DSGVO-konforme IT-Betreuung: Was Art. 32 von der Infrastruktur verlangt

Viele Betriebe haben ein Verzeichnis der Verarbeitungstätigkeiten, eine Datenschutzerklärung und einen Ordner mit Richtlinien. Damit ist die DSGVO nicht erledigt. Art. 32 verlangt geeignete technische und organisatorische Maßnahmen, damit personenbezogene Daten vertraulich bleiben, nicht unbemerkt verändert werden und verfügbar sind, wenn sie gebraucht werden. Das Papier beschreibt den Anspruch. Die Infrastruktur muss ihn tragen.

DSGVO-konforme IT-Betreuung heißt für uns deshalb nicht, Formulare nachzupflegen. Sie heißt, den Betrieb so aufzusetzen, dass Vertraulichkeit, Integrität und Verfügbarkeit im Alltag halten und dass sich das auch belegen lässt.

Warum DSGVO-konforme IT-Betreuung an der Technik hängt

Art. 32 DSGVO schreibt kein bestimmtes Produkt vor. Er verlangt ein Schutzniveau, das zum Risiko passt. Stand der Technik, Kosten der Umsetzung und die Art der Daten spielen mit. Für ein kleines Unternehmen mit Kundendaten, Angeboten und Personalunterlagen ist das selten eine Frage von Zertifikaten an der Wand. Es ist die Frage, was passiert, wenn eine Platte stirbt, ein Angriff Dateien verschlüsselt oder niemand merkt, dass ein Dienst seit Stunden steht.

Fällt der Server aus und es gibt keine brauchbare Kopie, sind die Daten nicht verfügbar. Wird eine Sicherung nie zurückgespielt, wissen Sie nicht, ob sie im Ernstfall noch stimmt. Liegen die Systeme bei einem Betreiber, dessen Zugriff Sie nicht erklären können, wird Vertraulichkeit zur Hoffnung. Genau dort setzt Betreuung an: nicht erst, wenn ein Schreiben kommt, sondern im laufenden Betrieb.

Bei Handwerksbetrieben, Agenturen und Selbstständigen im Raum Ludwigsburg und Stuttgart ist das Muster oft ähnlich. Die Dokumentation existiert. Die Technik wurde irgendwann angeschafft und danach sich selbst überlassen. Art. 32 meint aber auch, die Wirksamkeit der Maßnahmen zu prüfen. Ein Ordner, den niemand gegen den laufenden Betrieb hält, prüft nichts.

Open Source und Standort: warum die Architektur die Maßnahme ist

Geeignete Maßnahmen fangen bei der Plattform an, auf der die Systeme laufen. Wir virtualisieren mit Proxmox VE. Nicht aus Gewohnheit, sondern weil die Gründe zur Aufgabe passen.

Der Code ist Open Source. Sie hängen nicht an einem Lizenzmodell mit Preissprüngen, wie sie bei proprietärer Virtualisierung, etwa VMware nach den Änderungen durch Broadcom, für viele Betriebe zum Problem geworden sind. Keine Lizenzfalle heißt planbare Kosten. Und planbare Kosten heißen: Die Sicherheitsmaßnahme bleibt bezahlbar, statt beim nächsten Vertragsjahr zusammengestrichen zu werden. Vendor-Lock-in ist dabei kein Schlagwort. Wer die Virtualisierung nicht mehr bezahlen oder nicht mehr verlassen kann, verliert die Kontrolle über die Systeme, auf denen die Daten liegen.

Offener Code ersetzt kein Sicherheitsaudit durch den Kunden. Die meisten Mittelständler lesen keine Hypervisor-Quellen, und das müssen sie auch nicht. Der Punkt ist ein anderer: Die Plattform verkauft den Einblick nicht als Extra, und Telemetrie ist nicht das Geschäftsmodell. Wir können nachvollziehen, was die Umgebung tut, und es ohne Herstellerfilter erklären.

Dazu kommt der Standort. Unsere Systeme laufen auf eigener Infrastruktur im Stuttgarter Rechenzentrum, die Daten bleiben in Deutschland. Das ist kein automatisches DSGVO-Siegel. Verarbeitet werden darf auch anderswo, wenn die Übermittlung rechtlich trägt. Für die Risikobetrachtung vieler KMU ist der Unterschied trotzdem praktisch: physische Nähe, deutsches Recht, ein Betreiber, den Sie kennen, statt einer anonymen Region eines US-Konzerns. Beim US Cloud Act geht es verkürzt darum, dass US-Anbieter unter Umständen Daten herausgeben müssen, auch wenn die Server in Europa stehen. Wer Betreiber und Standort selbst wählt, verkleinert dieses Risiko. Andere Pflichten bleiben trotzdem.

Technisch steckt in Proxmox VE, was der laufende Betrieb braucht: Cluster, Live-Migration, Hochverfügbarkeit, Snapshots und Replikation. Viele Wartungen lassen sich so fahren, ohne dass der Laden stehen muss. Replikation ist aber kein Backup. Sie kopiert auch den Fehler und im schlechten Fall die Verschlüsselung mit. Verfügbarkeit und Wiederherstellung sind zwei verschiedene Aufgaben. Wie wir das Hosting dazu aufsetzen, steht unter Server Hosting datenschutzkonform betreiben.

Ein Backup zählt erst nach dem Wiederherstellungstest

Art. 32 nennt ausdrücklich die Fähigkeit, Verfügbarkeit und Zugang bei einem technischen Zwischenfall rasch wiederherzustellen. Ein Backup-Job mit grünem Haken erfüllt das nicht. Er belegt nur, dass ein Programm etwas geschrieben hat. Ob die Sicherung lesbar, vollständig und aktuell genug ist, zeigt erst der Test.

Darum trennen wir „Sicherung vorhanden“ von „Wiederherstellung geprüft“. Technisch nutzen wir den Proxmox Backup Server: inkrementell, dedupliziert und verschlüsselt. Einzelne virtuelle Maschinen oder Dateien lassen sich gezielt zurückholen, nicht nur das ganze System als Block. Optional liegt eine Kopie auf Band, also offline und außerhalb der Reichweite eines Angriffs, der das Netz schon übernommen hat. Das ist der Gedanke hinter 3-2-1: mehr als eine Kopie, nicht alles auf demselben Medium, eine Fassung getrennt vom Tagesbetrieb. Das Gesetz schreibt dieses Schema nicht vor. Es ist die Art, wie wir Wiederherstellbarkeit belastbar machen.

Im Ernstfall zählt die Zeit. Eine saubere, geprüfte Sicherung bringt einen Betrieb oft in Minuten zurück, wo ein unsortierter Datenhaufen Tage kostet. Das ist keine Zusage für jeden Schadensfall. Verschlüsselte Anwendungen, fehlende Zugangsdaten oder ein Angriff, der auch die Anmeldung erwischt hat, brauchen länger. Wer das vorher geprobt hat, kennt wenigstens den Weg.

Typisch ist ein anderes Bild, ganz ohne böse Absicht. Die Sicherung lief lange, niemand hat sie je zurückgespielt. Am Tag, an dem sie gebraucht wird, fehlen Dateien, das Passwort zur Verschlüsselung liegt in einem alten Ticket, oder die Kopie hing im selben Netz und wurde mitverschlüsselt. Deshalb gehört der Restore-Test zur Maßnahme und nicht als Kür danach. Wie das mit dem Schutz vor Erpressung zusammenhängt, beschreiben wir unter Ransomware Schutz für Unternehmen wirksam umsetzen.

Monitoring, weil Stillstand zum Datenschutzrisiko wird

Verfügbarkeit klingt nach Komfort. Für personenbezogene Daten ist sie eine Schutzdimension. Solange das Warenwirtschaftssystem liegt, kann niemand eine Auskunft sauber beantworten, einen Vorgang korrigieren oder sagen, welcher Stand der richtige war. Je länger das dauert, desto eher wird mit alten Exporten, privaten Kopien oder ungesicherten Umwegen weitergearbeitet. Der Schaden ist dann nicht nur der Umsatzausfall.

Monitoring meint bei uns keine Ampel im Schrank, die niemand ansieht. Platten, Dienste, Speicher, Erreichbarkeit: Abweichungen sollen auffallen, bevor der Betrieb steht. Eine Platte, die Fehler häuft, ist ein anderes Problem als eine Platte, die schon tot ist. Proaktive Wartung ist deshalb eine technische Maßnahme im Sinn von Art. 32, kein netter Zusatz. Sie hält die Kontinuität, auf die Verfügbarkeit angewiesen ist. Ein Ausfall ist damit nicht automatisch ein Verstoß. Unbemerkter Stillstand macht es aber schwerer, das Schutzniveau zu halten, das Sie sich vorgenommen haben.

Reaktionszeit gehört dazu. Ein Alarm um zwei Uhr nachts hilft wenig, wenn ihn erst am Montag jemand liest und der Betrieb dazwischen improvisiert. Für Unternehmen ohne eigene IT-Abteilung zählt der Weg: Wer sieht den Alarm, wer darf eingreifen, wie kommt man an die letzte brauchbare Sicherung. Den größeren Bogen, Ausfälle seltener zu machen statt sie nur zu reparieren, beschreiben wir unter IT-Ausfälle vorbeugend reduzieren im Mittelstand.

Nachvollziehbare Betreuung statt Blackbox

Art. 32 verlangt Maßnahmen und eine Prüfung, ob sie wirken. Dafür müssen Sie die Entscheidungen verstehen. Jedes Logfile selbst auswerten müssen Sie nicht.

Warum Proxmox und nicht eine Lizenz, deren Preis sich nach der nächsten Übernahme neu rechnet. Warum das Stuttgarter Rechenzentrum und nicht eine Cloud-Region, die Sie nur als Kürzel kennen. Warum eine Rücksicherung geprobt wird, obwohl der Job doch jede Nacht durchläuft. Wenn sich das nicht erklären lässt, können Sie es auch nicht vertreten. Die Rechenschaft bleibt bei Ihnen.

Praktisch heißt das: Backup-Protokolle, Ergebnisse von Wiederherstellungstests, Hinweise aus dem Monitoring und kurze Wartungsnotizen müssen auffindbar sein. Nicht als Selbstzweck und nicht als Seiten, die niemand liest. Sondern so, dass Sie bei einer Frage der Geschäftsführung, eines Kunden oder im Zweifel einer Aufsicht sagen können, was läuft und wann es zuletzt geprüft wurde. Wir stellen das im laufenden Betrieb bereit, statt es erst auf Nachfrage zusammenzusuchen.

Wo Sie bei der eigenen Infrastruktur ansetzen

DSGVO-konforme IT-Betreuung ist kein Projekt mit Enddatum. Systeme ändern sich, Leute wechseln, Angriffe auch. Ein sinnvoller Anfang ist trotzdem konkret.

Lassen Sie die Richtlinie einen Moment liegen und stellen Sie drei Fragen an den Betrieb. Liegen die Systeme an einem Ort, den Sie rechtlich und praktisch erklären können? Können Sie eine einzelne Datei oder eine virtuelle Maschine aus einer Sicherung zurückholen, und wann wurde das zuletzt wirklich getan? Merkt jemand einen Ausfall, bevor die Mitarbeiter ihn merken?

Wenn eine Antwort wackelt, ist das kein Grund zur Panik und auch kein Beleg, dass schon ein Verstoß vorliegt. Art. 32 wägt Risiko und Aufwand ab. Es ist ein Grund, die technische Basis nachzuziehen, bevor ein Vorfall die Lücke teurer macht als die Maßnahme.

Wenn Sie unsicher sind, ob Ihre Umgebung das trägt, können Sie uns das sagen: Kostenlos anfragen. Wir gehen mit Ihnen die Infrastruktur durch und sagen offen, wo es hakt und wo es bereits reicht. Das ersetzt keine Rechtsberatung. Es zeigt, ob die Technik zu dem passt, was Sie organisatorisch bereits zugesichert haben.

Häufige Fragen

Was versteht man unter technischen Maßnahmen im Sinne der DSGVO?

Technische Maßnahmen nach Art. 32 DSGVO sind Vorkehrungen, die zum Risiko der Verarbeitung passen. Für den IT-Betrieb heißt das vor allem: Zugriff und Vertraulichkeit begrenzen, Veränderungen erkennen, Systeme verfügbar halten und nach einem Zwischenfall wiederherstellen können. Monitoring, Verschlüsselung der Sicherungen, eine nachvollziehbare Infrastruktur und Backups, deren Rückspielung geprüft ist, gehören dazu. Eine Richtlinie allein ist keine technische Maßnahme.

Warum ist Open Source für die DSGVO-Konformität vorteilhaft?

Open Source ist nicht automatisch datenschutzkonform, und proprietäre Software ist nicht automatisch ein Verstoß. Der Vorteil liegt in der Kontrolle. Bei Proxmox VE ist der Code offen, es drohen keine Lizenzsprünge wie bei manchen kommerziellen Virtualisierern, und Sie geraten weniger leicht in eine Abhängigkeit, die Sie sich später nicht mehr leisten können. Dazu betreiben wir die Umgebung selbst in Deutschland, ohne sie an einen US-Cloud-Betreiber zu binden, bei dem ausländisches Herausgaberecht mitspielen kann. Planbare Kosten helfen indirekt: Eine Maßnahme, die beim nächsten Preiswechsel gestrichen wird, schützt nicht dauerhaft.

Reicht ein einmaliges Backup für die DSGVO aus?

Nein. Art. 32 verlangt, dass Verfügbarkeit und Zugang nach einem Zwischenfall wiederhergestellt werden können. Eine einzelne, nie geprüfte Kopie belegt das nicht. Sinnvoll sind laufende Sicherungen, getrennte Kopien und Tests, bei denen wirklich Daten zurückgeholt werden. Bei uns laufen die Sicherungen über den Proxmox Backup Server, auf Wunsch mit Band als Offline-Kopie. Erst der Test zeigt, ob die Sicherung brauchbar ist.

Müssen alle Daten physisch in Deutschland liegen, um DSGVO-konform zu sein?

Nein. Die DSGVO verlangt nicht, dass jede Datei in Deutschland liegt. Übermittlungen in andere Länder sind unter Bedingungen zulässig, etwa bei einem angemessenen Schutzniveau oder geeigneten Garantien. Für viele KMU ist ein Standort in Deutschland trotzdem die klarere Risikowahl: deutsches Recht, kürzere Wege, ein Betreiber vor Ort. Unsere Systeme stehen im Stuttgarter Rechenzentrum, die Daten bleiben in Deutschland. Das nimmt andere Pflichten nicht ab, etwa Verträge zur Auftragsverarbeitung oder eine saubere Zugriffskontrolle.

Wie oft sollte die Wiederherstellung von Backups getestet werden?

Die DSGVO nennt kein festes Intervall. Entscheidend ist, dass die Wiederherstellung geprobt wird, bevor sie jemand im Ernstfall zum ersten Mal versucht. Den Takt setzen wir am Risiko an: Je sensibler die Daten und je abhängiger der Betrieb, desto enger. Die Tests gehören dokumentiert, sonst lässt sich die Wirksamkeit später nicht belegen. Ein fester Termin im Betrieb ist mehr wert als eine pauschale Zahl, die nach dem ersten ruhigen Quartal wieder einschläft.

Bildhinweis: KI-generiertes Symbolbild.