Datenschutz als Qualitätsfaktor statt als lästige Pflicht zu begreifen, ist nach Einschätzung von Dietmar Faude vor allem eine Frage des richtigen Zeitpunkts und der richtigen Fragen. Faude ist Geschäftsführer der SIDAPRON GmbH mit Sitz in Rimsting und begleitet Unternehmen als Datenschutz- und Compliance-Experte, von der Kfz-Werkstatt bis zu Unternehmen mit komplexen KI-Systemen. Im Interview mit der Redaktion von cyberschutzbetrieb.de erklärt er, warum die Frage „Ist das eigentlich datenschutzkonform?“ in Projekten oft zu spät gestellt wird, welche Stolperfallen KI-Systeme bei Datenflüssen mit sich bringen, was kleine inhabergeführte Unternehmen von größeren Konzernstrukturen unterscheidet und welche blinden Flecken er bei Audits immer wieder entdeckt.
Über den Interviewpartner
Dietmar Faude ist Geschäftsführer der SIDAPRON GmbH mit Sitz in Rimsting. Sein Beratungsschwerpunkt liegt auf Datenschutz und Compliance für Unternehmen jeder Größe, von Solo-Selbstständigen und kleinen inhabergeführten Betrieben bis zu Unternehmen mit komplexeren IT- und KI-Landschaften. Dabei versteht er Datenschutz explizit nicht isoliert, sondern als eng verzahnt mit IT-Sicherheit und Risikominimierung im Unternehmen insgesamt.
Das Interview
Du sagst, die Frage „Ist das eigentlich datenschutzkonform?“ kommt oft zu spät. Woran liegt das aus deiner Erfahrung, und wie bekommt man Datenschutz früher in Projekte hinein?
Dietmar Faude: Aus meiner Beobachtung heraus versuchen gerade junge Teams, Projekte mit einem schnellen Erfolg umzusetzen. Dagegen ist überhaupt nichts einzuwenden. Denn woher kommt dieses Bedürfnis: In sehr vielen vergangenen Projekten wurde ein Projekt-Management verwendet, welches erst viele und lange Besprechungen durchgeführt hatte, um möglichst alle Anforderungen und Rechts-Rahmen zu berücksichtigen. Leider führte dies nicht selten zu Projektabbrüchen.
Dennoch empfehle ich, von Anfang an einen Compliance- und Datenschutz-Experten in die Planung und Begleitung der Umsetzung einzubeziehen. Denn hier zeigt sich in der heutigen Praxis, dass viele solcher Ad-hoc-Projekte mehrfach aufgesetzt werden, weil elementare Anforderungen erst zu spät betrachtet und eingepflegt werden müssen. Somit steht die Anforderung aus der DSGVO als guter Rat im Raum: Bei Prozessänderungen, in denen personenbezogene Daten verarbeitet werden, muss vor der Umsetzung ein Datenschutzbeauftragter involviert werden.
Gerade bei KI-Systemen entstehen schnell Datenflüsse, die niemand so richtig auf dem Schirm hat. Was sind die größten Stolperfallen, die du in der Praxis siehst?
Dietmar Faude: Eine der größten Stolperfallen ist, dass individuelle Lösungen mal eben erstellt werden können. Erst vor kurzem hatte ich einen Neukunden, der bereits sehr viel Zeit in seine Idee gesteckt hatte, ein Second-Brain-System per KI zu erstellen. Bis er dann selbst gemerkt hatte, dass sein Gedanke „Das Risiko mit einer Datenübertragung in ein Drittland bewerte ich als gering“ bei seinen potenziellen Kunden nicht gut ankam und erstmal keine Aufträge zustande kamen.
Nachdem wir eine umfassende Analyse seiner Systeme getätigt hatten, war ein weiterer Entwicklungszyklus notwendig. Hier standen sechs Stunden Analyse gegenüber achtzehn Stunden weiterer Entwicklung. Und diese Nachentwicklungszeit hätte er sich eindeutig sparen können.
Viele Unternehmen empfinden Datenschutz als Bremse. Wie schaffst du es, ihn stattdessen als Qualitätsfaktor zu vermitteln?
Dietmar Faude: Die ganzen Vorgaben sollen nicht wegen der Rechtslage erfüllt werden, sondern sind sehr sinnvolle Fragen, um die Risiken im Unternehmen drastisch zu senken. Denn wer eine konkrete Handlungsempfehlung in der DSGVO sucht, wird eigentlich nicht fündig. Meine persönliche Auffassung ist immer: Dort wo personenbezogene Daten liegen, also Datenschutz, befinden sich auch unternehmenskritische Daten, und hier greifen eine Vielzahl vorhandener Gesetze bis hin zu NIS2. Somit lautet die Formel: Datenschutz und IT-Sicherheit greifen ineinander und sind Investitionen in die Zukunft und Sicherung des Unternehmens.
Was unterscheidet den Umgang mit Datenschutz bei kleinen, inhabergeführten Unternehmen von dem in größeren Konzernstrukturen?
Dietmar Faude: Einer der wesentlichen Unterschiede liegt nach meiner Beobachtung unter anderem in folgender, falscher Annahme: „Wenn ich keinen Datenschutzbeauftragten benötige, dann ist das Thema für mein Unternehmen erledigt.“ Doch das ist weit gefehlt. Denn jeder Verein, jeder Solo-Selbstständige und jedes noch so kleine Unternehmen, welches personenbezogene Daten regelmäßig verarbeitet, also faktisch jeder, muss Datenschutz organisieren und gewährleisten. Hinderlich ist hierbei, dass sich die Aufgabe dann meistens beim Verantwortlichen, also dem Inhaber, wiederfindet, der sowieso schon in Personalunion die unterschiedlichsten Aufgaben erfüllen muss.
Mittelständische Unternehmen sind da meistens offener und sehen auch die Chancen und Vorteile eines Datenschutz-Management-Systems. Die DSGVO unterscheidet im Wesentlichen nicht nach Unternehmensgröße, und doch kann ich aus der Praxis berichten: Ein kleines Unternehmen kann mit guter Unterstützung durchaus innerhalb zwei Wochen bei konstruktiver Arbeit ein solides Basis-Datenschutz-Management-System aufbauen. So hatte ich dieses Frühjahr eine Kfz-Werkstatt inklusive Videoüberwachung und Mitarbeiterschulung erfolgreich auf dem Weg begleiten können. Nun weiß der Verantwortliche, worauf er achten muss und was regelmäßig zu tun ist. Und bei besonderen Ereignissen kommt er dann auf mich zu.
Cyberangriffe und Datenpannen treffen oft Unternehmen, die sich sicher gefühlt haben. Was sind die typischen blinden Flecken, die du bei Audits immer wieder entdeckst?
Dietmar Faude: Ich stelle immer wieder fest, dass die meisten Sicherheitslücken weniger durch fehlende Technologien entstehen, sondern durch zu viele Berechtigungen, unklare oder nicht überprüfte Prozesse, Lieferantenrisiken, mangelnde Transparenz über die eigene IT-Landschaft und die Unterschätzung menschlicher Faktoren. Wer diese fünf Bereiche regelmäßig überprüft, reduziert sein Risiko oft stärker als durch die nächste Sicherheitslösung.
Einige Beispiele aus der Praxis: Cloud-Anwendungen werden als grundsätzlich sicher angenommen, doch wurden die Patch-Prozesse, Konfigurationen und Freigaben definiert, und werden diese geprüft und eingehalten? Viele Unternehmen lassen nach einem Serverwechsel oder nach dem ausführlichen Test die Systeme erstmal weiterlaufen, um bei Ungereimtheiten im Echtbetrieb dort recherchieren zu können. Doch sehr schnell geraten diese im hektischen Alltag in Vergessenheit. Die Folgen sind ein veralteter Softwarestand, offene Ports und Freigaben oder vergessene VPN-Gateways.
Beschäftigte können in einem vollen Alltag mit vielen Unterbrechungen wie E-Mails und Telefonaten nicht immer absolut aufmerksam sein. Dadurch entstehen Handlungen, die nicht böswillig, aber zur Gefahr werden. Das fängt beim Passwort-Sharing an, verdächtige Meldungen werden ignoriert, anstatt gemeldet und von der IT ernst genommen zu werden, Phishing-Mails werden geöffnet, oder im schlimmsten Fall sind die Sicherheitsrichtlinien formuliert, aber keinem bekannt. Ein Angreifer benötigt keine technischen Schwachstellen, wenn der Mensch die Tür zum Netzwerk öffnet.
Was würdest du einem Unternehmer raten, der Datenschutz bisher nur als lästige Pflicht sieht und noch nicht erkannt hat, welchen Nutzen er bringen kann?
Dietmar Faude: Vorurteile sind leider ein sehr starker Verhinderer. Und das Thema Datenschutz wird leider noch immer als unverständliche Rechtsformulierung und Verhinderer angesehen. Da hilft meiner Meinung nach nur ein Blickwechsel von der Emotion der Ablehnung zu Sachfragen, wie es funktioniert. Einige Beispiele: Wenn ein neuer Mitarbeiter im Unternehmen anfängt, weiß der IT-Administrator, nach welcher Berechtigungsrolle der Zugang zu konfigurieren ist? Wie erhält ein Mitarbeiter seine Lohnabrechnung? Woher werden die Kontakte für den nächsten Newsletter genommen? Kennen die Beschäftigten die Vorgehensweise, wenn jemand den Newsletter nicht mehr haben möchte? Dies sind einfache Fragen zu Ablauf und Technik, beinhalten aber für den Experten eine komplexe Systematik im Datenschutz.
Mein Fazit: Datenschutz wird nicht wegen der gesetzlichen Vorgabe betrieben, sondern als Risikominimierung und somit als Zukunftsinvestition in das Unternehmen und damit in den Erhalt aller einzelnen Arbeitsplätze. Nur wenn das gesamte Unternehmen mitzieht, kann dies gelingen. Und nur wenn auch die Beschäftigten den Nutzen verstanden haben, werden getroffene Regelungen ganz selbstverständlich im Alltag umgesetzt.
Zentrale Erkenntnisse aus dem Interview
Aus dem Gespräch mit Dietmar Faude lassen sich vier Kernaussagen herausarbeiten, die für die Datenschutzpraxis im Mittelstand unmittelbar handlungsleitend sind.
- Datenschutz gehört an den Anfang, nicht ans Ende von Projekten: Wird er erst spät einbezogen, drohen mehrfache Projektaufsätze und deutlich höherer Nachentwicklungsaufwand.
- KI-Projekte schaffen schnell unbemerkte Datenflüsse: Insbesondere Drittlandübertragungen werden häufig unterschätzt, mit direkten wirtschaftlichen Folgen bei Kunden.
- Unternehmensgröße schützt nicht vor der Pflicht: Auch ohne Bestellpflicht für einen Datenschutzbeauftragten bleibt jedes Unternehmen, das personenbezogene Daten verarbeitet, zur Organisation von Datenschutz verpflichtet.
- Blinde Flecken bei Audits liegen selten in fehlender Technologie: Zu viele Berechtigungen, ungeprüfte Prozesse, Lieferantenrisiken, fehlende IT-Transparenz und menschliche Faktoren wiegen meist schwerer.
„Ein Angreifer benötigt keine technischen Schwachstellen, wenn der Mensch die Tür zum Netzwerk öffnet.“ (Dietmar Faude)
Kontext: Datenschutz und IT-Sicherheit als gemeinsames Risikomanagement
Die von Faude beschriebene Verzahnung von Datenschutz und IT-Sicherheit deckt sich mit einer Entwicklung, die auch regulatorisch zunehmend Niederschlag findet: Mit der NIS2-Richtlinie und dem deutschen Umsetzungsgesetz wachsen die Anforderungen an Cybersicherheit für eine wachsende Zahl mittlerer Unternehmen, während gleichzeitig die datenschutzrechtlichen Pflichten aus der DSGVO unverändert fortbestehen. Für Unternehmen bedeutet das in der Praxis, Datenschutzbeauftragte und IT-Sicherheitsverantwortliche nicht getrennt, sondern eng abgestimmt arbeiten zu lassen, da viele der von Faude genannten blinden Flecken, etwa unklare Berechtigungen oder fehlende Transparenz über die IT-Landschaft, gleichzeitig datenschutz- und sicherheitsrelevant sind.
Besonders bei generativen KI-Anwendungen zeigt sich dieser Zusammenhang deutlich: Die Entscheidung, welches KI-System welche Daten verarbeitet und wohin diese übertragen werden, ist zugleich eine Datenschutz- und eine IT-Sicherheitsfrage. Eine isolierte Betrachtung, wie sie in vielen ad hoc aufgesetzten KI-Projekten vorkommt, übersieht genau diese Schnittstelle.
Auch die von Faude beschriebene Zwei-Wochen-Erfahrung mit kleineren Betrieben zeigt: Der Aufwand für ein solides Basissystem ist überschaubarer, als viele Unternehmer annehmen, wenn Datenschutz strukturiert und mit klaren Prioritäten angegangen wird, statt ihn als diffuses Gesamtprojekt vor sich herzuschieben. Entscheidend ist dabei weniger die vollständige Dokumentation aller theoretisch denkbaren Verarbeitungen, sondern die Konzentration auf die tatsächlich betriebenen Prozesse, wie sie auch im Beispiel der Kfz-Werkstatt mit Videoüberwachung und Mitarbeiterschulung im Vordergrund standen.
Praxisbox: Fünf Bereiche für den eigenen Sicherheits- und Datenschutz-Check
- Berechtigungen prüfen: Wer hat tatsächlich Zugriff auf welche Systeme und Daten, und ist das noch aktuell?
- Prozesse überprüfen: Sind Abläufe wie Onboarding, Offboarding oder Newsletter-Abmeldung dokumentiert und bekannt?
- Lieferantenrisiken bewerten: Welche externen Dienstleister und Cloud-Anwendungen verarbeiten Daten, und wie werden deren Patch-Prozesse kontrolliert?
- IT-Landschaft transparent halten: Werden nach Serverwechseln oder Tests Altsysteme, offene Ports und VPN-Gateways konsequent nachverfolgt und abgeschaltet?
- Menschliche Faktoren einbeziehen: Sind Sicherheitsrichtlinien nicht nur formuliert, sondern den Beschäftigten tatsächlich bekannt und im Alltag verankert?
Was Unternehmer aus dem Interview mitnehmen sollten
Für die eigene Datenschutz- und Sicherheitspraxis lassen sich aus dem Gespräch drei Linien ableiten. Erstens: Ein Datenschutz- und Compliance-Experte gehört von Beginn an in neue Projekte, insbesondere bei KI-Vorhaben, statt erst nachträglich hinzugezogen zu werden, um teure Mehrfachaufsätze zu vermeiden. Zweitens: Unternehmensgröße ist kein verlässlicher Indikator für den nötigen Aufwand, auch kleine, inhabergeführte Betriebe können mit fokussierter Unterstützung innerhalb weniger Wochen ein solides Basissystem aufbauen. Drittens: Die größten Sicherheitsrisiken liegen selten in fehlender Technik, sondern in Berechtigungen, Prozessen, Lieferantenbeziehungen, IT-Transparenz und menschlichem Verhalten, weshalb ein regelmäßiger Blick auf genau diese fünf Bereiche oft wirksamer ist als die nächste technische Einzellösung. Wer diese drei Linien konsequent verfolgt, kann Datenschutz von einer defensiven Pflichtübung zu einem aktiv gesteuerten Baustein der eigenen Risikostrategie weiterentwickeln.
Über SIDAPRON GmbH
Die SIDAPRON GmbH mit Sitz in Rimsting unter Geschäftsführung von Dietmar Faude bietet Datenschutz- und Compliance-Beratung für Unternehmen jeder Größe, von Solo-Selbstständigen bis zu Betrieben mit komplexeren IT- und KI-Landschaften.
FAQ
Warum sollte Datenschutz von Anfang an in Projekte einbezogen werden?
Weil elementare Anforderungen sonst oft erst spät auffallen und Projekte mehrfach aufgesetzt oder nachentwickelt werden müssen, was deutlich mehr Aufwand verursacht als eine frühzeitige Einbindung.
Welche Datenschutzrisiken entstehen häufig bei KI-Projekten?
Vor allem unbemerkte Datenflüsse, etwa Datenübertragungen in Drittländer, die von Unternehmen oft als gering eingeschätzt, aber von Kunden kritisch wahrgenommen werden.
Muss auch ein sehr kleines Unternehmen Datenschutz organisieren?
Ja. Unabhängig davon, ob ein Datenschutzbeauftragter bestellt werden muss, ist jedes Unternehmen und jeder Verein, der regelmäßig personenbezogene Daten verarbeitet, zur Organisation von Datenschutz verpflichtet.
Welche blinden Flecken zeigen sich bei IT-Sicherheitsaudits am häufigsten?
Meist keine fehlende Technologie, sondern zu viele Berechtigungen, unklare Prozesse, Lieferantenrisiken, mangelnde Transparenz über die IT-Landschaft und die Unterschätzung menschlicher Faktoren.
Wie lässt sich Datenschutz als Qualitätsfaktor statt als Bremse vermitteln?
Indem der Blick von der reinen Rechtslage auf die Risikominimierung verschoben wird: Datenschutz und IT-Sicherheit greifen ineinander und sind Investitionen in die Zukunft des Unternehmens.
Hinweis: Dieser Beitrag gibt die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de sowie die Aussagen des Interviewpartners wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder einen Datenschutzbeauftragten. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an eine zugelassene Fachperson.
