- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
DSGVO im IT-Alltag: Was die Datenschutz-Grundverordnung vom IT-Team verlangt
Die DSGVO ist die Datenschutz-Grundverordnung der EU: Sie regelt seit 25. Mai 2018 einheitlich, wann ein Unternehmen Daten über Menschen erheben, speichern und weitergeben darf, wie es diese Daten schützen muss und welche Rechte Kundinnen, Kunden und Beschäftigte gegenüber dem Unternehmen haben. In Österreich ergänzt das Datenschutzgesetz (DSG) die Verordnung. Zuständige Aufsichtsbehörde ist die Datenschutzbehörde (DSB) in Wien.
Im IT-Alltag zeigt sich die DSGVO selten als Paragraf, sondern als konkrete Frage: Darf der externe Techniker per Fernwartung auf den Laptop zugreifen? Was tun, wenn ein Notebook im Zug liegen bleibt? Wie lange bleibt ein Ticket mit einer Krankmeldung im System? Gerade kleine IT-Teams, die mehrere Standorte und Microsoft 365 betreuen, brauchen dafür klare Antworten und wenige, aber feste Abläufe.
Das Wichtigste in Kürze
- Betroffen ist jedes Unternehmen, das Daten über Menschen verarbeitet, vom Kundenstamm bis zur Benutzerliste im Active Directory.
- Rollen: Ihr Unternehmen ist Verantwortlicher. IT-Dienstleister und Cloud-Anbieter sind meist Auftragsverarbeiter und brauchen einen Vertrag nach Art. 28.
- Zwei Fristen sollte jedes IT-Team kennen: ein Monat für Auskunftsanträge, möglichst 72 Stunden für die Meldung einer Datenpanne an die Datenschutzbehörde.
- Nachweis zählt: Was nicht dokumentiert ist, lässt sich bei einer Prüfung kaum belegen.
Stand: November 2026 · Fachlich abgeglichen mit dem Verordnungstext auf EUR-Lex und den Leitlinien des Europäischen Datenschutzausschusses (Quellen am Ende des Artikels). Dieser Artikel ersetzt keine Rechtsberatung.
Was die DSGVO vom IT-Team verlangt
Verantwortlich im Sinne der DSGVO ist das Unternehmen, in der Praxis also die Geschäftsführung. Umgesetzt wird ein großer Teil davon aber in der IT: Dort entstehen Benutzerkonten, Berechtigungen, Backups und Protokolle. Fünf Aufgaben kommen in praktisch jedem Unternehmen vor.
1. Wissen, wo welche Daten liegen
Das Verzeichnis der Verarbeitungstätigkeiten (Art. 30) beschreibt je Verarbeitung Zweck, Datenkategorien, Empfänger und, wenn möglich, Löschfristen. Unternehmen unter 250 Beschäftigten sind nur eingeschränkt befreit: Sobald eine Verarbeitung nicht nur gelegentlich erfolgt, etwa die Lohnverrechnung oder das Ticketsystem, gilt die Pflicht wieder. In der Praxis führen deshalb auch kleinere Betriebe ein Verzeichnis.
2. Dienstleister vertraglich einbinden
Der IT-Partner mit Fernwartungszugang, der Hoster der Website und der Anbieter des Ticketsystems verarbeiten Daten im Auftrag. Mit jedem ist ein Auftragsverarbeitungsvertrag nötig. Bei Microsoft 365 tritt Microsoft als Auftragsverarbeiter auf und regelt das im Data Protection Addendum (DPA), das Teil der Lizenzbedingungen ist.
3. Daten angemessen schützen
Art. 32 fordert keine bestimmte Technik, sondern ein dem Risiko angemessenes Schutzniveau. Für ein kleines Team heißt das: Mehr-Faktor-Anmeldung, verschlüsselte Notebooks, getestete Backups, Updates und Berechtigungen nach dem Prinzip „so wenig wie nötig“.
4. Anfragen und Pannen bearbeiten
Wer Auskunft oder Löschung verlangt, bekommt innerhalb eines Monats eine Antwort. Wird ein Notebook gestohlen oder landet eine E-Mail beim falschen Empfänger, muss rasch geklärt werden, ob die Datenschutzbehörde informiert werden muss.
5. Nicht länger aufbewahren als nötig
Alte Tickets, verwaiste Benutzerkonten und Exporte auf Netzlaufwerken sind ein typisches Restrisiko. Feste Löschfristen und eine jährliche Bereinigung reduzieren es deutlich.
Fristen und Meldewege im Überblick
Die meisten Fristen stehen direkt in der Verordnung. Sie gelten in Österreich genauso wie in Deutschland, nur die Aufsichtsbehörde ist eine andere.
| Anlass | Frist laut DSGVO |
|---|---|
| Auskunft, Löschung oder Berichtigung wird beantragt (Art. 12) | Unverzüglich, spätestens innerhalb eines Monats. Verlängerung um zwei Monate möglich, mit Begründung |
| Datenpanne mit Risiko für Betroffene (Art. 33) | Meldung an die Behörde (DSB) unverzüglich, möglichst binnen 72 Stunden |
| Datenpanne mit hohem Risiko (Art. 34) | Zusätzlich die betroffenen Personen unverzüglich benachrichtigen |
| Dienstleister bemerkt eine Panne (Art. 33 Abs. 2) | Unverzüglich an das beauftragende Unternehmen |
| Panne ohne Risiko | Keine Meldung, aber intern dokumentieren (Art. 33 Abs. 5) |
Wann die 72 Stunden beginnen
Nach den Leitlinien des Europäischen Datenschutzausschusses läuft die Frist ab dem Zeitpunkt, an dem das Unternehmen mit hinreichender Sicherheit weiß, dass eine Verletzung vorliegt. Die Verordnung selbst erlaubt eine Meldung in Schritten (Art. 33 Abs. 4): zuerst das Bekannte, dann die Ergänzungen. Wer am Freitag von einem Vorfall erfährt, sollte also nicht bis Montag mit der Bewertung warten.
Was die DSGVO nicht regelt
Die Verordnung schreibt weder eine bestimmte Software noch feste Speicherfristen für Tickets vor. Welche Aufbewahrungspflichten gelten, ergibt sich aus anderen Gesetzen, etwa dem Steuer- und Unternehmensrecht. Bei Zweifeln hilft die Abstimmung mit der Steuerberatung oder der Rechtsabteilung.
Fünf Situationen aus dem IT-Alltag
Die folgenden Fälle sind beispielhaft beschrieben. Sie zeigen, wo die DSGVO im Support konkret wird und welche Schritte sich bewährt haben.
1. Eine Mitarbeiterin verlangt Auskunft
Angenommen, eine Vertriebsmitarbeiterin am Standort Graz möchte wissen, welche Daten die Firma über sie speichert. Die IT liefert zu: Konto im Verzeichnisdienst, Postfach, Gerätezuordnung, Tickets, Zutrittsprotokolle. Ein eigener Anfragetyp im Ticketsystem verteilt die Aufgaben an die Systemverantwortlichen und zeigt die Monatsfrist an.
2. Das Notebook bleibt im Zug
Ein Kollege lässt auf der Fahrt von Linz nach Wien sein Notebook liegen. Ist die Festplatte mit BitLocker verschlüsselt und das Gerät per Intune sperrbar, ist das Risiko für die Betroffenen meist gering. Ohne Verschlüsselung und mit Kundendaten auf dem Gerät spricht vieles für eine Meldung. In beiden Fällen wird der Vorfall dokumentiert.
3. Ein Mitarbeiter verlässt das Unternehmen
Konto sperren, Lizenzen entziehen, Postfach nach festgelegter Frist umwandeln oder löschen, private Daten auf dem Gerät klären. Ein Austrittsprozess mit Checkliste verhindert verwaiste Konten, die später niemand mehr zuordnen kann.
4. Der Dienstleister braucht Fernzugriff
Der IT-Partner aus der Region betreut Server und Arbeitsplätze. Vor dem ersten Zugriff steht der Auftragsverarbeitungsvertrag. Danach gilt: Fernwartung nur mit Freigabe, nur mit persönlichem Konto und nachvollziehbar dokumentiert, damit im Ernstfall klar ist, wer wann zugegriffen hat.
5. Im Ticket steht eine Krankmeldung
Jemand schreibt in die Störungsmeldung, dass er wegen einer Operation zwei Wochen fehlt und deshalb das Postfach weitergeleitet werden soll. Gesundheitsdaten sind besonders geschützt (Art. 9). Der Support entfernt das Detail aus dem Ticket oder schränkt den Zugriff ein, und das Portal weist künftig darauf hin, keine Gesundheitsangaben einzutragen.
Viele dieser Fälle lassen sich über ein Self-Service-Portal mit vorbereiteten Formularen deutlich vereinfachen.
Checkliste für kleine IT-Teams
Die Liste ersetzt keine Datenschutzberatung, deckt aber die Punkte ab, nach denen bei Prüfungen und Vorfällen am häufigsten gefragt wird.
- Verzeichnis der Verarbeitungstätigkeiten vorhanden und mindestens einmal im Jahr aktualisiert
- Mit jedem IT-Dienstleister und Cloud-Anbieter ein Auftragsverarbeitungsvertrag, Kopien zentral abgelegt
- Mehr-Faktor-Anmeldung für alle Konten mit Zugriff auf E-Mail und Cloud-Dienste, siehe MFA
- Notebooks und mobile Geräte verschlüsselt und aus der Ferne sperrbar
- Backups getestet: Wiederherstellung mindestens einmal im Jahr geprobt
- Berechtigungen nach Rolle vergeben und bei Abteilungswechsel angepasst
- Eigene Ticketkategorie „Datenschutzvorfall“ mit Benachrichtigung an die Geschäftsführung bzw. den Datenschutz
- Vorlage für Auskunftsanträge mit Monatsfrist und Liste der beteiligten Systeme
- Austrittsprozess mit Checkliste für Konten, Lizenzen, Postfach und Geräte
- Löschfristen für Tickets, Anhänge und Protokolle festgelegt und umgesetzt
Wer diese Punkte nicht allein stemmen kann, findet Unterstützung bei spezialisierten Partnern, etwa für Cybersecurity Services oder den sicheren Betrieb von Microsoft 365.
Häufige Fragen zur DSGVO
Was regelt die DSGVO in einfachen Worten?
Sie regelt, wann ein Unternehmen Daten über Menschen verwenden darf, wie es sie schützen muss und welche Rechte die Menschen haben. Dazu gehören das Recht auf Auskunft, auf Berichtigung und auf Löschung.
Welche Rolle spielt das österreichische Datenschutzgesetz?
Die DSGVO gilt in Österreich unmittelbar. Das Datenschutzgesetz (DSG) ergänzt sie, etwa mit Regelungen zur Datenschutzbehörde und zu Verfahren. Für den IT-Alltag sind die Pflichten aus der Verordnung selbst entscheidend.
Muss ein verlorenes Notebook gemeldet werden?
Das hängt vom Risiko ab. Ist das Gerät verschlüsselt und sind keine Zugangsdaten bekannt geworden, ist das Risiko meist gering und eine interne Dokumentation reicht. Ohne Verschlüsselung und mit personenbezogenen Daten auf dem Gerät ist häufig eine Meldung an die Datenschutzbehörde möglichst binnen 72 Stunden nötig.
Brauchen wir mit unserem IT-Dienstleister einen Vertrag?
Ja, wenn der Dienstleister im Auftrag personenbezogene Daten verarbeitet oder darauf zugreifen kann, etwa per Fernwartung. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt unter anderem Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen und die Rückgabe der Daten.
Ist Microsoft 365 mit der DSGVO vereinbar?
Microsoft tritt für seine Onlinedienste als Auftragsverarbeiter auf und stellt dafür das Data Protection Addendum bereit. Ob die Nutzung im eigenen Unternehmen zulässig ist, hängt aber von der Konfiguration, den Zwecken und den Einstellungen ab. Diese Bewertung bleibt beim Unternehmen.
Kann ich ky2help® vorher ausprobieren?
Ja. Die Testversion von ky2help® läuft im Browser und braucht keine Installation. Sie können damit zum Beispiel einen Ablauf für Auskunftsanträge nachbauen. Zur Testversion
Quellen und weiterführende Artikel
Quellen
- EUR-Lex: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung)
- Europäischer Datenschutzausschuss: Datenschutzleitfaden für kleine Unternehmen
- Europäischer Datenschutzausschuss: Wann eine Datenschutzverletzung gemeldet werden muss
- Europäischer Datenschutzausschuss: Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen
- Europäischer Datenschutzausschuss: Mitglieder, darunter die österreichische Datenschutzbehörde
- Microsoft Learn: Datenschutz-Grundverordnung und Microsoft-Dienste
- Microsoft: Products and Services Data Protection Addendum (DPA)
Weiterlesen im Glossar und in der Wissenswelt
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
