Mit den tatsächlichen Datenflüssen beginnen
Erfassen Sie vor der Planung, welche personenbezogenen Daten die betroffene Anwendung verarbeitet. Neben Kundennamen und Kontaktadressen können auch Benutzerkennungen, Zugriffsprotokolle und Sicherungskopien relevant sein. Der Europäische Datenschutzausschuss erläutert, dass sowohl direkt als auch indirekt zuordenbare Informationen personenbezogen sein können.
Für Ihr Projekt ergibt sich daraus eine praktische Aufgabe: Zeichnen Sie den Weg der Daten von der Eingabe bis zur Löschung auf. Notieren Sie Datenbank, Dateien, Versand, Protokolle und Sicherungen getrennt. Erst diese Übersicht zeigt, welche Bestandteile tatsächlich zurückgeführt werden und an welchen Stellen externe Verarbeitung bestehen bleibt.
Fachquelle: Europäischer Datenschutzausschuss: Data protection basics (externe Seite, neuer Tab). Die Projektbeispiele und Entscheidungshilfen sind redaktionelle Einordnungen von JustBeDigital.
Ein Serverstandort beschreibt noch keinen vollständigen Betrieb
Eine Anwendung kann in Deutschland laufen und trotzdem externe Dienste für Anmeldung, Benachrichtigungen oder Fehlerberichte ansprechen. Für die Projektprüfung sollten Sie daher nicht nur den Hauptserver betrachten. Fragen Sie nach Speicherorten, tatsächlichen Zugriffsmöglichkeiten und dem Weg von Diagnose- und Supportdaten.
Ein anschauliches Beispiel: Die Datenbank zieht auf einen dedizierten Server um, die Anwendung sendet aber weiterhin E-Mails über einen externen Versanddienst. Dieser Datenfluss verschwindet durch die Rückführung der Datenbank nicht. Im Zielkonzept muss er ausdrücklich auftauchen. Ob und unter welchen Bedingungen internationale Übermittlungen zulässig sind, ist für den konkreten Fall rechtlich zu prüfen.
Verantwortung und Dienstleister vor dem Umzug klären
Ordnen Sie für jede beteiligte Stelle die tatsächlichen Aufgaben zu. Wer legt Zwecke und Mittel fest? Wer verarbeitet Daten im Auftrag? Wer erhält für Wartung oder Migration Zugriff? Die Zuordnung sollte den realen Ablauf beschreiben. Eine bloße Bezeichnung im Angebot genügt nicht als technische Arbeitsanweisung.
Prüfen Sie mit der zuständigen Datenschutzstelle, welche Vereinbarungen zur Auftragsverarbeitung erforderlich sind und ob bestehende Dokumentationen angepasst werden müssen. Zur Vorbereitung können Sie eine Rollenliste mit Aufgabe, benötigtem Zugriff, Ansprechpartner und Vertragsstand erstellen. Offene Punkte werden vor der Freigabe produktiver Zugänge geklärt. Dieser Beitrag ersetzt die Prüfung im Einzelfall nicht.
Sicherheit an den Risiken der Verarbeitung ausrichten
Der Europäische Datenschutzausschuss beschreibt Vertraulichkeit, Integrität und Verfügbarkeit als wesentliche Schutzziele. Angemessene technische und organisatorische Maßnahmen sind an den Risiken der Verarbeitung auszurichten. Eigener Betrieb nimmt diese Aufgabe nicht ab: Er verlagert Verantwortlichkeiten, die vorher möglicherweise teilweise ein Plattformanbieter übernommen hat.
Übersetzen Sie diese Anforderung in prüfbare Aufgaben für Ihr Projekt. Ein Eintrag „Backup vorhanden“ ist beispielsweise weniger aussagekräftig als ein protokollierter Wiederherstellungstest mit festgelegter Zuständigkeit. Halten Sie Schutzmaßnahmen, offene Risiken und die Entscheidung über deren Behandlung gemeinsam fest, bevor die Anwendung produktiv übernommen wird.
- Zugriffe nach Aufgabe begrenzen und administrative Konten absichern
- Übertragungswege und gespeicherte Daten angemessen schützen
- Updates, Alarmierung und die Bearbeitung von Sicherheitsmeldungen zuordnen
- Sicherungen und Wiederherstellung praktisch überprüfen
Fachquelle: Europäischer Datenschutzausschuss: Secure personal data (externe Seite, neuer Tab). Die Projektbeispiele und Entscheidungshilfen sind redaktionelle Einordnungen von JustBeDigital.
Die Übergangsphase braucht eigene Regeln
Während einer Rückführung entstehen leicht zusätzliche Datenkopien: ein Export auf einem Arbeitsrechner, eine Testdatenbank oder ein temporärer Dateispeicher. Für die technische Planung sollten diese Kopien einen bestimmten Zweck, einen verantwortlichen Empfänger und ein vorgesehenes Ende haben. Nutzen Sie für Funktionstests nach Möglichkeit synthetische Daten.
Wenn produktive Daten für eine Prüfung erforderlich sind, stimmen Sie Umfang und Schutz vorab ab. Übermitteln Sie keine Zugangsdaten in ungeschützten Projektunterlagen. Zeitlich begrenzte Rechte und ein dokumentierter Umgang mit Exporten erleichtern die spätere Bereinigung. Erfassen Sie temporäre Kopien in derselben Übersicht wie die produktiven Zielsysteme, damit sie bei der Übergabe nicht vergessen werden.
Löschung und Auskunft über den Wechsel hinweg ermöglichen
Betroffenenrechte müssen auch nach einem Systemwechsel praktisch bearbeitet werden können. Der Europäische Datenschutzausschuss empfiehlt dafür nachvollziehbare Abläufe und eine aktuelle Kenntnis der Datenflüsse. Für die Migration heißt das: Ein Auskunfts- oder Löschprozess darf nicht davon abhängen, dass nur die alte Plattform die nötigen Daten findet.
Prüfen Sie anhand eines Testfalls, wo die Daten einer Person im neuen System liegen und wie berechtigte Anfragen intern bearbeitet werden. Für Altbestände und Sicherungen braucht es ein abgestimmtes Aufbewahrungs- und Löschkonzept. Löschen Sie alte Bestände nicht allein deshalb sofort, weil die neue Anwendung erreichbar ist; Aufbewahrungspflichten, Abnahme und berechtigte Nachweisbedarfe sind im Einzelfall zu berücksichtigen.
Fachquelle: Europäischer Datenschutzausschuss: Rechte des Einzelnen respektieren (externe Seite, neuer Tab). Die Projektbeispiele und Entscheidungshilfen sind redaktionelle Einordnungen von JustBeDigital.
Was am Ende dokumentiert sein sollte
Eine hilfreiche Übergabe zeigt den vereinbarten Zustand: die beteiligten Systeme, die zuständigen Personen, verbleibende externe Dienste, freigegebene Zugänge und offene Maßnahmen. Ergänzen Sie Nachweise für die tatsächlich durchgeführten Prüfungen. Ein pauschales Etikett „DSGVO-konform“ ist dafür kein Ersatz.
Bei JustBeDigital beginnt ein Cloud-Repatriation-Projekt mit der Klärung von Ausgangslage und Umfang. Im ersten Anfrageformular werden nur Kontaktdaten abgefragt. Systemzugänge, Kundendaten oder technische Exporte gehören dort nicht hinein. Benötigte Unterlagen und geeignete Übermittlungswege werden erst im weiteren Gespräch abgestimmt; eine rechtliche Datenschutzfreigabe wird damit nicht versprochen.
Häufige Fragen
01Ist eigene Infrastruktur automatisch DSGVO-konform?
Nein. Datenflüsse, Rechtsgrundlagen, Rollen, Zugriffe und Sicherheitsmaßnahmen müssen zum konkreten Betrieb passen. Ein Standort in Deutschland allein liefert diese Prüfung nicht.
02Welche Daten braucht JustBeDigital für die erste Anfrage?
Vorname, Nachname, E-Mail und Telefonnummer; der Firmenname ist optional. Zugangsdaten, produktive Datenexporte oder vertrauliche Systeminformationen werden für die erste Kontaktaufnahme nicht benötigt.