zum Datenschutz in der Finanzbuchhaltung finden sich somit sowohl in der DSGVO als auch im BDSG-neu. Darüber hinaus ist zu beachten, dass die Abgabenordnung (AO) und das Handelsgesetzbuch (HGB) längere Aufbewahrungsfristen für personenbezogene Daten vorsehen können.

Welche Daten stehen im Fokus der datenschutzrechtlichen Regelungen?

Die DSGVO zielt auf personenbezogene Daten ab. Darunter fallen alle Daten, die sich direkt oder indirekt auf eine Person zurückführen lassen. Das sind nicht nur Namen, Adressen und Telefonnummern, sondern beispielsweise auch IP-Adressen von benutzten Computern und Kundennummern oder -kennungen.

Was fordert die DSGVO für den Umgang mit personenbezogenen Daten in der Finanzbuchhaltung?

Erinnern Sie sich noch an die von den GoBD geforderten technischen und organisatorischen Maßnahmen, kurz: TOMs? Dieses Kürzel steht für die Maßnahmen, die ergriffen werden müssen, um den gesetzlichen Anforderungen zu genügen. Auch die TOMs für den Datenschutz in der Finanzbuchhaltung müssen dokumentiert werden.

Die Finanzbuchhaltung muss Maßnahmen in folgenden Bereichen umsetzen:

• Zugang und Zugriff auf geschützte Daten: Der Zugang und Zugriff muss durch ein System von Rollen und Rechten beschränkt werden. Beispielsweise benötigt eine Buchhaltungskraft Zugriff auf bestimmte Stammdaten und Rechnungen – in der Regel aber nur lesend, es sei denn, sie ist auch für die Stammdatenpflege zuständig.
• Zweckbindung und Datenminimierung: Diese Prinzipien betreffen sowohl die Menge als auch die Dauer der Datenaufbewahrung. Überprüfen Sie insbesondere die Vorgänge rund um die Stammdatenpflege.
• Weitere Verarbeitungsgrundsätze: Dazu gehören Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Integrität und Vertraulichkeit. Diese Grundsätze müssen nicht nur beachtet, sondern auch dokumentiert werden. Wenn dies noch nicht geschehen ist, sollten Sie das nachholen.
• Cloudgestützte Programme: Falls Sie mit cloudbasierten Programmen arbeiten, überprüfen Sie die Vereinbarungen zur Auftragsdatenverarbeitung mit den betreffenden Anbietern. Weiter unten finden Sie mehr Informationen zu diesem Punkt.

Speichern Sie nur die Daten, die dem Zweck der Verarbeitung entsprechen, und machen Sie sie nur den Personen zugänglich, die diese Daten verarbeiten. In der Buchhaltung werden in der Regel keine Angaben zum Geschlecht oder zur Herkunft benötigt. Wenn Sie aber beispielsweise als Steuerberater Steuererklärungen für Kunden erstellen, sind Angaben zum Familienstand, zu Kindern usw. relevant.

Benötigen Sie für den Datenschutz in der Finanzbuchhaltung ein Risk Assessment und Privacy Impact Assessment?

Häufig fallen die Begriffe „Risk Assessment“ und „Privacy Impact Assessment“. Dabei handelt es sich um sogenannte Datenschutzfolgenabschätzungen. Diese werden durchgeführt, wenn besonders schutzwürdige Daten betroffen sind. Dazu gehören beispielsweise Gesundheitsdaten, Daten über politische und religiöse Überzeugungen, ethnische Herkunft oder Vorstrafen. Datenlecks, die solche Informationen betreffen, können besonders großen Schaden anrichten.

Wenn Sie mit solchen sensiblen Daten arbeiten, ist es wichtig, eine entsprechende Datenschutzfolgenabschätzung (Privacy Impact Assessment) und eine Risikobewertung (Risk Assessment) durchzuführen. Diese Analysen helfen Ihnen, potenzielle Risiken zu erkennen und geeignete Maßnahmen zu ergreifen, um den Schutz der Daten zu gewährleisten und die Folgen eines möglichen Datenlecks zu minimieren.

Ist immer eine Einwilligung in die Datenverarbeitung erforderlich?

Die Einwilligungserklärung von Kunden und Partnern ist wichtig. Auch die Datenschutzerklärung Ihres Unternehmens sollte auf dem neuesten Stand sein. Normalerweise ist die Finanzbuchhaltung dafür nicht zuständig. Als Verantwortlicher für die Buchhaltung sollten Sie sich aber bei den zuständigen Stellen erkundigen, ob alles korrekt ist.

Grundsätzlich dürfen Sie Daten nur mit Einwilligung der betroffenen Person verarbeiten. Eine Einwilligung ist jedoch nach Art. 6 Abs. 1 lit. b DSGVO nicht erforderlich, wenn die Datenverarbeitung zur Erfüllung eines Vertrags zwischen Verbraucher und Unternehmer erforderlich ist.

Das bedeutet: Wenn ein Kunde bei Ihnen etwas bestellt, willigt er stillschweigend ein, dass sein Name, seine Bestelldaten und seine Rechnungsadresse von Ihnen gespeichert und verarbeitet werden. Laut DSGVO ist dies ein „Erlaubnistatbestand“, weil die Verarbeitung „für die Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist“.

Ist Ihre Datenarchivierung DSGVO-konform?

Um Ihre Daten DSGVO-konform zu archivieren, empfiehlt sich der Einsatz eines Dokumentenmanagementsystems (DMS). Damit können Sie sicherstellen, dass die Daten während der gesamten gesetzlichen Aufbewahrungsfrist vor unbefugtem Zugriff geschützt, jederzeit wiederauffindbar und lesbar sind. Die Speicherung der Daten einfach auf einem internen Netzlaufwerk ist dagegen nicht DSGVO-konform, da diese Methode ein höheres Risiko für Datenverlust oder -korruption birgt.

Falls Ihr Unternehmen Cloud-Dienste zur Datenarchivierung nutzt, sollten Sie zusätzlich die folgenden Punkte beachten:

• Die Speicherung auf Servern innerhalb der EU ist grundsätzlich zulässig.
• Server in den USA sind nur dann rechtssicher, wenn sie nach dem EU-US Data Privacy Framework zertifiziert sind.
• Vor der Übertragung von Daten in die Cloud müssen angemessene Datenschutzvorkehrungen getroffen werden.

Auftragsdatenverarbeitung in der Cloud

Die DSGVO betrachtet Cloud-Anbieter als Auftragsverarbeiter, weshalb ein Vertrag über die Auftragsverarbeitung Ihrer Daten abgeschlossen werden muss. Die meisten seriösen Anbieter haben ihre Verträge bereits DSGVO-konform gestaltet. Dennoch gilt: Vertrauen ist gut, Kontrolle ist besser. Sowohl Ihr Unternehmen als Verantwortlicher als auch der Cloud-Provider müssen geeignete Datenschutzmaßnahmen nachweisen können.

Haftung für Datenschutzverstöße

Bei Verstößen gegen die DSGVO haftet die Partei, die den Fehler nachweislich begangen hat. Prüfen Sie in Ihrem Auftragsverarbeitungsvertrag (AVV), ob Ihr Cloud-Partner diese Haftung übernimmt.

Übrigens: Die Möglichkeit, dass Ihr Cloud-Anbieter als Auftragsdatenverarbeiter für Datenschutzverstöße in der Buchhaltung haftbar gemacht werden kann, ist eine Neuerung der DSGVO.

Löschpflichten für Buchhaltungsdaten

Die Abgabenordnung (AO) regelt die Aufbewahrungspflichten für steuerrelevante Daten in § 147 AO wie folgt:.​

• 10 Jahre für bestimmte Unterlagen (z. B. Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Eröffnungsbilanz, bestimmte Zollunterlagen).​
• 8 Jahre für Buchungsbelege (z. B. Rechnungen, Kontoauszüge, Kassenbelege, Lohnabrechnungen) – diese Frist wurde von zuvor 10 Jahren abgesenkt.​
• 6 Jahre für sonstige aufbewahrungspflichtige Unterlagen wie Handels- und Geschäftsbriefe.

Nach Ablauf dieser gesetzlichen Fristen sind personenbezogene Daten gemäß DSGVO zu löschen.

Wie sieht ein rechtskonformes Löschkonzept aus?

Im Idealfall können Sie bei der Datenarchivierung ein „Verfallsdatum“ für Daten festlegen. Ein praktisches Löschkonzept könnte wie folgt aussehen:

1. Unterteilen Sie die Daten in Kategorien, zum Beispiel mit Aufbewahrungsfristen von zehn Jahren oder sechs Jahren.
2. Formulieren Sie für jede Kategorie klare Löschregeln. Zum Beispiel: Die Rechnung X wurde am 27. Juni 2024 eingegeben, daher ist ihre Löschung für den 27. Juni 2034 vorgesehen.
3. Definieren Sie einen Prozess für die Durchführung der Löschung.
4. Legen Sie die Verantwortlichkeiten für die Löschung fest und hinterlegen Sie diese im Rollen- und Rechtesystem der Software.
5. Dokumentieren Sie das gesamte Löschkonzept und dessen Umsetzung.

Moderne Archiv- bzw. Dokumentenmanagementsysteme unterstützen Sie bei der Erstellung solcher Löschregeln. Sobald der Prozess in der Software implementiert ist, müssen Sie sich nicht mehr darum kümmern.

Viele Bauunternehmen glauben, für Hacker uninteressant zu sein. Ist diese Annahme gerechtfertigt?

Silvio Böl: „Überhaupt nicht. Datensicherheit ist kein Modethema, sondern betrifft alle – vom Handwerksbetrieb bis zum Großkonzern. Viele Angriffe und Datendiebstähle bleiben unbemerkt und richten dennoch erheblichen Schaden an. Das größte Problem ist oft ein fehlendes Bewusstsein für die Risiken. Wer glaubt, ‚zu klein‘ für Cyberkriminelle zu sein, macht sich besonders angreifbar.“

Welche typischen Schwachstellen sehen Sie bei kleineren Betrieben?

Silvio Böl:„Ein großes Risiko sind schlecht konfigurierte Internetrouter und fehlende Updates. Diese öffnen Hackern Tür und Tor. Auch ungeschützte E-Mail-Konten und veraltete Anti-Viren-Software auf neuen Rechnern sind beliebte Einfallstore. Solche Versäumnisse machen selbst kleine Betriebe zu einfachen Zielen für Cyberkriminelle.“

Welche Folgen können solche Sicherheitslücken haben?

Silvio Böl:„Die Konsequenzen können dramatisch sein. Ein Unternehmen, das ich betreut habe, wurde wegen ungeschützter E-Mail-Konten Opfer eines Virus. Der Spam-Versand führte zur Sperrung der E-Mail-Konten durch den Provider – der Betrieb stand eine Woche lang still. Noch gefährlicher ist es, wenn gekaperte Rechner unbemerkt Teil eines Bot-Netzes werden. Diese Netzwerke werden genutzt, um Angriffe auf Konzerne oder Behörden durchzuführen, ohne dass der eigentliche Nutzer etwas merkt. Das Hauptziel der Hacker ist fast immer dasselbe: Daten zu stehlen, sie im Darknet zu verkaufen oder durch Ransomware Lösegeld zu erpressen.“

Wie können sich Bauunternehmen effektiv schützen, insbesondere kleinere Betriebe ohne eigene IT-Abteilung?

Silvio Böl: „Hier bieten professionelle IT-Dienstleister wie Suiteify wichtige Unterstützung. Wir kümmern uns um die Einrichtung und Wartung der IT-Infrastruktur, stellen aktuelle Sicherheitssoftware bereit und achten auf regelmäßige Updates. Ein entscheidender Faktor ist die Multi-Faktor-Authentifizierung (MFA), die rund 80 % aller Angriffe verhindert. MFA fügt eine zweite Sicherheitsebene hinzu – neben dem Passwort muss zum Beispiel ein SMS-Code oder ein Fingerabdruck bestätigt werden. Außerdem zeigt unsere Erfahrung: Pentesting-Unternehmen konnten bei Suiteify-Kunden mit etablierten Sicherheitsstandards bisher nicht eindringen.“

Ihr Fazit – warum lohnt sich die Investition in Datensicherheit?

Silvio Böl: „Datensicherheit ist kein ‚Luxus‘, sondern ein unverzichtbarer Schutz für jedes Bauunternehmen. Professionelle Lösungen minimieren das Risiko von Betriebsausfällen und Datenverlusten, schützen vor hohen Kosten und geben den Unternehmen die Möglichkeit, sich auf ihr Kerngeschäft zu konzentrieren. Wer frühzeitig investiert, spart langfristig Geld und Nerven.“

Warum die DSGVO für jedes Unternehmen relevant ist

Die DSGVO schützt sämtliche Daten, die Rückschlüsse auf natürliche Personen in der EU zulassen. Wer Beschäftigte hat oder Kundendaten verarbeitet, fällt automatisch unter die DSGVO. Dies betrifft z. B. E-Mails von Mitarbeitenden, Kundendaten, Informationen von Lieferanten oder personenbezogene Angaben in digitalen Systemen.

Erhöhte Anforderungen und mögliche Strafen

Zwar orientiert sich die DSGVO in vielen Punkten am bisherigen Bundesdatenschutzgesetz (BDSG), sie bringt aber deutlich umfangreichere Pflichten mit sich.

Wichtige DSGVO-Neuerungen für Unternehmen

• Verzeichnis der Verarbeitungstätigkeiten: Jedes Unternehmen muss ein Verzeichnis führen, in dem sämtliche Prozesse der Datenverarbeitung detailliert aufgeführt sind (Art. 30 DSGVO). Das bisherige Verfahrensverzeichnis nach § 4e BDSG entfällt.
• Erweiterte Informationspflichten: Betroffene Personen müssen klar, verständlich und umfassend über die Verarbeitung ihrer Daten informiert werden, z. B. Zweck, Dauer und Rechtsgrundlage.
• Meldepflichten bei Datenschutzverstößen: Datenschutzverstöße mit Risiko für Betroffene müssen innerhalb von 72 Stunden den Aufsichtsbehörden gemeldet werden; betroffene Personen sind unverzüglich zu informieren, wenn ein hohes Risiko besteht.
• Recht auf Löschung („Recht auf Vergessenwerden“): Betroffene können die Löschung ihrer personenbezogenen Daten verlangen; Unternehmen müssen sicherstellen, dass diese Daten auch bei Dritten gelöscht werden, sofern weitergegeben.
• Recht auf Datenübertragbarkeit: Personen können die Herausgabe ihrer Daten in einem strukturierten, maschinenlesbaren Format verlangen, z. B. für einen Anbieterwechsel.
• Privacy by Design und Privacy by Default: Datenschutz muss von Anfang an in Produkten, Dienstleistungen und Software berücksichtigt werden („Privacy by Design“) und standardmäßig maximal gewährleistet sein („Privacy by Default“).

Strenge Bußgelder

Bei Verstößen können Aufsichtsbehörden bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes verhängen – deutlich höher als die früheren Grenzen von maximal 300.000 Euro.

Handlungsempfehlungen für KMU

Unternehmen sollten weiterhin ihre Datenschutzmaßnahmen prüfen und priorisieren:

1. Verzeichnis der Verarbeitungstätigkeiten: Unverzichtbar für ein DSGVO-konformes Datenschutzkonzept. Es lohnt sich, dieses Verzeichnis kontinuierlich zu pflegen und zu aktualisieren.
2. Dokumentation aller Maßnahmen: Sämtliche bereits umgesetzten oder geplanten Schritte sollten schriftlich festgehalten werden. Eine gute Dokumentation kann im Falle von Prüfungen oder Verstößen positiv berücksichtigt werden.
3. Fokus auf besonders prüfungsrelevante Bereiche: Experten empfehlen, besonders Einwilligungserklärungen, Informationspflichten, Datenschutzbelehrungen und Direktmarketing-Maßnahmen im Blick zu behalten.
4. Externe Unterstützung nutzen: Bei Unsicherheiten kann der Rat eines Datenschutzexperten helfen, Risiken zu minimieren und die DSGVO-konforme Umsetzung zu sichern.

Fazit

Die DSGVO ist bindendes Recht in der EU. KMU, die ihre Datenschutzpflichten ernst nehmen, schützen nicht nur ihre Kundendaten und Mitarbeitenden, sondern sichern auch ihre rechtliche und wirtschaftliche Handlungsfähigkeit langfristig ab.

In vielen mittelständischen Unternehmen kommt die Umsetzung der DSGVO nur langsam voran. Welche Probleme begegnen Ihnen im Rahmen Ihrer Beratungspraxis besonders häufig?

André Schmidt: Ein großes Problem ist das fehlende Bewusstsein im Hinblick auf den tatsächlichen Umsetzungsbedarf. Viele KMU denken, dass sich für sie durch die DSGVO nicht so viel ändern werde. Die DSGVO betrifft jedoch nicht nur Konzerne oder Unternehmen im Privatkundenbereich. Sie gilt für alle, und sie fordert tief greifende Anpassungen bezüglich der innerbetrieblichen Abläufe eines Unternehmens.

Andere Unternehmen, die zu mir kommen, haben bereits die Tragweite der DSGVO und die mit ihr verbundenen hohen Haftungsrisiken für sich und ihre Geschäftsleitung erkannt. Sie sind allerdings mit der Fülle der umzusetzenden Maßnahmen überfordert. Dieses Problem kann man dadurch angehen, indem man priorisiert und einen Projektplan erstellt, der Verantwortlichkeiten, Ressourcen und Arbeitspakete bestimmt.

Ein weiterer Grund für die schleppende Umsetzung der neuen Anforderungen bei mittelständischen Unternehmen ist, dass nur unzureichende Ressourcen bereitgestellt werden. Die Änderung von organisatorischen Prozessen, der Aufbau eines Datenschutzmanagementsystems sowie die Erstellung datenschutzkonformer Vorlagen kosten Geld und binden personelle Kräfte im Unternehmen.

Ein Teil der Unternehmen scheut die erforderlichen Investitionen. Diese Unternehmen gehen ein hohes wirtschaftliches Risiko ein, denn die zukünftig drohenden Sanktionen können die anfänglichen Einsparungen in das Gegenteil verkehren.

Andere Unternehmen investieren hingegen viel in externe Berater und erhoffen sich, dass diese alles übernehmen. Das kann aber nicht funktionieren. Externe Berater können sicherlich wertvolle Hilfe leisten und Arbeit abnehmen. Damit die Umsetzung erfolgreich verläuft, ist jedoch ein hohes Maß an Zuarbeit durch die Unternehmen erforderlich, beispielsweise bei der Erfassung der datenschutzrechtlich relevanten Prozesse im Unternehmen.

{{box-list-left}}

Inwieweit ist damit zu rechnen, dass die Aufsichtsbehörden nach dem 25. Mai 2018 hier und da noch ein Auge zudrücken werden?

Schmidt: Die Aufsichtsbehörden haben wenig Anlass, auf Unternehmen Rücksicht zu nehmen, die bislang die Anforderungen der DSGVO für sich ausgeblendet haben. Die DSGVO ist immerhin seit Mai 2016 in Kraft. Wenn sie zum 25. Mai 2018 rechtsverbindlich wird, hatten Unternehmen zuvor zwei Jahre die Gelegenheit, sich auf die neuen Anforderungen einzustellen. Aus diesem Grund nehme ich nicht an, dass die Aufsichtsbehörden besonders wohlwollend reagieren, wenn ein Unternehmen kurz vor Torschluss noch eilig mit den ersten Umsetzungsmaßnahmen beginnt.

Sollte allerdings ein Unternehmen belegen können, dass es in den vergangenen Monaten intensiv versucht hat, den Anforderungen nachzukommen, dann wird dies natürlich von den Behörden bei der Bemessung einer möglichen Geldbuße berücksichtigt werden. Dies kann im Einzelfall auch dazu führen, dass von einer Geldbuße abgesehen wird.

Welche datenschutzrechtlichen Felder werden die Aufsichtsbehörden nach Geltung der DSGVO voraussichtlich besonders in den Blick nehmen?

Schmidt: Die Aufsichtsbehörden werden sich am Anfang vermutlich auf die Bereiche konzentrieren, die relativ einfach abgefragt oder geprüft werden können. Hierzu gehört das Verzeichnis von Verarbeitungstätigkeiten, welches der Aufsichtsbehörde auf Verlangen vorzulegen ist. In diesem Verzeichnis muss ein Unternehmen sämtliche datenschutzrechtlich relevanten Prozesse im Unternehmen auflisten und jeweils nach vordefinierten Vorgaben beschreiben.

Die Erstellung eines solchen Verzeichnisses ist sehr zeitaufwendig. Deshalb kann damit nicht erst begonnen werden, wenn eine Aufsichtsbehörde die Vorlage des Verzeichnisses verlangt. Ohnehin ist das Verzeichnis ein fundamentaler Baustein für eine erfolgreiche Umsetzung der DSGVO. Das Verzeichnis ermöglicht es den Unternehmen, sich einen Überblick darüber zu verschaffen, wo überhaupt angesetzt werden muss.

Auch die Verträge mit Dienstleistern, die personenbezogene Daten der Unternehmen verarbeiten, sind für Aufsichtsbehörden ein beliebter Prüfungspunkt. Unternehmen sind also gut beraten, wenn sie sich eine Übersicht über ihre Dienstleister erstellen und diese dahingehend durchgehen, ob die Verträge anzupassen sind. Soweit Bedarf besteht, sollten Anpassungen zeitnah erfolgen. Das ist aber auch gut machbar.

Ein dritter – sehr relevanter – Bereich betrifft das Einwilligungsmanagement und die Informationspflichten des Unternehmens. Wo und wie müssen die betroffenen Personen informiert werden, deren persönliche Daten das Unternehmen verarbeitet? Reichen die bislang verwendeten Einwilligungserklärungen aus oder müssen sie angepasst werden? Hier besteht häufig Handlungsbedarf – und Aufsichtsbehörden reagieren erfahrungsgemäß sensibel, wenn Unternehmen ihrer Verpflichtung in dieser Hinsicht nicht nachkommen.

Im besonderen Fokus stehen natürlich auch Marketingaktivitäten und die Außenauftritte (insbesondere Websites) der Unternehmen. Hier treten Datenschutzverstöße offenkundig zu Tage. Werden beispielsweise die Datenschutzbelehrungen auf der eigenen Website nicht rechtzeitig angepasst, ist das für jedermann leicht zu erkennen. Direktmarketing-Maßnahmen, wie beispielsweise Newsletter und Cold-Calls oder Re-Targeting-Kampagnen, sind ebenfalls im Fokus der Aufsichtsbehörden.

Welche Schwerpunkte sollten Unternehmensverantwortliche bei der Umsetzung der DSGVO nun setzen?

Schmidt: Unternehmen, die mit der Umsetzung noch nicht richtig begonnen haben, werden es kaum bis zum 25. Mai 2018 schaffen, die Anforderungen der DSGVO zu erfüllen. Für diese Unternehmen steht deshalb im Vordergrund, die Haftungsrisiken für das Unternehmen und die Geschäftsleitung einzudämmen. Aber auch drohende Imageschäden gilt es zu vermeiden.

Für eine Risikobewertung sind vor allem zwei Punkte von Interesse. Zum einen die Frage nach der Wahrscheinlichkeit, dass der betreffende Bereich von einer Aufsichtsbehörde oder einer betroffenen Person beanstandet wird. Werden beispielsweise Personen gegen ihren Willen „zugespammt“, ist die Wahrscheinlichkeit einer Beanstandung hoch.

Zum anderen spielt auch die Schwere der datenschutzrechtlichen Verfehlung eine wichtige Rolle. Bei besonders gravierenden Verstößen drohen natürlich deutlich höhere Geldbußen oder Schadensersatzforderungen der Betroffenen. So ist beispielsweise denkbar, dass ein großes Datenleck für Außenstehende lange unerkannt bleibt, weil nur Insider Kenntnis davon haben. Wenn dieses Datenleck doch bekannt wird, können diesbezüglich dramatisch höhere Geldbußen drohen, als vielleicht wegen einer inkorrekten Datenschutzbelehrung auf der Website des Unternehmens.

Allerdings sollte – unabhängig von der Risikobewertung – bei allen Unternehmen die Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten ganz oben auf der Prioritätenliste stehen. Wie bereits gesagt, ist das Verzeichnis ein fundamental wichtiger Baustein für die Umsetzung eines funktionierenden Datenschutzkonzepts.

Wie bei jedem Regelwerk gibt es auch bei der DSGVO Themen, die noch strittig sind und einer Rechtsauslegung bedürfen. Welche Themen sind dies? Und wie sollten Unternehmen damit umgehen?

Schmidt: Das stimmt. Zahlreiche Detailfragen zur DSGVO sind noch ungeklärt. Das betrifft beispielsweise Teilfragen hinsichtlich der Videoüberwachung, des Beschäftigtendatenschutzes, der Formerfordernisse bei der Auftragsverarbeitung, der notwendigen Inhalte der Datenschutzbelehrungen und noch eine Vielzahl weiterer Punkte.

Ja, es wäre schön gewesen, wenn die DSGVO aus sich heraus für den normalen Bürger leicht verständlich wäre. Das ist nicht der Fall. Selbst Sachkundige müssen bei manchen Rechtsfragen einen Spezialisten konsultieren. Aber das ist bei dem bisherigen BDSG doch ähnlich; und gleichwohl haben wir gelernt, damit umzugehen. Genauso wird es auch bei der DSGVO kommen.

Außerdem geben Aufsichtsbehörden und Datenschutzverbände derzeit zahlreiche Praxishilfen und Empfehlungen heraus. Diese helfen den Unternehmen und Datenschutzbeauftragten, die mitunter sperrig formulierten Regelungen der DSGVO im betrieblichen Alltag umzusetzen. Daran kann man sich orientieren. Bei wirtschaftlich wichtigen Datenschutzfragen bietet es sich sicherlich auch an, zur Klärung einen Spezialisten hinzuzuziehen.