DSGVO: Definition, Pflichten und Umsetzung im IT Service Management

Die Datenschutz-Grundverordnung (DSGVO) ist die Verordnung (EU) 2016/679, die seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten unmittelbar gilt und regelt, unter welchen Voraussetzungen Unternehmen und Behörden personenbezogene Daten verarbeiten dürfen und welche Rechte die betroffenen Personen haben. Personenbezogen sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, also auch eine Personalnummer, eine IP-Adresse oder ein Gerät, das einer bestimmten Mitarbeiterin zugeordnet ist.

Für die Unternehmens-IT ist die DSGVO vor allem eine Prozessfrage. Ein Ticketsystem enthält Namen, Telefonnummern, Gerätezuordnungen und oft Freitexte mit sensiblen Details. Auskunftsanträge, Datenpannen, Löschfristen und neue Dienstleister müssen in festen Abläufen bearbeitet werden, damit das Unternehmen Fristen hält und die Einhaltung nachweisen kann.

Das Wichtigste in Kürze

• Anwendungsbereich: Maßgeblich ist nicht die Staatsangehörigkeit, sondern eine Niederlassung in der EU oder das Angebot an Personen, die sich in der EU befinden (Art. 3).
• Kernpflichten: Rechtsgrundlage für jede Verarbeitung, Verzeichnis der Verarbeitungstätigkeiten, Verträge mit Auftragsverarbeitern, technische und organisatorische Maßnahmen, Nachweis nach dem Prinzip der Rechenschaftspflicht.
• Fristen: Anträge betroffener Personen innerhalb eines Monats beantworten, meldepflichtige Datenpannen möglichst binnen 72 Stunden an die Aufsichtsbehörde.
• Deutschland: Das BDSG ergänzt die Verordnung, etwa mit der Pflicht zum Datenschutzbeauftragten ab in der Regel 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind.

Stand: November 2026 · Fachlich abgeglichen mit dem Verordnungstext auf EUR-Lex, dem BDSG, den Leitlinien des Europäischen Datenschutzausschusses und dem BSI IT-Grundschutz (Quellen am Ende des Artikels). Dieser Artikel ersetzt keine Rechtsberatung.

Grundsätze, Rollen und Rechtsgrundlagen

Die DSGVO arbeitet mit wenigen Grundbegriffen, die in jedem IT-Projekt wiederkehren. Wer sie sauber trennt, kann die meisten Fragen im Betrieb einordnen, bevor die Rechtsabteilung eingeschaltet werden muss.

Die sieben Grundsätze aus Artikel 5

• Rechtmäßigkeit, Treu und Glauben, Transparenz: Jede Verarbeitung braucht eine Rechtsgrundlage und muss für die Person nachvollziehbar sein.
• Zweckbindung: Daten, die für den Support erhoben wurden, dürfen nicht ohne Weiteres für eine Leistungskontrolle genutzt werden.
• Datenminimierung: Ein Ticketformular fragt nur ab, was für die Bearbeitung nötig ist.
• Richtigkeit: Falsche Stammdaten werden berichtigt oder gelöscht.
• Speicherbegrenzung: Abgeschlossene Tickets mit Personenbezug werden nicht unbegrenzt aufbewahrt.
• Integrität und Vertraulichkeit: Schutz vor unbefugtem Zugriff, Verlust und Veränderung.
• Rechenschaftspflicht (Art. 5 Abs. 2): Das Unternehmen muss die Einhaltung nachweisen können. Dieser Grundsatz verlangt Dokumentation, nicht nur gute Absichten.

Verantwortlicher und Auftragsverarbeiter

Verantwortlich ist, wer über Zwecke und Mittel der Verarbeitung entscheidet, in der Regel das Unternehmen selbst. Ein Auftragsverarbeiter verarbeitet Daten nur auf dessen Weisung, etwa ein Rechenzentrum, ein SaaS-Anbieter oder ein Dienstleister für Fernwartung. Mit ihm ist ein Vertrag nach Art. 28 nötig, der unter anderem Weisungsbindung, Vertraulichkeit, Unterauftragsverarbeiter und die Löschung oder Rückgabe der Daten am Vertragsende regelt.

Rechtsgrundlagen in der IT

Art. 6 nennt sechs Rechtsgrundlagen. Im IT-Betrieb sind drei häufig: die Erfüllung eines Vertrags (etwa des Arbeits- oder Kundenvertrags), eine rechtliche Pflicht (etwa Aufbewahrungsfristen) und das berechtigte Interesse (etwa Protokolle zur Sicherheitsanalyse). Die Einwilligung spielt im Arbeitsverhältnis eine geringere Rolle, weil sie freiwillig sein muss und jederzeit widerrufen werden kann. Für Gesundheitsdaten und andere besondere Kategorien gilt zusätzlich Art. 9 mit engeren Voraussetzungen.

Wo personenbezogene Daten im ITSM stecken

• Tickets und E-Mail-Verläufe mit Name, Abteilung, Telefonnummer und Freitext
• Asset- und Konfigurationsdaten, sobald ein Gerät einer Person zugeordnet ist (siehe CMDB)
• Anmelde- und Zugriffsprotokolle, Chat- und Telefonie-Daten
• Auswertungen über Bearbeitungszeiten einzelner Agentinnen und Agenten

DSGVO und deutsches Recht: was wo geregelt ist

Die DSGVO gilt unmittelbar, lässt den Mitgliedstaaten aber in einzelnen Punkten Spielraum. Deutschland nutzt ihn vor allem im Bundesdatenschutzgesetz (BDSG). Für Cookies und ähnliche Technologien gilt zusätzlich das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG).

DSGVO und Informationssicherheit

Datenschutz und Informationssicherheit überschneiden sich, sind aber nicht dasselbe. Eine Zertifizierung nach ISO/IEC 27001 schützt Informationen aller Art, auch Konstruktionsdaten ohne Personenbezug. Die DSGVO fragt zusätzlich, ob eine Verarbeitung überhaupt erlaubt ist, wie lange sie dauern darf und welche Rechte die Person hat. Ein gutes Sicherheitsniveau trägt deshalb wesentlich zu Art. 32 bei, ersetzt aber weder Rechtsgrundlage noch Löschkonzept.

Der allgemeine Überblick über die Verordnung aus Compliance-Sicht steht im Glossarartikel DSGVO der Cloud & IT Services. Dieser Artikel konzentriert sich auf die Umsetzung im IT Service Management.

DSGVO-Pflichten als Serviceprozesse

Viele Pflichten der DSGVO haben dieselbe Form wie klassische ITSM-Aufgaben: Ein Ereignis tritt ein, eine Frist beginnt, mehrere Stellen müssen zuarbeiten, das Ergebnis wird dokumentiert. Wer sie im vorhandenen Servicemanagement abbildet, muss keine Parallelorganisation aufbauen.

Anträge betroffener Personen als Service Request

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21) beantwortet der Verantwortliche nach Art. 12 Abs. 3 unverzüglich, spätestens innerhalb eines Monats. Bei komplexen Fällen ist eine Verlängerung um zwei Monate möglich, die der Person innerhalb des ersten Monats mitgeteilt werden muss. Ein eigener Anfragetyp mit Frist, Identitätsprüfung, Aufgaben an die Systemverantwortlichen und einer Freigabe durch den Datenschutz macht diese Fristen steuerbar.

Datenpannen als Security Incident

Eine Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche nach Art. 33 unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die Aufsichtsbehörde. Die Meldung entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Unabhängig davon muss jede Panne dokumentiert werden (Art. 33 Abs. 5). Für den Incident-Prozess heißt das: Die Kategorie „Datenschutzvorfall“ hält fest, wann der Fall bekannt wurde, informiert den Datenschutz und hält Fakten, Bewertung und Maßnahmen im Ticket fest.

Angenommen, eine Mitarbeiterin der Lohnbuchhaltung schickt eine Gehaltsliste an einen falschen externen Empfänger und meldet das am Freitagnachmittag im Service Desk. Ohne festen Ablauf landet der Fall in der normalen Warteschlange. Mit einer eigenen Kategorie werden Datenschutz und IT-Sicherheit sofort benachrichtigt, und die Bewertung, ob gemeldet werden muss, beginnt noch am selben Tag.

Löschen und Aufbewahren

Das Recht auf Löschung (Art. 17) gilt nicht absolut: Gesetzliche Aufbewahrungspflichten gehen vor (Art. 17 Abs. 3). Ein Löschkonzept legt deshalb je Datenart fest, wie lange Tickets, Anhänge und Protokolle aufbewahrt werden und ob sie danach gelöscht oder anonymisiert werden. Diese Fristen gehören auch ins Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. f).

Neue Tools und Dienstleister über das Change Management

Ein neues SaaS-Werkzeug, ein Chatbot oder ein externer Supportpartner verändert die Datenverarbeitung. Im Change Management gehören deshalb drei Prüffragen zum Antrag: Gibt es einen Vertrag nach Art. 28? Muss das Verzeichnis ergänzt werden? Ist wegen eines voraussichtlich hohen Risikos eine Datenschutz-Folgenabschätzung nach Art. 35 nötig?

Service Requests ansehen

Datenschutz im Ticketsystem umsetzen

Art. 25 verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, Art. 32 ein dem Risiko angemessenes Schutzniveau. Für ein Ticketsystem lassen sich daraus konkrete Maßnahmen ableiten.

Technische und organisatorische Maßnahmen

1. Rollen und Berechtigungen: Der First Level sieht keine HR- oder Datenschutztickets. Sensible Kategorien liegen in eigenen Gruppen mit eng gefasstem Zugriff.
2. Formulare statt Freitext: Pflichtfelder fragen nur Nötiges ab. Ein Hinweis im Portal bittet, keine Gesundheitsdaten in die Beschreibung zu schreiben.
3. Anhänge begrenzen: Screenshots und Exporte enthalten oft mehr Daten als nötig. Für Anhänge gelten eigene Löschfristen.
4. Nachvollziehbarkeit: Änderungen an Tickets und Berechtigungen werden protokolliert, damit sich Zugriffe im Zweifel prüfen lassen.
5. Auswertungen: Reports über Bearbeitungszeiten werden auf Team- statt Personenebene erstellt, wenn kein bestimmter Zweck die Einzelauswertung rechtfertigt. Besteht ein Betriebsrat, hat er bei technischen Einrichtungen, die Verhalten oder Leistung überwachen sollen, ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG).
6. Verschlüsselung und Betrieb: Verschlüsselte Verbindungen, gehärtete Server, getestete Wiederherstellung (Art. 32 Abs. 1 lit. c) und eine regelmäßige Wirksamkeitsprüfung (lit. d).

Standard-Datenschutzmodell und IT-Grundschutz

Für eine systematische Umsetzung verweist der BSI-Baustein CON.2 „Datenschutz“ auf das Standard-Datenschutzmodell (SDM) der Datenschutzkonferenz. Es ordnet Maßnahmen sieben Gewährleistungszielen zu, darunter Datenminimierung, Transparenz und Intervenierbarkeit. Wer bereits nach IT-Grundschutz arbeitet, kann die Datenschutzmaßnahmen so in dieselbe Struktur einhängen.

Typische Fehler

• Supportzugänge externer Dienstleister ohne Vertrag nach Art. 28
• Tickets ohne Löschfrist, die nach Jahren noch Gesundheits- oder Gehaltsangaben enthalten
• Datenpannen, die als normale Störung bearbeitet werden, bis die 72 Stunden verstrichen sind
• Auskunftsanträge, die per E-Mail eingehen und in einem persönlichen Postfach liegen bleiben

Häufige Fragen zur DSGVO

Was ist die DSGVO einfach erklärt?

Die DSGVO ist eine EU-Verordnung, die seit dem 25. Mai 2018 gilt. Sie legt fest, wann Unternehmen und Behörden Daten über Menschen verarbeiten dürfen, wie sie diese Daten schützen müssen und welche Rechte die betroffenen Personen haben, etwa auf Auskunft und Löschung.

Für wen gilt die DSGVO?

Sie gilt für Verarbeitungen im Rahmen einer Niederlassung in der EU, unabhängig davon, wo die Server stehen. Unternehmen außerhalb der EU fallen darunter, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten. Auf die Staatsangehörigkeit kommt es nicht an.

Wie schnell muss eine Datenpanne gemeldet werden?

Unverzüglich und möglichst binnen 72 Stunden, nachdem der Verantwortliche davon erfahren hat, an die zuständige Aufsichtsbehörde. Die Meldung entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen.

Ab wann braucht ein Unternehmen einen Datenschutzbeauftragten?

Nach Art. 37 DSGVO immer bei Behörden und bei bestimmten Kerntätigkeiten, etwa der umfangreichen Verarbeitung von Gesundheitsdaten. In Deutschland zusätzlich nach § 38 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Wie lange dürfen Tickets mit personenbezogenen Daten gespeichert werden?

Die DSGVO nennt keine feste Frist. Tickets dürfen so lange gespeichert werden, wie es für ihren Zweck nötig ist oder eine gesetzliche Aufbewahrungspflicht besteht. Das Unternehmen legt die Fristen in einem Löschkonzept fest und löscht oder anonymisiert die Daten danach.

Wie unterstützt ky2help® bei der DSGVO?

ky2help^® bildet Serviceprozesse wie Auskunftsanträge oder die Bearbeitung von Datenschutzvorfällen als Workflow ab, mit rollen- und berechtigungsbasierten Zugriffen, automatischer Historisierung und integriertem Daten-Audit. Für die Rechtsgrundlagen, das Löschkonzept und die Meldung bleibt das Unternehmen als Verantwortlicher zuständig. Wie das aussehen kann, zeigen wir in einer Live-Demo.

Quellen und weiterführende Artikel

Quellen

• EUR-Lex: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung)
• Gesetze im Internet: § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
• Gesetze im Internet: § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen
• Europäischer Datenschutzausschuss: Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen
• Europäischer Datenschutzausschuss: Leitlinien 01/2022 zum Auskunftsrecht
• BSI: IT-Grundschutz-Baustein CON.2 Datenschutz (Edition 2023)
• BfDI: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

Weiterlesen im Glossar und in der Wissenswelt

• DSGVO im Glossar der Cloud & IT Services (Compliance-Überblick)
• ISO 27001 und Incident
• IT Service Management (ITSM) und CMDB
• ITIL Anforderungsmanagement (Service Requests)
• Cloud vs. On-Premises im ITSM