DSGVO Für IT-Teams und MSPs: Was Sie wissen und tun müssen

DSGVO Die Durchsetzung ist kein theoretisches Risiko mehr. Allein im Jahr 2025 verhängten die europäischen Datenschutzbehörden Geldbußen in Höhe von mehr als 1,2 Milliarden Euro, wobei die häufigste Kategorie von Verstößen in unzureichenden technischen und organisatorischen Sicherheitsmaßnahmen bestand – genau das, was Artikel 32 der Verordnung von IT-Teams und MSPs verlangt. Die kumulierte Gesamtsumme der Geldbußen seit 2018 hat laut einer Anfang 2026 veröffentlichten Analyse des „ DSGVO Enforcement Tracker“ inzwischen 7,1 Milliarden Euro überschritten.

Für IT-Fachleute und MSPs, die Kunden in der EU oder im Vereinigten Königreich betreuen, ist „ DSGVO “ eine betriebliche Anforderung, die fest im IT-Management verankert ist und nicht lediglich eine rechtliche oder Compliance-Aufgabe darstellt. Die Plattform von Kaseya wird weltweit von mehr als 50.000 MSPs und IT-Teams genutzt, von denen viele genau diese Verpflichtungen für mehrere Kunden gleichzeitig erfüllen müssen. Der vorliegende Leitfaden stützt sich auf diese umfassende operative Erfahrung und behandelt die Aspekte, die in der Praxis tatsächlich von Bedeutung sind.

Dieser Leitfaden befasst sich mit den technischen und organisatorischen Sicherheitsanforderungen, den Meldepflichten bei Datenschutzverletzungen sowie den Rollen bei der Datenverarbeitung, die „ DSGVO “ zu einem echten Thema im IT-Management machen.

Dokumentieren Sie die Einhaltung der „ DSGVO “-Vorgaben bei jedem Kunden.

Compliance Manager GRC Umfasst ein „ DSGVO “-Framework mit Kontrollzuordnung, automatisierter Erfassung von Nachweisen und auditfähiger Dokumentation, um MSPs dabei zu unterstützen, die Einhaltung der Sicherheitsanforderungen gemäß Artikel 32 und darüber hinaus nachzuweisen.

Entdecken Compliance Manager GRC

Was „ DSGVO “ ist und für wen es gilt

Die Datenschutz-Grundverordnung (EU 2016/679) regelt, wie personenbezogene Daten von Personen in der EU und im Europäischen Wirtschaftsraum (EWR) erhoben, verarbeitet, gespeichert und übermittelt werden. Das britische Gesetz „ DSGVO “, das nach dem Brexit beibehalten und angepasst wurde, sieht für die Datenverarbeitung im Vereinigten Königreich nahezu gleichwertige Anforderungen vor, wobei die ICO als Aufsichtsbehörde fungiert.

Der Begriff „personenbezogene Daten“ im Sinne der Datenschutz-Grundverordnung ( DSGVO ) ist weiter gefasst, als die meisten IT-Teams zunächst annehmen. IP-Adressen, Gerätekennungen, E-Mail-Adressen und technische Protokolle können allesamt personenbezogene Daten darstellen, wenn sie einer bestimmten Person zugeordnet werden können. Die Verordnung gilt für alle Vorgänge, die mit diesen Daten durchgeführt werden, einschließlich der Erhebung, Speicherung, Abfrage, Nutzung, Übermittlung und Löschung.

DSGVO gilt für Organisationen mit Sitz in der EU/im EWR, unabhängig davon, wo sich die betroffenen Personen befinden, sowie für Organisationen außerhalb der EU/des EWR, die Waren oder Dienstleistungen für Personen in der EU/im EWR anbieten oder deren Verhalten überwachen. Es gibt keine Mindestgrößengrenze. Ein Ein-Personen-Unternehmen, das personenbezogene Daten von Personen aus der EU verarbeitet, unterliegt denselben Verpflichtungen wie ein multinationales Unternehmen.

Für B2B-Technologieunternehmen, SaaS-Anbieter und MSPs mit Kunden in der EU oder im Vereinigten Königreich gilt mit ziemlicher Sicherheit die Verordnung „ DSGVO “.

Artikel 32: Die IT-Sicherheitsanforderung im Mittelpunkt von DSGVO

In Artikel 32 wird „ DSGVO “ zu einer Anforderung an das IT-Management. Er schreibt vor, dass Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen ergreifen müssen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Die Verordnung nennt vier Kategorien von Maßnahmen:

Pseudonymisierung und Verschlüsselung. Personenbezogene Daten sollten sowohl im Ruhezustand als auch während der Übertragung geschützt werden. Die praktische Umsetzung erfolgt durch Verschlüsselung am Endpunkt und auf Backup-Ebene in Kombination mit Zugriffskontrollen, die einschränken, wer unverschlüsselte Daten einsehen darf.

Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit. Verarbeitungssysteme müssen in der Lage sein, diese Eigenschaften dauerhaft aufrechtzuerhalten. Dies lässt sich in Bezug auf Vertraulichkeit und Integrität direkt auf Endpoint Detection and Response (EDR) und in Bezug auf Verfügbarkeit und Ausfallsicherheit auf Backup und Disaster Recovery übertragen. Dabei handelt es sich nicht um separate Sicherheitsprodukte, die einem „ DSGVO “-Compliance-Programm nachträglich hinzugefügt werden. Sie sind das „ DSGVO “-Compliance-Programm.

Zeitnahe Wiederherstellung der Verfügbarkeit. Nach einem physischen oder technischen Vorfall müssen Organisationen in der Lage sein, den Zugriff auf personenbezogene Daten zeitnah wiederherzustellen. Das Wiederherstellungszeitziel (Recovery Time Objective, RTO) ist eine Anforderung der „ DSGVO “, nicht nur eine betriebliche Präferenz. Ein MSP, der Kundendaten verwaltet und keine schnelle, getestete Wiederherstellung aus dem Backup nachweisen kann, erfüllt die Anforderungen von Artikel 32 nicht.

Regelmäßige Tests und Bewertungen. Die Wirksamkeit von Sicherheitsmaßnahmen muss regelmäßig getestet, beurteilt und bewertet werden. Die Einhaltung von Vorschriften ist kein einmaliger Vorgang. Sie erfordert eine kontinuierliche Bewertung, dokumentierte Nachweise sowie einen Prozess zur Ermittlung und Behebung von Lücken.

Die Geldbuße aus dem Jahr 2025 gegen die Advanced Computer Software Group, einen IT-Dienstleister, der von der britischen Datenschutzbehörde ICO wegen Sicherheitsmängeln, die zu Störungen der NHS-Dienste führten, mit einer Geldbuße in Höhe von 3,07 Millionen Pfund belegt wurde, war die erste Geldbuße der ICO, die direkt gegen einen Auftragsverarbeiter und nicht gegen einen Verantwortlichen verhängt wurde. Die ICO stellte fest, dass das Unternehmen es versäumt hatte, angemessene technische Maßnahmen gemäß Artikel 32 umzusetzen, und verwies dabei auf konkrete Mängel bei der Einführung der Multi-Faktor-Authentifizierung (MFA), bei Schwachstellenscans und beim Patch-Management. Dies ist kein abstraktes Risiko für MSPs. Es schafft einen klaren Präzedenzfall, wonach IT-Dienstleister direkt für Sicherheitsmängel in den von ihnen verwalteten Systemen haftbar gemacht werden können.

Eine praktische Herangehensweise an die Verpflichtungen gemäß Artikel 32: Wenn Sie einem Prüfer heute nicht anhand dokumentierter Nachweise nachweisen könnten, dass auf allen Endgeräten, auf denen personenbezogene Daten verarbeitet werden, eine Verschlüsselung aktiv ist, dass Tests zur Überprüfung der Datensicherung durchgeführt und bestanden wurden und dass Verfahren zur Reaktion auf Vorfälle getestet wurden, liegt bei Ihnen eine Lücke hinsichtlich Artikel 32 vor.

Meldung von Datenschutzverletzungen: die 72-Stunden-Regel

Gemäß Artikel 33 sind die für die Verarbeitung Verantwortlichen verpflichtet, ihre Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für betroffene Personen. Die Aufsichtsbehörde im Vereinigten Königreich ist das ICO. In den EU-Mitgliedstaaten ist dies die jeweilige nationale Datenschutzbehörde.

Die 72-Stunden-Frist beginnt, sobald die Organisation mit hinreichender Sicherheit davon ausgehen kann, dass durch einen Sicherheitsvorfall personenbezogene Daten kompromittiert wurden. Dies ist nicht der Zeitpunkt, an dem die Untersuchung abgeschlossen ist, sondern der Zeitpunkt, an dem die Erkenntnis besteht, dass personenbezogene Daten möglicherweise betroffen sind. Die „ DSGVO “ erlaubt ausdrücklich eine stufenweise Benachrichtigung: eine erste Benachrichtigung mit den derzeit bekannten Informationen, gefolgt von Aktualisierungen, sobald die Untersuchung weitere Details zutage fördert.

Artikel 34 führt eine gesonderte Verpflichtung ein, betroffene Personen direkt zu benachrichtigen, wenn eine Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt. Gesundheitsdaten, Finanzdaten, Ausweisdokumente und Daten über Kinder sind Kategorien, bei denen diese Schwelle häufig erreicht wird.

Die operativen Konsequenzen für IT-Teams und MSPs liegen auf der Hand: Eine Erkennungsfähigkeit, die schnell genug ist, um einen Vorfall innerhalb weniger Stunden nach seinem Auftreten zu identifizieren und zu bestätigen, ist eine Anforderung der „ DSGVO “. Alarmmüdigkeit, langsame Eskalationswege und unklare Verfahren zur Reaktion auf Vorfälle führen zu Verstößen gegen die 72-Stunden-Frist. Ein gut geführter Prozess zur Reaktion auf Sicherheitsvorfälle geht davon aus, dass die Frist mit der Erkennung beginnt und nicht erst mit dem Abschluss der Untersuchung.

Auftragsverarbeiter haben eine parallele Verpflichtung. MSPs, die als Auftragsverarbeiter fungieren, müssen den Verantwortlichen unverzüglich benachrichtigen, sobald sie von einer Datenschutzverletzung Kenntnis erlangen. Der Verantwortliche benachrichtigt daraufhin die Aufsichtsbehörde innerhalb der 72-Stunden-Frist. Wenn ein MSP an einem Freitagabend eine Datenschutzverletzung entdeckt, die Kundendaten betrifft, und den Kunden erst am Montagmorgen benachrichtigt, kann diese Verzögerung dazu führen, dass der Verantwortliche die gesetzliche Frist versäumt.

Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen

Artikel 25 schreibt vor, dass Datenschutzmaßnahmen von Anfang an in die Systeme integriert werden müssen und nicht erst nach deren Inbetriebnahme nachgerüstet werden dürfen.

„Datenschutz durch Technikgestaltung“ bedeutet, dass bei der Beschaffung, Konfiguration oder Entwicklung von Systemen Datenschutzanforderungen Teil der technischen Spezifikation sind. Zugriffskontrollen, Verschlüsselung und Datenminimierung sind architektonische Entscheidungen und keine nachträglichen Ergänzungen. Für IT-Teams, die neue Tools evaluieren, ist eine Datenschutz-Folgenabschätzung Teil des Prozesses und keine nachträgliche Maßnahme.

„Datenschutz von Haus aus “ bedeutet, dass die Standardeinstellungen die Option darstellen müssen, die den besten Schutz der Privatsphäre bietet. Wenn ein System weniger Daten erfassen, weniger Daten weitergeben oder weniger Zugriff gewähren kann, muss die Standardeinstellung den Datenschutz priorisieren. Nutzer sollten eine umfassendere Datenerfassung aktiv aktivieren müssen, anstatt sich davon abmelden zu müssen.

Vor der Verarbeitung von Daten, die voraussichtlich mit einem hohen Risiko verbunden ist – darunter automatisierte Entscheidungsfindung, systematische Überwachung in großem Umfang, die Verarbeitung sensibler Datenkategorien in großem Umfang sowie Verhaltensanalysen –, sind Datenschutz-Folgenabschätzungen (DPIAs) erforderlich. Für IT-Teams gehören dazu unter anderem KI-basierte Überwachungstools, Plattformen zur Analyse des Nutzerverhaltens und biometrische Zugangssysteme. Eine DPIA ist für diese Kategorien nicht optional, sondern eine gesetzliche Voraussetzung.

DSGVO Für MSPs: Verantwortlicher vs. Auftragsverarbeiter

Das Verständnis der Rollen von „ DSGVO “ ist einer der praktisch wichtigsten Aspekte für MSPs.

Ein Verantwortlicher legt die Zwecke und Mittel der Verarbeitung personenbezogener Daten fest. Der Kunde des MSP ist in der Regel der Verantwortliche für die Daten seiner Kunden, die Daten seiner Mitarbeiter sowie für alle personenbezogenen Daten, die im Rahmen seiner Geschäftstätigkeit verarbeitet werden.

Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Ein MSP, der IT-Systeme verwaltet, die personenbezogene Daten enthalten, E-Mail-Dienste bereitstellt, Daten hostet oder Backup- und Wiederherstellungsdienste für Kundenumgebungen erbringt, fungiert in den meisten Fällen als Auftragsverarbeiter für die Daten dieses Kunden.

Zu den Pflichten des Auftragsverarbeiters gemäß DSGVO gehören:

• Verarbeitung ausschließlich auf der Grundlage dokumentierter Anweisungen des Verantwortlichen
• Umsetzung geeigneter technischer und organisatorischer Sicherheitsmaßnahmen (Artikel 32)
• Unverzügliche Benachrichtigung des Verantwortlichen, sobald eine Datenschutzverletzung bekannt wird
• Löschung oder Rückgabe aller personenbezogenen Daten bei Beendigung des Dienstleistungsvertrags
• Unterstützung und Mitwirkung bei Prüfungen durch den Verantwortlichen

Ein einzelner MSP kann für bestimmte Daten (seine eigenen Mitarbeiterdaten, seine eigenen Daten zur Kundenbeziehung) als Verantwortlicher und für andere Daten (personenbezogene Daten von Kunden, die er im Rahmen der Erbringung von Dienstleistungen verwaltet) als Auftragsverarbeiter fungieren. Beide Verpflichtungen gelten gleichzeitig.

Unterauftragsverarbeiter stellen eine weitere Ebene dar. Wenn ein MSP bei der Erbringung von IT-Dienstleistungen für Kunden Cloud-Anbieter, Backup-Anbieter oder andere Dienste in Anspruch nimmt, können diese Dritten zu Unterauftragsverarbeitern der personenbezogenen Daten des Kunden werden. Vereinbarungen mit Unterauftragsverarbeitern müssen dem Verantwortlichen offengelegt und von diesem genehmigt werden. Unterauftragsverarbeiter müssen Sicherheitsstandards erfüllen, die denen des Hauptauftragsverarbeiters gleichwertig sind.

Datenschutzvereinbarungen: Was MSPs unbedingt benötigen

Eine Datenverarbeitungsvereinbarung (DPA) ist ein gesetzlich vorgeschriebener Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Jeder MSP, der personenbezogene Daten für Kunden aus der EU oder dem Vereinigten Königreich verarbeitet, muss mit jedem dieser Kunden eine DPA abgeschlossen haben. Dies ist weder optional noch eine geschäftliche Höflichkeitsgeste. Es handelt sich um eine Anforderung der „ DSGVO “ gemäß Artikel 28.

Eine DPA muss mindestens folgende Punkte abdecken:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten und Kategorien der betroffenen Personen
• Die dokumentierten Anweisungen des Verantwortlichen an den Auftragsverarbeiter
• Die Sicherheitsmaßnahmen, die der Auftragsverarbeiter umsetzen wird (Verpflichtungen gemäß Artikel 32)
• Das Verfahren zur Meldung von Datenschutzverletzungen durch den Auftragsverarbeiter an den Verantwortlichen
• Vereinbarungen mit Unterauftragsverarbeitern und die Anforderung eines gleichwertigen Schutzes
• Pflichten des Auftragsverarbeiters bei Vertragsende: Löschung oder Rückgabe der Daten
• Prüfungsrechte des Verantwortlichen

Für einen MSP, der mehrere Kunden betreut, ist die Überprüfung und Bereitstellung standardisierter DPA-Bedingungen eine geschäftliche Grundvoraussetzung und kein administrativer Aufwand. MSPs ohne bestehende DPAs erfüllen als Auftragsverarbeiter die gesetzlichen Anforderungen nicht, unabhängig davon, wie gut ihre Sicherheitslage technisch gesehen ist. Anhand der DPA beurteilen Kunden zudem die Sicherheitspraktiken des MSP, bevor sie Kunde werden. Für mittelständische und große Unternehmenskunden mit eigenen Programmen zur „ DSGVO “ wird eine klare und gut formulierte DPA zunehmend zur Vertragsbedingung.

Compliance Manager GRC Unterstützt die Bewertung der Einhaltung der „ DSGVO “-Vorschriften sowie die Dokumentation der Nachweise für alle Kontrollen gemäß Artikel 32 und bietet MSPs damit eine strukturierte Möglichkeit, die von ihren Datenschutzbehörden geforderten Sicherheitsmaßnahmen nachzuweisen und aufrechtzuerhalten. Erfahren Sie, wie das Tool Compliance-Programme unterstützt.

Durchsetzung und ihre Auswirkungen auf IT-Anbieter

DSGVODie Sanktionsregelung der DSGVO ist allgemein bekannt. Bei schwerwiegenden Verstößen betragen die Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Bei Verfahrensmängeln, darunter unzureichende Sicherheitsmaßnahmen und versäumte Meldungen von Datenschutzverletzungen, betragen die Bußgelder bis zu 10 Millionen Euro oder 2 %.

Die Realität bei der Durchsetzung im Jahr 2025 und 2026 sieht so aus, dass Sicherheitsmängel gemäß Artikel 32 die häufigste Ursache für Bußgelder sind – gemessen an der Anzahl der Fälle, nicht nur an den Schlagzeilen, die durch Strafen gegen große Technologieunternehmen gemacht werden. Die französische Datenschutzbehörde CNIL verhängte im Januar 2026 gegen Free Mobile eine Geldbuße in Höhe von 27 Millionen Euro wegen unzureichender Sicherheitsmaßnahmen nach einer Datenpanne. Die britische Datenschutzbehörde ICO verhängte im März 2025 gegen die Advanced Computer Software Group eine Geldbuße in Höhe von 3,07 Millionen Pfund wegen derselben Verstöße gegen Artikel 32, darunter Lücken bei der Multi-Faktor-Authentifizierung (MFA), beim Schwachstellenscanning und beim Patch-Management. Spanien und Italien haben konsequent Geldbußen gegen Gesundheitsdienstleister, Finanzdienstleister und regionale Dienstleistungsunternehmen verhängt.

Die Aufsichtsbehörden haben zudem bestätigt, dass sich die Durchsetzungsmaßnahmen nicht auf große Organisationen beschränken. Eine Analyse der Daten aus dem „Enforcement Tracker“ zeigt, dass ein erheblicher Anteil aller verhängten Geldbußen regionale Dienstleister, kleine SaaS-Unternehmen und lokale Behörden betrifft. Die Strafen fallen zwar proportional geringer aus, sind aber dennoch Strafen.

Für MSPs bedeutet dies im Hinblick auf die Durchsetzung drei konkrete Risiken: direkte Haftung als Auftragsverarbeiter für Sicherheitsmängel gemäß Artikel 32, Haftung gegenüber Kunden für Verzögerungen bei der Meldung von Datenschutzverletzungen, die dazu führen, dass der Verantwortliche die 72-Stunden-Frist versäumt, sowie geschäftliche Risiken aufgrund des völligen Fehlens von Datenschutzvereinbarungen.

DSGVO Die Einhaltung der Vorschriften ist zudem nicht nur eine regulatorische, sondern auch eine geschäftliche Anforderung. Mittelständische und Großunternehmen mit Niederlassungen in der EU oder im Vereinigten Königreich verlangen im Rahmen der Lieferantenbewertung und bei Vertragsverlängerungen regelmäßig Nachweise über die Einhaltung der Vorschriften gemäß „ DSGVO “. Ein MSP, der keine dokumentierten Sicherheitsmaßnahmen, erprobte Verfahren zur Reaktion auf Vorfälle und eine unterzeichnete Datenverarbeitungsvereinbarung (DPA) vorweisen kann, ist in diesem Marktsegment nicht wettbewerbsfähig.

Einen tieferen Einblick in den Zusammenhang zwischen den Anforderungen an die Datenverwaltung und den Vorschriften des „ DSGVO “, HIPAA sowie den anderen Rahmenwerken, an denen sich MSPs im Auftrag ihrer Kunden orientieren, finden Sie in unserem Leitfaden zur Datenverwaltung für IT-Teams und MSPs.

Die wichtigsten Erkenntnisse

• Artikel 32 schreibt Verschlüsselung, Verfügbarkeit, Ausfallsicherheit und regelmäßige Sicherheitstests ausdrücklich vor. Dabei handelt es sich um Anforderungen an das IT-Management, nicht um gesetzliche Vorgaben. Die Tools, die diese Anforderungen erfüllen – EDR, Backup und Wiederherstellung sowie Endpunktmanagement – bilden das „ DSGVO “-Compliance-Programm.
• Die 72-Stunden-Meldepflicht bei Datenschutzverletzungen erfordert Erkennungsfähigkeiten, die schnell genug sind, um meldepflichtige Vorfälle innerhalb von Stunden und nicht erst nach Tagen zu identifizieren. Auftragsverarbeiter müssen die für die Verarbeitung Verantwortlichen unverzüglich benachrichtigen, und diese Verzögerung wird auf die 72-Stunden-Frist des für die Verarbeitung Verantwortlichen angerechnet.
• MSPs, die als Auftragsverarbeiter tätig sind, müssen mit allen Kunden aus der EU bzw. dem Vereinigten Königreich Datenverarbeitungsvereinbarungen abgeschlossen haben. Ohne eine solche Vereinbarung verstößt der MSP als Auftragsverarbeiter gegen die Vorschriften, unabhängig von seinem technischen Sicherheitsniveau.
• „Datenschutz durch Technikgestaltung“ bedeutet, dass Datenschutzmaßnahmen bereits in die Systemarchitektur und die Beschaffung integriert sind und nicht erst nachträglich hinzugefügt werden. Die Standardeinstellungen müssen den Datenschutz begünstigen. Datenschutz-Folgenabschätzungen sind eine gesetzliche Voraussetzung für Verarbeitungsvorgänge mit hohem Risiko.
• DSGVO Die Durchsetzung von Rechtsvorschriften gegenüber IT-Anbietern ist Realität. Die vom ICO im März 2025 gegen die Advanced Computer Software Group verhängte Geldbuße wegen Verstößen gegen Artikel 32 – darunter fehlende Multi-Faktor-Authentifizierung (MFA) und unzureichendes Patch-Management – stellt einen direkten Präzedenzfall für die Haftung von MSPs dar.