Die 5 Datenschutz-Mythen, die uns am häufigsten begegnen

Die 5 Datenschutz-Mythen, die uns am häufigsten begegnen

Seit über 18 Jahren beraten wir Unternehmen in Sachen Datenschutz und Informationssicherheit. In dieser Zeit sind uns bestimmte Aussagen so häufig begegnet, dass wir sie kaum noch zählen können. Es sind keine böswilligen Aussagen – sie entstehen meist aus Unsicherheit oder dem Wunsch, ein unbequemes Thema etwas weiter von sich zu schieben. Aber sie können teuer werden. Hier kommen die fünf häufigsten Datenschutz-Mythen – und was wirklich dahintersteckt.

10 Jahre ISO 27001: Warum yourIT seit 2016 zu den wenigen zertifizierten IT-Consulting-Teams in Deutschland gehört

Seit 2016 ist die yourIT GmbH durchgehend nach ISO/IEC 27001 zertifiziert – als eines der ersten IT-Dienstleister in Deutschland überhaupt. Zehn Jahre und mehrere Audits später ist eine eigene ISO-27001-Zertifizierung unter IT- und Compliance-Beratern noch immer die Ausnahme, nicht die Regel.

2016 - kurz nach Erhalt des ISO 27001 Zertifikats

Kurz & knapp: yourIT GmbH aus Balingen ist seit 2016 nach DIN EN ISO/IEC 27001 zertifiziert, zuletzt re-zertifiziert im Juni 2025 nach der aktuellen Fassung ISO/IEC 27001:2024 (gültig bis Juni 2028, Registrier-Nr. ISMS-DE-00865/01, DAkkS-akkreditiert). Damit zählt yourIT zu den wenigen Informationssicherheits- und Datenschutz-Beratungsunternehmen in Deutschland, die ihr eigenes Informationssicherheits-Managementsystem (ISMS) seit einem Jahrzehnt extern zertifizieren lassen.

Datenpanne gemeldet — und jetzt? Die 72-Stunden-Frist der DSGVO

Es ist Freitagabend. Ein Mitarbeitender meldet, dass er versehentlich eine E-Mail mit Kundendaten an den falschen Verteiler geschickt hat. Oder: Das Unternehmen stellt fest, dass ein Fremdsystem seit Wochen auf interne Daten zugreift. In beiden Fällen läuft ab diesem Moment die Uhr. 72 Stunden – nicht mehr.

Datenpanne gemeldet — und jetzt? Die 72-Stunden-Frist

Datenschutz in der Lieferkette: Wenn der Kunde Nachweise verlangt

Datenschutz in der Lieferkette: Wenn der Kunde Nachweise verlangt

Es beginnt oft mit einem schlichten Anhang zur Bestellung: ein Fragebogen, ein Audit-Formular oder eine Selbstauskunft zur Informationssicherheit. Immer mehr Großkunden verlangen von ihren Zulieferern und Dienstleistern den Nachweis, dass Datenschutz und Informationssicherheit im Unternehmen ernsthaft umgesetzt sind. Wer diesen Nachweis nicht liefern kann, riskiert – im schlimmsten Fall – den Auftrag.

Löschkonzept: Wie lange dürfen Sie Daten wirklich behalten?

Löschkonzept: Wie lange dürfen Sie Daten wirklich behalten?

„Wir behalten einfach alles – man weiß ja nie." Dieser Satz fällt in der Datenschutzberatung erschreckend häufig. Er klingt vorsichtig, ist aber aus datenschutzrechtlicher Sicht eines der größten Risiken, das ein Unternehmen eingehen kann. Denn die EU-DSGVO verlangt das Gegenteil: Daten dürfen nur so lange gespeichert werden, wie es einen klaren Zweck dafür gibt.

Mitarbeiter als Einfallstor: Warum Awareness kein Nice-to-have ist

Firewalls, Virenscanner, verschlüsselte Verbindungen – viele Unternehmen investieren erheblich in technische Schutzmaßnahmen. Und trotzdem gelingt es Angreifern immer wieder, in Unternehmenssysteme einzudringen. Der Grund ist selten ein Fehler in der Technik. Der Grund ist der Mensch.

Warum Awareness kein Nice- to- have ist

Auftragsverarbeitung (AVV): Der Vertrag, den fast jeder falsch macht

Wenn Unternehmen über DSGVO reden, fallen meist die großen Schlagworte: Datenschutzerklärung, Einwilligung, Verarbeitungsverzeichnis. Der Auftragsverarbeitungsvertrag – kurz AVV – landet dabei regelmäßig auf dem letzten Platz. Dabei ist er in der Prüfungspraxis einer der häufigsten Stolpersteine. Und er betrifft nicht nur die Endkunden. Gerade IT-Dienstleister und Systemhäuser sind gleich doppelt in der Pflicht.

Typische Lücken im AVV

Verarbeitungsverzeichnis nach Art. 30 EU-DSGVO: Warum die Behörde es zuerst sehen will

Auf den Punkt: Wer in den letzten Jahren mit einer Datenschutzbehörde zu tun hatte, kennt das Muster: Die erste Anfrage betrifft fast immer das Verarbeitungsverzeichnis. Wer es nicht vorlegen kann, hat den Termin schon halb verloren – wer ein veraltetes oder lückenhaftes Dokument schickt, oft auch. Aus 18 Jahren Beratungspraxis im Mittelstand ist es die häufigste vermeidbare Schwachstelle.

Verarbeitungsverzeichnis nach Art. 30 EU-DSGVO

Auf einen Blick

• Das Verarbeitungsverzeichnis (VVT) ist nach Art. 30 DSGVO Pflicht – in der Praxis für nahezu jedes Unternehmen, unabhängig von der Mitarbeiterzahl.
• Es ist das erste Dokument, das die Datenschutzbehörde bei einer Prüfung anfordert.
• Häufige Fehler in der Praxis: nie aktualisiert, unvollständig, ohne benannte Verantwortlichkeit.
• Empfehlung: VVT als lebendes Dokument führen – mindestens jährlich aktualisieren und bei jeder neuen Verarbeitung anfassen.
• Das Fehlen kann Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 Abs. 4 DSGVO).