Datenschutz & Informationsschutz
Personenbezogene und schutzwürdige Informationen mit klaren Regeln, wirksamen Kontrollen und einem betreibbaren Modell schützen.
Datenschutz beantwortet vor allem, ob und unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen. Informationsschutz sorgt dafür, dass Daten – personenbezogen oder geschäftskritisch – angemessen klassifiziert, zugänglich, geschützt und verfügbar bleiben. Beides trifft sich in Datenflüssen, Zugriffsrechten, technischen und organisatorischen Maßnahmen (TOMs) sowie nachvollziehbaren Betriebsprozessen.
Abgrenzung zu Leistungen und Technologien
Der Schwerpunkt liegt auf Schutzbedarf, Kontrollzielen und Nachweisen. Konkrete Microsoft-Technologien und ihre Einführung sind im Technologie-Kontext und bei IT-Security & Compliance beschrieben.
Ausgangslage
Daten liegen heute in Fachanwendungen, E-Mail, Kollaboration und Cloud-Diensten. Ohne gemeinsames Bild von Datenarten, Verantwortlichkeiten und Schutzbedarf entstehen Freigaben auf Zuruf, unklare Ablagen und schwer prüfbare Ausnahmen. Reine Richtlinien lösen das nicht; ebenso wenig ersetzt ein Produkt die fachliche Entscheidung über Zweck, Rechtsgrundlage oder Schutzbedarf.
Fachliche Einordnung
Die DSGVO ist der datenschutzrechtliche Rahmen für personenbezogene Daten. Informationsschutz betrachtet zusätzlich Vertraulichkeit, Integrität und Verfügbarkeit aller relevanten Informationen. TOMs verbinden beide Perspektiven: Sie übersetzen Risiken in organisatorische und technische Schutzmaßnahmen. Die konkrete IT- und Cloud-Praxis behandelt DSGVO in IT und Cloud; die Systematik der technischen und organisatorischen Maßnahmen und Datenklassifizierung & Purview sind eigene Vertiefungen.
Typische Einstiegsfragen
Welche Cloud-Verarbeitungen, Dienstleister und Datenflüsse sind zu klären?
Passende Vertiefung: DSGVO in IT und Cloud
Wie werden TOMs risikoorientiert belegt und geprüft?
Passende Vertiefung: Technische und organisatorische Maßnahmen
Wie lassen sich Daten klassifizieren und in Microsoft 365 schützen?
Passende Vertiefung: Datenklassifizierung und Microsoft Purview
Was Unternehmen konkret klären müssen
- Welche Daten, Verarbeitungen und Informationswerte besonders schutzbedürftig sind.
- Wer Daten verantwortet, klassifiziert, freigibt und Ausnahmen entscheidet.
- Welche Zugriffe erforderlich sind und wie sie regelmäßig überprüft werden.
- Wie Aufbewahrung, Löschung, Weitergabe und Wiederherstellung praktisch umgesetzt werden.
- Welche Protokolle, Konfigurationen und Prozesse die Maßnahmen belegen.
Von der Anforderung zur Umsetzung
Schutzbedarf
Risiko: falsche Behandlung von Daten
Organisatorische Maßnahme: Klassifikationsmodell und Eigentümer
Technische Umsetzung: Labels und passende Schutzregeln
Möglicher Nachweis: Datenklassifikation, Freigaben
Zugriff
Risiko: unberechtigte Einsicht
Organisatorische Maßnahme: Rollen- und Rezertifizierungsprozess
Technische Umsetzung: starke Anmeldung, bedarfsgerechte Berechtigungen
Möglicher Nachweis: Zugriffsreviews, Protokolle
Datenweitergabe
Risiko: Datenabfluss
Organisatorische Maßnahme: Regeln für interne und externe Freigabe
Technische Umsetzung: DLP- und Freigabekontrollen
Möglicher Nachweis: Richtlinien, Ereignisberichte
Verfügbarkeit
Risiko: Datenverlust oder Ausfall
Organisatorische Maßnahme: Wiederanlauf- und Prüfprozesse
Technische Umsetzung: Backup, Wiederherstellung, Monitoring
Möglicher Nachweis: Test- und Betriebsnachweise
Grenzen und Abhängigkeiten
ADIUMENTO leistet keine Datenschutzrechtsberatung und bewertet keine Rechtsgrundlagen oder Einzelfälle verbindlich. Solche Fragen klären zuständige Datenschutzbeauftragte und Rechtsberatungen. Die technische Umsetzung setzt belastbare Datenverantwortung, Prozesse und die Mitwirkung der Fachbereiche voraus.
Orientierung
Häufige Fragen
Reicht Microsoft Purview für Datenschutz?
Purview kann Informationsschutz- und Compliance-Funktionen unterstützen. Es ersetzt weder die datenschutzrechtliche Bewertung noch ein Klassifikationsmodell, klare Rollen und kontinuierliche Pflege.
Welche Maßnahme hat zuerst Priorität?
Oft zuerst Transparenz: relevante Datenflüsse, Schutzbedarf und Zugriffe. Erst damit lassen sich technische Kontrollen sinnvoll auswählen und priorisieren.
Nächster sinnvoller Schritt
Starten Sie eine gemeinsame technische Bestandsaufnahme mit Datenschutzverantwortlichen: Daten, Zugriffe, Schutzbedarf und offene Kontrollfragen für einen abgegrenzten Bereich erfassen. Den passenden Umsetzungsrahmen bietet IT-Security & Compliance.