DSGVO-konform“, Server in Europa, sichere Verschlüsselung: Viele Softwareanbieter werben offensiv mit Datenschutz. Doch Unternehmen sollten sich von solchen Versprechen nicht vorschnell überzeugen lassen. Denn bei der Toolauswahl können vermeintlich sichere Lösungen schnell zum Datenschutzrisiko werden. Sechs typische Warnsignale zeigen, wann genaueres Hinsehen gefragt ist.
Digitale Tools sind aus dem Unternehmensalltag nicht mehr wegzudenken. CRM, Buchhaltung, Videokonferenzen, Newsletter, Projektmanagement oder KI-Anwendungen sparen Zeit und automatisieren Prozesse. Gleichzeitig werden dabei häufig personenbezogene Daten von Kunden, Mitarbeitern oder Geschäftspartnern verarbeitet.
Genau deshalb sollte die Toolauswahl nicht allein nach Funktionsumfang, Bedienkomfort und Preis erfolgen.
Toolauswahl: „DSGVO-konform“ allein reicht nicht
Eine der größten Fallen sind pauschale Aussagen wie „100 Prozent DSGVO-konform“. Sie klingen beruhigend, sagen für sich genommen aber wenig darüber aus, ob ein Tool im konkreten Unternehmen datenschutzkonform eingesetzt werden kann.
Entscheidend ist vielmehr, wie und wo Daten verarbeitet werden, welche Dienstleister beteiligt sind und welche vertraglichen Regelungen bestehen.
Unternehmen sollten deshalb genauer hinschauen, bevor Mitarbeiter Daten in eine neue Anwendung übertragen.
Diese Warnsignale sollten Unternehmen kennen
Ein erstes Warnsignal kann ein fehlender oder unzureichender Auftragsverarbeitungsvertrag (AVV) sein. Ebenso kritisch sind Anbieter, die konkreten Datenschutzfragen ausweichen oder lediglich mit allgemeinen Sicherheitsversprechen antworten.
Auch beim Serverstandort lohnt sich ein zweiter Blick. Die Aussage „Server in Deutschland“ oder „Hosting in der EU“ beantwortet nicht automatisch alle datenschutzrechtlichen Fragen.
Ein weiteres Warnsignal: Das Tool verlangt deutlich mehr personenbezogene Daten, als für seinen eigentlichen Zweck erforderlich erscheinen.
Und schließlich sollten Unternehmen wissen, wer im Hintergrund mitarbeitet. Viele Anbieter setzen weitere Dienstleister und Unterauftragnehmer ein. Dadurch können Datenverarbeitungsketten entstehen, die auf den ersten Blick kaum sichtbar sind.
US-Anbieter trotz EU-Server? Genau hinschauen
Besonders schnell entstehen Missverständnisse bei internationalen Anbietern. Ein Serverstandort innerhalb der Europäischen Union bedeutet nicht automatisch, dass sämtliche datenschutzrechtlichen Fragen geklärt sind.
Bei der Toolauswahl zählt deshalb das Gesamtbild: Welche Daten werden verarbeitet? Wer kann darauf zugreifen? Welche Unterauftragnehmer sind eingebunden? Gibt es Drittlandtransfers? Und auf welcher rechtlichen und vertraglichen Grundlage erfolgt die Verarbeitung?
Der Sitz eines Unternehmens oder der Standort eines Servers ist dabei nur ein Teil der Prüfung.
Gute Toolauswahl beginnt vor der Installation
Statt Datenschutz erst dann zu prüfen, wenn ein Tool bereits im gesamten Unternehmen eingesetzt wird, sollte die Prüfung vor der Einführung stattfinden.
Dabei helfen einige zentrale Fragen:
- Gibt es einen erforderlichen und geeigneten AVV?
- Wo werden personenbezogene Daten verarbeitet?
- Welche Unterauftragnehmer sind beteiligt?
- Werden nur tatsächlich notwendige Daten erhoben?
- Sind Löschung und Datenexport möglich?
- Sind die Angaben des Anbieters nachvollziehbar und aktuell?
Wichtig ist außerdem, eingesetzte Lösungen nicht als dauerhaft „abgehakt“ zu betrachten. Anbieter verändern Funktionen, Vertragsbedingungen, Subdienstleister und technische Strukturen. Eine regelmäßige Überprüfung gehört deshalb zu einer verantwortungsvollen Toolauswahl dazu.
Fazit bei der Toolauswahl
Die entscheidende Erkenntnis: Nicht das überzeugendste Datenschutzversprechen macht ein Tool zur guten Wahl. Entscheidend ist, was hinter diesem Versprechen tatsächlich passiert.
Wer bei der Toolauswahl vorab die richtigen Fragen stellt, reduziert nicht nur Datenschutzrisiken. Unternehmen gewinnen auch mehr Kontrolle darüber, welchen Anbietern sie die Daten ihrer Kunden, Beschäftigten und Geschäftspartner tatsächlich anvertrauen.
Titelbild: ©CORIDAS GmbH
