In verwaltungsnahen Betrieben laufen alle personenbezogenen Daten des Unternehmens zusammen: Beschäftigtendaten, Bewerbungen, Kundenakten, Lohnabrechnungen, Korrespondenz. Das macht die Datenschutzorganisation nicht komplizierter als anderswo – aber sie muss sitzen, weil bei einem Vorfall gleich mehrere Personengruppen betroffen sind.
Die Punkte, an denen es in Verwaltungsbetrieben mit rund 30 Beschäftigten regelmäßig hakt.
Personalakten, Krankmeldungen, Lohnabrechnungen, Zeiterfassung. Wer hat Zugriff, wie lange wird aufbewahrt, was passiert nach dem Austritt?
Abgelehnte Bewerbungen dürfen nur wenige Monate aufbewahrt werden. In der Praxis liegen sie oft jahrelang im Postfach der Personalabteilung.
Gewachsene Berechtigungen sind der Klassiker: Wer einmal Zugriff bekam, behält ihn – auch nach dem Abteilungswechsel.
Private Endgeräte, Papierakten in der Wohnung, Videokonferenzen mit Personalbezug. Braucht eine schriftliche Regelung, keine mündliche Absprache.
Lohnbüro, Steuerberater, Cloud-Speicher, Dokumentenmanagement, Aktenvernichter – jeder braucht einen AVV nach Art. 28 DSGVO.
Zehn Jahre für Buchungsbelege, sechs für Lohnunterlagen, wenige Monate für Bewerbungen. Ein Löschkonzept bringt Ordnung in diese Fristen.
Verwaltungsnahe Betriebe sind am Niederrhein stark vertreten – in Mönchengladbach und Krefeld ebenso wie im Gewerbegebiet Mackenstein in Viersen. Was sie gemeinsam haben: Die Datenschutzorganisation ist über Jahre gewachsen, ohne dass sie jemand einmal systematisch geordnet hätte.
Genau da fange ich an – mit einer Aufnahme der tatsächlichen Prozesse statt mit Vorlagen aus dem Internet.
Kein langer Vorlauf, kein Overhead. Sie benennen mich – und wir starten sofort strukturiert.
30 Minuten – persönlich, telefonisch oder per Video. Wir klären Betroffenheit, Umfang und Budget.
Formale Bestellung nach Art. 37 DSGVO, Meldung an die Aufsichtsbehörde. Ab sofort rechtssicher.
VVT, AVV, TOMs, Datenschutzhinweise. Parallel die NIS-2-Betroffenheitsanalyse mit Maßnahmenplan.
Monatspauschale, Quartalsberichte, jährliches internes Audit, jährliche Schulung, NIS-2-Review.
Mit hoher Wahrscheinlichkeit ja. § 38 BDSG greift ab 20 Personen, die ständig mit automatisierter Datenverarbeitung befasst sind. In einem Verwaltungsbetrieb erfüllt das praktisch jeder Arbeitsplatz mit Rechnerzugang – Teilzeitkräfte eingeschlossen.
Ja, das ist der Regelfall. Was intern bleiben muss, ist eine benannte Kontaktperson, die Fragen kanalisiert und mir Zugang zu Auskünften verschafft – erfahrungsgemäß eine bis zwei Stunden pro Monat.
Die Dokumentation überlappt erheblich: Risikoanalyse, Zugriffskonzepte, Schulungen und Vorfallbehandlung werden von beiden Regelwerken gefordert. Wenn beides in einer Hand liegt, wird jedes Dokument einmal erstellt und für beide Zwecke verwendet.
Ja, mindestens ein internes Audit pro Jahr mit Ergebnisprotokoll. Bei Verwaltungsbetrieben ist der Vor-Ort-Termin besonders aufschlussreich, weil sich viel an Aktenaufbewahrung, Bildschirmsituation und Druckerbereichen zeigt.
Genau dafür ist das Full-Service-Paket gemacht. Sprechen wir 30 Minuten darüber.