DSGVO in der Betriebssoftware — die vier Stellen, an denen es konkret wird

Datenschutz hat in vielen Betrieben ein Papierproblem: Es gibt ein Verzeichnis von Verarbeitungstätigkeiten, es gibt Verträge zur Auftragsverarbeitung, es gibt eine Schulung — und daneben läuft die tatsächliche Arbeit in Werkzeugen, die von alldem nichts wissen.

Die Lücke zwischen Papier und Praxis lässt sich an vier Fragen festmachen. Sie sind unspektakulär, und genau deshalb werden sie übersprungen.

1. Wer darf was sehen?

Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) klingt abstrakt, wird aber sehr konkret, sobald jemand fragt, warum die Aushilfe im Lager die Krankmeldungen der Kollegen einsehen kann.

In der Praxis ist das fast nie eine Absicht, sondern eine Folge des Werkzeugs: Ein Ordner kennt nur „Zugriff" und „kein Zugriff". Eine Tabelle kennt nicht einmal das. Wer Personaldaten so führt, hat keine feine Zugriffssteuerung, sondern die grobmöglichste.

An diesem Raster fällt zweierlei auf. Erstens ist die häufigste sinnvolle Antwort nicht „alles" und nicht „nichts", sondern „nur der eigene Ausschnitt" — und genau diesen mittleren Zustand kann ein Ordner nicht abbilden. Zweitens ist die Zeile, die in der Praxis am häufigsten falsch steht, nicht die der Leitung, sondern die der Schichtleitung: Sie braucht die Zeiten ihres Teams und eben nicht deren Krankmeldungen.

Deshalb sind bei uns Rechte kein nachträglicher Aufsatz, sondern Teil jedes Moduls. Rollen & Rechte legt fest, wer welchen Bereich überhaupt sieht — die Lagerkraft das Lager, nicht die Löhne. Der Personalstamm und der Klientenstamm tragen die sensibelsten Daten und sind entsprechend eng geführt. Das ist keine Einstellung, die man vergessen kann, weil es die Voreinstellung ist.

2. Wer hat was geändert?

Die DSGVO verlangt Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f) und in Art. 32 geeignete technische Maßnahmen. In der Praxis heißt das vor allem: Änderungen an personenbezogenen Daten müssen nachvollziehbar sein.

Das ist keine Formalie. Wenn eine Krankmeldung verschwindet, ein Zeiteintrag sich ändert oder ein Vermerk in einer Personalakte auftaucht, ist die Frage „wer war das?" der Unterschied zwischen einem klärbaren Vorgang und einem Verdacht, der im Raum stehen bleibt. Ein Protokoll ist damit weniger ein Kontrollinstrument als ein Schutz — auch für die Beschäftigten.

Ein Protokoll hat allerdings selbst eine Datenschutzseite: Es ist eine Verarbeitung personenbezogener Daten. Es soll festhalten, wer welchen Datensatz geändert hat — nicht, wer wann wie lange am Bildschirm saß. Der Unterschied zwischen Nachvollziehbarkeit und Verhaltenskontrolle liegt genau hier, und er ist auch der Punkt, an dem ein Betriebsrat berechtigt hinsieht.

3. Was wird wann gelöscht?

Die unbequemste der vier Fragen, weil sie der Sammel-Reflex ist, mit dem die meisten Systeme gebaut sind: alles behalten, könnte man ja brauchen.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e) heißt das Gegenteil — personenbezogene Daten dürfen nur so lange identifizierbar vorliegen, wie es der Zweck erfordert. Dem stehen echte Aufbewahrungspflichten gegenüber, etwa aus HGB und AO. Beides gilt gleichzeitig, und deshalb ist „wir behalten alles" genauso falsch wie „wir löschen alles nach zwei Jahren".

Praktisch brauchst du eine Aussage pro Datenart. Die folgende Tabelle ist keine Rechtsauskunft, sondern die Sortierung, mit der man das Gespräch führen kann:

Datenart	Zweck	Grobe Orientierung	Wo es klemmt
Bewerbungsunterlagen	Auswahlverfahren	Kurz nach Abschluss des Verfahrens, sofern keine Einwilligung für einen Pool vorliegt	Lebensläufe im Postfach und auf einem Laufwerk, nie zusammen gelöscht
Arbeitszeitaufzeichnungen	Nachweis nach ArbZG / ArbSchG	Mehrjährig, Frist ist Teil der geplanten Novelle	Werden gelöscht, sobald der Lohn abgerechnet ist
Lohn- und Steuerunterlagen	Handels- und steuerrechtliche Pflicht	Langfristig nach HGB/AO	Selten das Problem — hier wird eher zu viel als zu wenig behalten
Kundenkontakte ohne Vertrag	Anbahnung	Löschen, sobald die Anbahnung erkennbar beendet ist	Bleiben ewig im CRM, weil „man ja nochmal anrufen könnte"
Bewegungsdaten aus Touren	Abwicklung des Auftrags	Nach Abschluss und Reklamationsfrist	Werden mit der Auftragsakte verwechselt und mitarchiviert
Videoaufnahmen, Zutrittsdaten	Sicherheit	Sehr kurz, oft Tage	Niemand weiß, wer das System eigentlich betreut

Wer die Dokumente und Vorgänge im selben System führt, kann die Frage überhaupt beantworten; wer sie über Ordner, Postfächer und einen Laptop verteilt hat, kann es nicht — unabhängig davon, was im Verzeichnis steht.

4. Wo liegen die Daten, und wer kommt dran?

Die Frage nach dem Hosting ist berechtigt, wird aber oft zu kurz gestellt. „Server in Deutschland" ist eine Angabe zum Ort, nicht zur Trennung.

Zwei Betriebe können auf demselben Server liegen und in derselben Datenbank stehen, unterschieden nur durch eine Kundennummer in einer Spalte. Das ist der verbreitete Aufbau, und er ist genau so sicher wie der Filter in der Abfrage, die gerade jemand geschrieben hat.

Wir gehen den anderen Weg: eine eigene Datenbank pro Kunde. Ein Fehler in einer Abfrage kann keine fremden Daten zeigen, weil in dieser Datenbank keine fremden Daten liegen. Das ist teurer im Betrieb — Migrationen müssen über viele getrennte Datenbanken zuverlässig laufen — und es ist die Voraussetzung dafür, dass „deine Daten gehören dir" mehr als ein Satz ist. Beim Hosting hast du die Wahl, bis hin zum Betrieb im eigenen Haus, wenn regulatorische Gründe das verlangen.

Dazu gehört die Papierseite, die wir nicht wegdiskutieren: Als Anbieter sind wir dein Auftragsverarbeiter, ein Vertrag nach Art. 28 DSGVO gehört dazu, und was wir selbst verarbeiten, steht in unserer Datenschutzerklärung.

Was passiert, wenn jemand fragt

Die vier Fragen wirken theoretisch, bis eine Auskunftsanfrage nach Art. 15 DSGVO im Postfach liegt — oft von einer Person, die gerade gekündigt hat. Dann wird binnen eines Monats verlangt, was viele Betriebe gar nicht zusammentragen können: welche Daten zu dieser Person vorliegen, woher sie stammen, wer sie bekommen hat, wie lange sie bleiben.

Ein System, in dem eine Person ein Datensatz mit Verknüpfungen ist, beantwortet das in Minuten. Eine Ablage aus Ordnern, Postfächern und Tabellen beantwortet es gar nicht — man kann nur beteuern, alles gefunden zu haben.

Die Reihenfolge

Wenn du nur eine dieser vier Fragen angehen kannst, nimm die erste. Zugriffsrechte sind die einzige der vier, die heute wirkt und nicht erst im Ernstfall: Was jemand nie sehen konnte, kann er nicht ausleiten, nicht versehentlich weitergeben und nicht in einer Auskunftsanfrage erklären müssen.

Die zweite Frage — die Spur bei Änderungen — ist die, die am billigsten mitkommt: Sie ist entweder Teil des Systems oder gar nicht nachrüstbar. Die dritte und vierte sind Entscheidungen, keine Funktionen; sie brauchen ein Gespräch, keinen Einkauf.

---

Stand: August 2026. Dieser Beitrag ordnet die Praxis ein und ist keine Rechtsberatung. Für dein Verzeichnis, deine Löschfristen und deine Auftragsverarbeitungsverträge ist eine datenschutzrechtliche Prüfung im Einzelfall nötig.