DSGVO IT-Teams und MSPs: Was Sie wissen und tun müssen

DSGVO ist kein theoretisches Risiko mehr. Allein im Jahr 2025 verhängten die europäischen Datenschutzbehörden Bußgelder in Höhe von mehr als 1,2 Milliarden Euro, wobei die häufigste Kategorie von Verstößen unzureichende technische und organisatorische Sicherheitsmaßnahmen waren – genau das, was Artikel 32 der Verordnung von IT-Teams und MSPs verlangt. Die kumulierte Gesamtsumme der Bußgelder seit 2018 hat laut einer Anfang 2026 veröffentlichten Analyse des DSGVO Trackers mittlerweile 7,1 Milliarden Euro überschritten.

Für IT-Fachleute und MSPs, die Kunden in der EU oder im Vereinigten Königreich betreuen, DSGVO eine betriebliche Anforderung, die fest im IT-Management verankert ist und nicht nur eine rein rechtliche oder Compliance-bezogene Aufgabe darstellt. Die Plattform von Kaseya wird weltweit von mehr als 50.000 MSPs und IT-Teams genutzt, von denen viele genau diese Verpflichtungen für mehrere Kunden gleichzeitig bewältigen müssen. Dieser Leitfaden stützt sich auf diese betriebliche Expertise und behandelt die Aspekte, die in der Praxis tatsächlich von Bedeutung sind.

Dieser Leitfaden befasst sich mit den technischen und organisatorischen Sicherheitsanforderungen, den Meldepflichten bei Datenschutzverletzungen sowie den Rollen bei der Datenverarbeitung, die DSGVO zu DSGVO echten Thema für das IT-Management machen.

Was DSGVO und für wen sie gilt

Die Datenschutz-Grundverordnung (EU 2016/679) regelt, wie personenbezogene Daten von Personen in der EU und im Europäischen Wirtschaftsraum (EWR) erhoben, verarbeitet, gespeichert und übermittelt werden. Die britische DSGVO, die nach dem Brexit beibehalten und angepasst wurde, sieht für die Datenverarbeitung im Vereinigten Königreich nahezu gleichwertige Anforderungen vor, wobei die ICO als Aufsichtsbehörde fungiert.

Der Begriff „personenbezogene Daten“ im Sinne DSGVO weiter gefasst, als die meisten IT-Teams zunächst annehmen. IP-Adressen, Gerätekennungen, E-Mail-Adressen und technische Protokolle können alle als personenbezogene Daten gelten, wenn sie einer bestimmten Person zugeordnet werden können. Die Verordnung gilt für alle Vorgänge, die mit diesen Daten durchgeführt werden, einschließlich Erhebung, Speicherung, Abruf, Nutzung, Übermittlung und Löschung.

DSGVO für Organisationen mit Sitz in der EU/im EWR, unabhängig davon, wo sich die betroffenen Personen befinden, sowie für Organisationen außerhalb der EU/des EWR, die Waren oder Dienstleistungen an Personen in der EU/im EWR anbieten oder deren Verhalten überwachen. Es gibt keine Mindestgröße. Ein Ein-Personen-Unternehmen, das personenbezogene Daten von Personen in der EU verarbeitet, unterliegt denselben Verpflichtungen wie ein multinationales Unternehmen.

Für B2B-Technologieunternehmen, SaaS-Anbieter und MSPs mit Kunden in der EU oder im Vereinigten Königreich gilt DSGVO Sicherheit DSGVO .

Artikel 32: Die Anforderung an die IT-Sicherheit als Kernstück der DSGVO

In Artikel 32 DSGVO einer Anforderung an das IT-Management. Er schreibt vor, dass Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen müssen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Die Verordnung nennt vier Kategorien von Maßnahmen:

Pseudonymisierung und Verschlüsselung. Personenbezogene Daten sollten sowohl im Ruhezustand als auch während der Übertragung geschützt werden. Die praktische Umsetzung erfolgt durch Verschlüsselung am Endgerät und auf Backup-Ebene in Verbindung mit Zugriffskontrollen, die regeln, wer unverschlüsselte Daten einsehen darf.

Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit. Verarbeitungssysteme müssen in der Lage sein, diese Eigenschaften dauerhaft zu gewährleisten. Dies lässt sich in Bezug auf Vertraulichkeit und Integrität direkt auf die Endpoint Detection and Response (EDR) und in Bezug auf Verfügbarkeit und Ausfallsicherheit auf Backup und Disaster Recovery übertragen. Dabei handelt es sich nicht um separate Sicherheitsprodukte, die einem DSGVO angefügt werden. Sie sind das DSGVO .

Zeitnahe Wiederherstellung der Verfügbarkeit. Nach einem physischen oder technischen Vorfall müssen Unternehmen in der Lage sein, den Zugriff auf personenbezogene Daten zeitnah wiederherzustellen. Das Wiederherstellungszeitziel (Recovery Time Objective, RTO) ist eine DSGVO und nicht nur eine betriebliche Präferenz. Ein MSP, der Kundendaten verwaltet und keine schnelle, erprobte Wiederherstellung aus dem Backup nachweisen kann, erfüllt die Anforderungen von Artikel 32 nicht.

Regelmäßige Tests und Bewertungen. Die Wirksamkeit von Sicherheitsmaßnahmen muss regelmäßig getestet, beurteilt und bewertet werden. Compliance ist kein einmaliger Vorgang. Sie erfordert eine kontinuierliche Bewertung, dokumentierte Nachweise sowie einen Prozess zur Erkennung und Behebung von Schwachstellen.

Die Geldbuße aus dem Jahr 2025 gegen die Advanced Computer Software Group, einen IT-Dienstleister, der von der britischen Datenschutzbehörde ICO wegen Sicherheitsmängeln, die zu Störungen der NHS-Dienste führten, mit einer Geldstrafe von 3,07 Millionen Pfund belegt wurde, war die erste Geldbuße der ICO, die direkt gegen einen Auftragsverarbeiter und nicht gegen einen Verantwortlichen verhängt wurde. Die ICO stellte fest, dass das Unternehmen es versäumt hatte, angemessene technische Maßnahmen gemäß Artikel 32 zu ergreifen, und verwies dabei auf konkrete Mängel bei der Implementierung von MFA, beim Schwachstellenscanning und beim Patch-Management. Dies ist kein abstraktes Risiko für MSPs. Es schafft einen klaren Präzedenzfall, dass IT-Dienstleister direkt für Sicherheitsmängel in den von ihnen verwalteten Systemen haftbar gemacht werden können.

Eine praktische Herangehensweise an die Verpflichtungen gemäß Artikel 32: Wenn Sie einem Prüfer heute nicht anhand von Belegen nachweisen könnten, dass auf allen Endgeräten, die personenbezogene Daten verarbeiten, eine Verschlüsselung aktiv ist, dass Tests zur Überprüfung der Datensicherung durchgeführt und bestanden wurden und dass die Verfahren zur Reaktion auf Vorfälle getestet wurden, dann besteht bei Ihnen eine Lücke hinsichtlich Artikel 32.

Meldung von Datenschutzverletzungen: die 72-Stunden-Regel

Artikel 33 verpflichtet die für die Verarbeitung Verantwortlichen, ihre Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für betroffene Personen. Die Aufsichtsbehörde im Vereinigten Königreich ist das ICO. In den EU-Mitgliedstaaten ist dies die zuständige nationale Datenschutzbehörde.

Die 72-Stunden-Frist beginnt, sobald die Organisation mit hinreichender Sicherheit davon ausgehen kann, dass bei einem Sicherheitsvorfall personenbezogene Daten kompromittiert wurden. Dies ist nicht der Zeitpunkt, an dem die Untersuchung abgeschlossen ist, sondern der Zeitpunkt, an dem bekannt wird, dass personenbezogene Daten möglicherweise betroffen sind. DSGVO erlaubt DSGVO eine stufenweise Benachrichtigung: eine erste Benachrichtigung mit den derzeit bekannten Informationen, gefolgt von Aktualisierungen, sobald die Untersuchung weitere Details zutage fördert.

Artikel 34 führt eine gesonderte Verpflichtung ein, betroffene Personen unmittelbar zu benachrichtigen, wenn eine Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt. Gesundheitsdaten, Finanzdaten, Ausweisdaten und Daten über Kinder sind Kategorien, bei denen diese Schwelle häufig erreicht wird.

Die praktischen Konsequenzen für IT-Teams und MSPs liegen auf der Hand: Die Fähigkeit, Sicherheitsverletzungen so schnell zu erkennen, dass ein Vorfall innerhalb weniger Stunden nach seinem Auftreten identifiziert und bestätigt werden kann, ist eine DSGVO . Alarmmüdigkeit, langsame Eskalationswege und unklare Verfahren zur Reaktion auf Vorfälle führen zu Verstößen gegen die 72-Stunden-Frist. Ein gut funktionierender Prozess zur Reaktion auf Sicherheitsvorfälle geht davon aus, dass die Frist mit der Erkennung beginnt und nicht erst mit dem Abschluss der Untersuchung.

Auftragsverarbeiter haben eine entsprechende Verpflichtung. MSPs, die als Auftragsverarbeiter tätig sind, müssen den Verantwortlichen unverzüglich benachrichtigen, sobald sie von einer Datenschutzverletzung Kenntnis erlangen. Der Verantwortliche benachrichtigt daraufhin die Aufsichtsbehörde innerhalb der 72-Stunden-Frist. Stellt ein MSP an einem Freitagabend eine Datenschutzverletzung fest, die Kundendaten betrifft, und benachrichtigt den Kunden erst am Montagmorgen, kann diese Verzögerung dazu führen, dass der Verantwortliche die gesetzliche Frist versäumt.

Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen

Artikel 25 schreibt vor, dass Datenschutzmaßnahmen von Anfang an in die Systeme integriert werden müssen und nicht erst nach deren Inbetriebnahme nachgerüstet werden dürfen.

„Datenschutz durch Technikgestaltung“ bedeutet, dass bei der Beschaffung, Konfiguration oder Entwicklung von Systemen Datenschutzanforderungen Teil der technischen Spezifikation sind. Zugriffskontrollen, Verschlüsselung und Datenminimierung sind architektonische Entscheidungen und keine nachträglichen Ergänzungen. Für IT-Teams, die neue Tools evaluieren, ist eine Datenschutz-Folgenabschätzung Teil des Prozesses und keine nachträgliche Maßnahme.

„Datenschutz durch Voreinstellungen“ bedeutet, dass die Standardeinstellungen die Option darstellen müssen, die den besten Datenschutz bietet. Wenn ein System weniger Daten erfassen, weniger Daten weitergeben oder weniger Zugriff gewähren kann, muss die Standardeinstellung den Datenschutz priorisieren. Die Nutzer sollten eine umfassendere Datenerfassung aktiv aktivieren müssen, anstatt sich davon abmelden zu müssen.

Vor der Verarbeitung von Daten, die voraussichtlich mit einem hohen Risiko verbunden ist – darunter automatisierte Entscheidungsfindung, systematische Überwachung in großem Umfang, die Verarbeitung sensibler Datenkategorien in großem Umfang sowie Verhaltensanalysen –, sind Datenschutz-Folgenabschätzungen (DPIA) erforderlich. Für IT-Teams gehören dazu unter anderem KI-basierte Überwachungstools, Plattformen zur Analyse des Nutzerverhaltens und biometrische Zugangssysteme. Eine DPIA ist für diese Kategorien nicht optional, sondern eine gesetzliche Voraussetzung.

DSGVO MSPs: Verantwortlicher vs. Auftragsverarbeiter

Das Verständnis DSGVO ist einer der praktisch wichtigsten Aspekte für MSPs.

Der für die Datenverarbeitung Verantwortliche legt die Zwecke und Mittel der Verarbeitung personenbezogener Daten fest. Der Kunde des MSP ist in der Regel der für die Daten seiner Kunden, seiner Mitarbeiter sowie aller im Rahmen seiner Geschäftstätigkeit verarbeiteten personenbezogenen Daten Verantwortliche.

Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Ein MSP, der IT-Systeme mit personenbezogenen Daten verwaltet, E-Mail-Dienste bereitstellt, Daten hostet oder Backup- und Wiederherstellungsdienste für Kundenumgebungen erbringt, fungiert in den meisten Fällen als Auftragsverarbeiter für die Daten dieses Kunden.

DSGVO den Pflichten des Auftragsverarbeiters gemäß DSGVO :

• Verarbeitung ausschließlich auf der Grundlage dokumentierter Anweisungen des Verantwortlichen
• Umsetzung geeigneter technischer und organisatorischer Sicherheitsmaßnahmen (Artikel 32)
• Der für die Verarbeitung Verantwortliche ist unverzüglich zu benachrichtigen, sobald eine Datenschutzverletzung bekannt wird
• Löschung oder Rückgabe aller personenbezogenen Daten bei Beendigung des Dienstleistungsvertrags
• Unterstützung und Mitwirkung bei Prüfungen durch den Verantwortlichen

Ein einzelner MSP kann für bestimmte Daten als Verantwortlicher (z. B. für seine eigenen Mitarbeiterdaten oder seine eigenen Kundenbeziehungsdaten) und für andere Daten als Auftragsverarbeiter (z. B. für personenbezogene Daten von Kunden, die er im Rahmen der Erbringung von Dienstleistungen verwaltet) fungieren. Beide Arten von Verpflichtungen gelten gleichzeitig.

Unterauftragsverarbeiter stellen eine weitere Ebene dar. Wenn ein MSP bei der Erbringung von IT-Dienstleistungen für Kunden Cloud-Anbieter, Backup-Anbieter oder andere Dienste in Anspruch nimmt, können diese Dritten zu Unterauftragsverarbeitern der personenbezogenen Daten des Kunden werden. Vereinbarungen mit Unterauftragsverarbeitern müssen dem Verantwortlichen offengelegt und von diesem genehmigt werden. Unterauftragsverarbeiter müssen Sicherheitsstandards erfüllen, die denen entsprechen, die vom Hauptauftragsverarbeiter verlangt werden.

Datenverarbeitungsvereinbarungen: Was MSPs unbedingt benötigen

Eine Datenverarbeitungsvereinbarung (DPA) ist ein gesetzlich vorgeschriebener Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Jeder MSP, der personenbezogene Daten für Kunden aus der EU oder dem Vereinigten Königreich verarbeitet, muss mit jedem dieser Kunden eine DPA abgeschlossen haben. Dies ist keine Option und auch keine geschäftliche Höflichkeit. Es handelt sich um eine DSGVO gemäß Artikel 28.

Eine DPA muss mindestens folgende Punkte abdecken:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Die Art der personenbezogenen Daten und die Kategorien der betroffenen Personen
• Die vom Verantwortlichen an den Auftragsverarbeiter erteilten dokumentierten Anweisungen
• Die Sicherheitsmaßnahmen, die der Auftragsverarbeiter umsetzen wird (Verpflichtungen gemäß Artikel 32)
• Das Verfahren zur Meldung von Datenschutzverletzungen durch den Auftragsverarbeiter an den Verantwortlichen
• Vereinbarungen mit Unterauftragsverarbeitern und das Erfordernis eines gleichwertigen Schutzes
• Verpflichtungen des Auftragsverarbeiters bei Vertragsende: Löschung oder Rückgabe der Daten
• Prüfungsrechte für den Verantwortlichen

Für einen MSP, der mehrere Kunden betreut, ist es eine geschäftliche Grundvoraussetzung – und kein administrativer Aufwand –, über geprüfte und einsatzbereite Standard-DPA-Klauseln zu verfügen. MSPs ohne bestehende DPAs erfüllen als Auftragsverarbeiter nicht die gesetzlichen Anforderungen, unabhängig davon, wie gut ihre Sicherheitslage technisch gesehen ist. Anhand der DPA beurteilen Kunden zudem die Sicherheitspraktiken des MSP, bevor sie Kunde werden. Für mittelständische und große Unternehmenskunden mit eigenen DSGVO wird eine klare und gut formulierte DPA zunehmend zu einer Vertragsbedingung.

Compliance Manager GRC die Bewertung DSGVO und die Dokumentation von Nachweisen für alle Kontrollmaßnahmen gemäß Artikel 32 und bietet MSPs damit eine strukturierte Möglichkeit, die Sicherheitsmaßnahmen nachzuweisen und aufrechtzuerhalten, zu denen sie sich gegenüber ihren Datenschutzbehörden verpflichtet haben. Erfahren Sie, wie das Tool Compliance-Programme unterstützt.

Durchsetzung und ihre Bedeutung für IT-Anbieter

Die Bußgeldregelung DSGVOist allgemein bekannt. Bei schwerwiegenden Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Bei Verfahrensmängeln, darunter unzureichende Sicherheitsmaßnahmen und versäumte Meldungen von Datenschutzverletzungen, drohen Bußgelder von bis zu 10 Millionen Euro oder 2 %.

Die Realität der Durchsetzung in den Jahren 2025 und 2026 sieht so aus, dass Sicherheitsmängel gemäß Artikel 32 die häufigste Ursache für Bußgelder sind, gemessen an der Anzahl der Fälle – und nicht nur aufgrund der Schlagzeilen, die durch Strafen gegen große Technologieunternehmen gemacht werden. Die französische Datenschutzbehörde CNIL verhängte im Januar 2026 gegen Free Mobile eine Geldbuße in Höhe von 27 Millionen Euro wegen unzureichender Sicherheitsmaßnahmen nach einer Datenpanne. Die britische Datenschutzbehörde ICO verhängte im März 2025 gegen die Advanced Computer Software Group eine Geldbuße in Höhe von 3,07 Millionen Pfund wegen derselben Verstöße gegen Artikel 32, darunter Lücken bei der Multi-Faktor-Authentifizierung, beim Schwachstellenscanning und beim Patch-Management. Spanien und Italien haben konsequent Geldbußen gegen Gesundheitsdienstleister, Finanzdienstleister und regionale Dienstleistungsunternehmen verhängt.

Die Aufsichtsbehörden haben zudem bestätigt, dass sich die Durchsetzungsmaßnahmen nicht auf große Unternehmen beschränken. Eine Analyse der Daten aus dem Durchsetzungs-Tracker zeigt, dass ein erheblicher Anteil aller verhängten Geldbußen regionale Dienstleister, kleine SaaS-Unternehmen und lokale Behörden betrifft. Die Strafen fallen zwar proportional geringer aus, aber es handelt sich dennoch um Strafen.

Für MSPs bedeutet dies im Hinblick auf die Durchsetzung drei konkrete Risiken: direkte Haftung als Auftragsverarbeiter für Sicherheitsmängel gemäß Artikel 32, Haftung gegenüber Kunden für Verzögerungen bei der Meldung von Datenschutzverletzungen, die dazu führen, dass der Verantwortliche die 72-Stunden-Frist verpasst, sowie geschäftliche Risiken aufgrund fehlender Datenschutzvereinbarungen.

DSGVO ist nicht nur eine regulatorische, sondern auch eine geschäftliche Anforderung. Mittelständische und große Unternehmen mit Niederlassungen in der EU oder im Vereinigten Königreich verlangen im Rahmen der Lieferantenbewertung und bei Vertragsverlängerungen regelmäßig Nachweise DSGVO . Ein MSP, der keine dokumentierten Sicherheitsmaßnahmen, erprobte Verfahren zur Reaktion auf Vorfälle und eine unterzeichnete Datenschutzvereinbarung vorweisen kann, ist in diesem Marktsegment nicht wettbewerbsfähig.

Wenn Sie mehr darüber erfahren möchten, wie die Anforderungen an die Datenverwaltung mit DSGVO, dem HIPAA und anderen Rahmenwerken zusammenhängen, mit denen sich MSPs für ihre Kunden auseinandersetzen müssen, lesen Sie unseren Leitfaden zur Datenverwaltung für IT-Teams und MSPs.