Eine Kundenkartei mit Newsletter-Adressen braucht einen anderen Schutz als Gesundheitsdaten nach Art. 9 DSGVO. Wir richten den Umfang nach Art und Menge der Daten aus und bauen nichts, was Ihr tatsächliches Risiko nicht rechtfertigt.
Wir gehen die Orte durch, an denen personenbezogene Daten wirklich liegen: Lohnverrechnung in BMD oder DPW, CRM, Warenwirtschaft, SharePoint und OneDrive, Netzlaufwerke, Postfächer und die berüchtigten Excel-Exporte auf Notebooks. Das Ergebnis fließt direkt in Ihr Verzeichnis von Verarbeitungstätigkeiten, das oft noch Systeme beschreibt, die es längst nicht mehr gibt.
Die Rezeption braucht keinen Zugriff auf Gehaltsdaten, der Vertrieb keinen auf Krankenstandsmeldungen. Rechte werden über Gruppen in Entra ID oder Google Workspace vergeben, nicht Person für Person, damit sie bei jedem Wechsel nachvollziehbar bleiben.
Benutzer wie „buero“ oder „admin“ mit dem Passwort auf einem Zettel am Bildschirm ersetzen wir durch persönliche Konten mit Mehrfaktor-Anmeldung. Jeder Zugriff auf einen Datensatz lässt sich dann einer Person zuordnen.
Wir aktivieren das Überwachungsprotokoll in Microsoft 365 und die Zugriffsüberwachung auf dem Dateiserver, mit einer Aufbewahrung, die auch Wochen später noch zeigt, wer eine Akte geöffnet hat.
Für Auskunft, Löschung und Datenübertragbarkeit bereiten wir die technische Seite vor: gespeicherte Inhaltssuchen in Microsoft Purview, Exportwege aus dem CRM und eine Liste aller Systeme, die bei einem Ersuchen geprüft werden müssen.
Ein mit der Personalabteilung abgestimmter Ablauf sorgt dafür, dass Zugänge am letzten Arbeitstag enden, auch bei Cloud-Diensten, die nicht am Verzeichnis hängen, etwa Bewerbungsportal oder Zeiterfassung.
Eine Seite für die ersten Stunden: Wer bewertet den Vorfall, wie wird der Datenschutzbeauftragte informiert, welche Protokolle werden gesichert und welche Angaben braucht die Person, die die Meldung an die DSB verfasst.
Wir beginnen dort, wo wenig Aufwand viel Risiko wegnimmt. Größere Vorhaben folgen, wenn die Grundlagen sitzen.
Ein Videotermin mit der für Datenschutz zuständigen Person und eine Fernprüfung der Umgebung. Sie erhalten eine Liste der Systeme mit personenbezogenen Daten und wie jedes davon heute geschützt ist.
Konten ausgeschiedener Beschäftigter, geteilte Benutzer und Zugänge ohne zweiten Faktor verschwinden in den ersten Tagen. Das kostet wenig und wirkt sofort.
Verschlüsselung der Notebooks, Protokollierung, Berechtigungsstruktur und Grenzen für externe Freigaben, ausgerollt in Gruppen, damit niemand plötzlich vor verschlossenen Ordnern steht.
Sie bekommen eine Beschreibung aller umgesetzten technischen Maßnahmen, formuliert so, dass sie in das Verarbeitungsverzeichnis und in Unterlagen für eine Prüfung durch die DSB übernommen werden kann.
Entscheidend ist nicht, ob ein Virenschutz installiert ist, sondern ob Sie belegen können, was Sie getan haben. Nach einer Beschwerde oder einer Datenpanne zählen Nachweise: Wer hatte Zugriff, seit wann, welches Protokoll zeigt das und wann wurde zuletzt geprüft. Eine richtige Einstellung ohne Beleg wiegt kaum mehr als gar keine. Deshalb dokumentieren wir jede Maßnahme mit Datum.
Bei der Systemliste aus der Datenlandkarte: Warenwirtschaft, CRM, Postfächer, Netzlaufwerke und Sicherungen. In Microsoft 365 findet eine Inhaltssuche E-Mails und Dokumente mit Namen oder Kundennummer in wenigen Minuten, im ERP braucht es einen Export des Stammsatzes. Sie haben in der Regel einen Monat Zeit. Die Antwort sollte vor dem Versand Ihre Rechtsberatung oder Ihr Datenschutzbeauftragter durchsehen.
Schreiben Sie sofort an support@apply.at, als Vertragskunde an helpme@apply.at. Wir versuchen die Nachricht zurückzuholen, sichern die Protokolle und klären den Umfang. Mit diesen Angaben entscheidet Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung, ob eine Meldung an die DSB nötig ist. Die 72 Stunden laufen ab dem Zeitpunkt, an dem Sie von der Verletzung wissen.
Rechtlich braucht es mit Auftragsverarbeitern einen Auftragsverarbeitungsvertrag (AVV); ob eine Kanzlei im konkreten Fall als Auftragsverarbeiter gilt, klärt Ihre Rechtsberatung. Technisch prüfen wir, welche Zugänge externe Stellen tatsächlich haben, ob sie persönlich und mit zweitem Faktor abgesichert sind und ob sie noch gebraucht werden. Oft finden wir Zugänge von Dienstleistern, die seit Jahren nicht mehr beauftragt sind.
Innerhalb der EU ist das keine Übermittlung in ein Drittland. Microsoft, Google und AWS erlauben je nach Dienst und Tarif die Wahl von EU-Regionen, bei Anbietern mit Sitz außerhalb der EU lohnt aber ein Blick auf Unterauftragsverarbeiter und Supportzugriffe. Europäische Anbieter wie Exoscale mit Standort Wien, Anexia, Hetzner oder IONOS machen es noch einfacher. Wir prüfen, wo Postfächer, Sicherungen und Anwendungen tatsächlich gespeichert sind, und dokumentieren das für Ihr Verzeichnis.
Das hängt davon ab, ob eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt, etwa umfangreiche Verarbeitung von Gesundheitsdaten oder systematische Überwachung. Die DSB veröffentlicht dazu Listen. Die Entscheidung ist eine rechtliche. Wir liefern für die DSFA die technische Beschreibung der Systeme, Datenflüsse und Schutzmaßnahmen.
Beschreiben Sie kurz, in welchen Systemen Kunden- und Beschäftigtendaten liegen. Sie erhalten eine erste Einschätzung der Schwachstellen, die wir in vergleichbaren Betrieben am häufigsten sehen.
Ihre Anfrage ist eingegangen
Sie hören spätestens am nächsten Werktag von uns. Haben Sie einen Ausfall gemeldet, der Ihr Team gerade blockiert, kümmern wir uns zuerst darum.
Diese Stadt ist nicht in der Liste. Prüfen Sie die Schreibweise oder wählen Sie die nächstgelegene Landeshauptstadt: Da wir alles per Fernwartung erledigen, ist die Betreuung in jedem Bundesland gleich.
