Datenschutz und Datensicherheit: Was ist der Unterschied?
Datenschutz und Datensicherheit sind zwei Begriffe, die im Unternehmensalltag häufig gemeinsam verwendet werden. Oft werden sie sogar gleichgesetzt. Dabei verfolgen beide Bereiche unterschiedliche Ziele, auch wenn sie eng miteinander verbunden sind.
Unternehmen speichern Kundendaten, verarbeiten Bewerbungen, nutzen Cloud-Dienste und verwalten interne Dokumente. Dabei müssen sie einerseits sicherstellen, dass personenbezogene Daten rechtmäßig verarbeitet werden. Andererseits müssen sie Informationen vor unbefugtem Zugriff, Verlust und Manipulation schützen.
Genau hier liegt der zentrale Unterschied zwischen Datenschutz und Datensicherheit: Datenschutz beschäftigt sich insbesondere mit den Rechten natürlicher Personen bei der Verarbeitung ihrer Daten. Datensicherheit konzentriert sich dagegen auf den Schutz von Daten selbst.
Eine technisch sichere Datenverarbeitung ist deshalb nicht automatisch datenschutzkonform. Umgekehrt kann ein Unternehmen Datenschutzanforderungen nicht erfüllen, wenn notwendige Sicherheitsmaßnahmen fehlen.
In diesem Beitrag erklären wir die Unterschiede, zeigen Beispiele aus dem Unternehmensalltag und erläutern, wie Datenschutz und Datensicherheit sinnvoll zusammenarbeiten.
Was ist Datenschutz?
Datenschutz bezeichnet den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Im Mittelpunkt stehen die Rechte und Freiheiten der Menschen, deren Informationen erhoben, gespeichert oder verwendet werden.
Die wichtigste rechtliche Grundlage dafür ist die Datenschutz-Grundverordnung, kurz DSGVO.
Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Dazu gehören beispielsweise:
- Namen und Kontaktdaten
- E-Mail-Adressen mit Personenbezug
- Kunden- und Personalnummern
- IP-Adressen, soweit personenbezogen
- Bewerbungsunterlagen
- Gesundheitsinformationen
- Gehalts- und Beschäftigtendaten
Datenschutz beantwortet vor allem die Frage, ob, warum und unter welchen Voraussetzungen diese Informationen verarbeitet werden dürfen.
Unternehmen müssen beispielsweise prüfen, ob eine geeignete Rechtsgrundlage besteht, welche Informationen tatsächlich benötigt werden und wann Daten wieder gelöscht werden müssen.
Welche Ziele verfolgt der Datenschutz?
Zu den wesentlichen Zielen gehören die Rechtmäßigkeit und Transparenz der Verarbeitung, die Wahrung der Betroffenenrechte sowie die Vermeidung unnötiger Datenerhebung.
Die DSGVO verlangt unter anderem, dass personenbezogene Daten für festgelegte Zwecke verarbeitet und grundsätzlich nicht länger als erforderlich gespeichert werden.
Eine professionelle Datenschutzberatung unterstützt Unternehmen dabei, diese Anforderungen in ihre Geschäftsprozesse zu integrieren.
Was ist Datensicherheit?
Datensicherheit bezeichnet den Schutz von Daten vor bestimmten Gefahren. Dazu gehören insbesondere unbefugter Zugriff, unbeabsichtigte Veränderungen, Verlust und Zerstörung.
Dabei ist es unerheblich, ob die Informationen einen Personenbezug besitzen.
Datensicherheit betrifft beispielsweise auch Konstruktionspläne, interne Geschäftsstrategien, technische Dokumentationen, Finanzdaten oder Produktionsinformationen.
Typische Maßnahmen sind:
- Verschlüsselung gespeicherter Daten
- Regelmäßige Datensicherungen
- Zugriffs- und Berechtigungskonzepte
- Firewalls und Schutz vor Schadsoftware
- Mehr-Faktor-Authentifizierung
- Regelmäßige Sicherheitsupdates
- Überwachung relevanter IT-Systeme
Der Schwerpunkt liegt darauf, Informationen zuverlässig zu schützen und ihre sichere Verarbeitung zu gewährleisten.
Datensicherheit ist damit ein wichtiger Bestandteil der umfassenderen Informationssicherheit.
Datenschutz vs. Datensicherheit: Die wichtigsten Unterschiede
Die Begriffe lassen sich anhand ihrer jeweiligen Zielsetzung unterscheiden. Datenschutz schützt Menschen und ihre Rechte. Im Vordergrund steht die Frage, ob die Verarbeitung personenbezogener Daten zulässig ist und die Rechte betroffener Personen gewahrt bleiben. Datensicherheit schützt Daten vor Gefahren. Hier geht es darum, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch geeignete Schutzmaßnahmen sicherzustellen.
Ein einfaches Beispiel verdeutlicht den Unterschied: Ein Unternehmen speichert Kundendaten in einer verschlüsselten Datenbank. Technisch können diese Daten hervorragend geschützt sein. Werden sie jedoch ohne geeignete Rechtsgrundlage erhoben oder länger als notwendig gespeichert, kann trotzdem ein Datenschutzverstoß vorliegen.
Datensicherheit schafft daher wichtige Voraussetzungen für Datenschutz, ersetzt aber nicht die Prüfung der rechtlichen Zulässigkeit.
Die drei Schutzziele der Datensicherheit
In der Informationssicherheit werden insbesondere drei grundlegende Schutzziele betrachtet: Vertraulichkeit, Integrität und Verfügbarkeit.
Diese bilden auch eine wichtige Grundlage für den Schutz personenbezogener Daten.
1. Vertraulichkeit
Vertraulichkeit bedeutet, dass Informationen nur von berechtigten Personen eingesehen werden können.
Ein Beispiel ist die Personalabteilung: Gehaltsabrechnungen sollten ausschließlich für die zuständigen Mitarbeitenden zugänglich sein.
Verschlüsselung, Berechtigungen und sichere Anmeldeverfahren können die Vertraulichkeit gewährleisten.
2. Integrität
Integrität bedeutet, dass Daten richtig, vollständig und vor unbemerkten oder unbefugten Veränderungen geschützt bleiben.
Beispielsweise dürfen Rechnungsbeträge oder Kundendatensätze nicht unkontrolliert verändert werden.
Technische Prüfverfahren, Protokollierung und geregelte Bearbeitungsrechte helfen dabei.
3. Verfügbarkeit
Verfügbarkeit bedeutet, dass Informationen und Systeme bei Bedarf für berechtigte Personen zugänglich sind.
Ein Unternehmen muss beispielsweise sicherstellen, dass notwendige Kundendaten nach einem technischen Defekt wiederhergestellt werden können.
Backups, Notfallkonzepte und redundante Systeme sind typische Schutzmaßnahmen.
Welche Rolle spielt die DSGVO bei der Datensicherheit?
Die DSGVO enthält nicht nur rechtliche Vorgaben zur Datenverarbeitung, sondern verpflichtet Unternehmen auch zu angemessenen Sicherheitsmaßnahmen.
Besonders relevant sind Artikel 5 Absatz 1 Buchstabe f sowie Artikel 32 DSGVO.
Danach müssen personenbezogene Daten unter anderem vor unbefugter Verarbeitung, unbeabsichtigtem Verlust und Beschädigung geschützt werden.
Artikel 32 verlangt dafür technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten.
Bei der Auswahl sind unter anderem der Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie mögliche Risiken für betroffene Personen zu berücksichtigen.
Es gibt deshalb keine einheitliche Sicherheitslösung, die für jedes Unternehmen und sämtliche Datenverarbeitungen ausreicht.
Die Anforderungen an eine einfache Kontaktliste können beispielsweise anders ausfallen als bei einer umfangreichen Datenbank mit medizinischen Informationen.
Beispiele für Datenschutz und Datensicherheit im Unternehmen
Im Unternehmensalltag überschneiden sich beide Bereiche häufig.
Beispiel 1: Kundendaten im CRM-System
Ein Unternehmen verwendet ein CRM-System zur Verwaltung von Kontakten.
Datenschutz: Es muss geklärt werden, welche Daten verarbeitet werden dürfen, welche Rechtsgrundlage besteht und wann Informationen gelöscht werden müssen.
Datensicherheit: Zugriffsrechte, Verschlüsselung und sichere Anmeldeverfahren schützen die gespeicherten Kundendaten.
Beispiel 2: Bewerbungsunterlagen
Ein Unternehmen erhält Bewerbungen über seine Karrierewebsite.
Datenschutz: Bewerbende müssen über die Datenverarbeitung informiert werden. Außerdem sind geeignete Löschfristen festzulegen.
Datensicherheit: Die Unterlagen werden über sichere Verbindungen übertragen und nur berechtigten Personen zugänglich gemacht.
Beispiel 3: Cloud-Speicher
Mitarbeitende speichern Unternehmensdokumente in einer Cloud.
Datenschutz: Anbieter, Datenverarbeitungen, Vertragsgrundlagen und mögliche internationale Übermittlungen müssen bewertet werden.
Datensicherheit: Verschlüsselung, Mehr-Faktor-Authentifizierung und kontrollierte Freigaben schützen die Dokumente.
Diese Beispiele zeigen, dass technische Maßnahmen und datenschutzrechtliche Entscheidungen unterschiedliche Aufgaben erfüllen.
Warum Datensicherheit allein nicht ausreicht
Ein Unternehmen kann über sehr sichere IT-Systeme verfügen und trotzdem gegen Datenschutzvorschriften verstoßen.
Das ist beispielsweise der Fall, wenn personenbezogene Daten ohne ausreichende Rechtsgrundlage verarbeitet werden.
Auch eine unzulässige Weitergabe von Kundendaten bleibt problematisch, wenn die Übertragung technisch verschlüsselt stattfindet.
Dasselbe gilt für die dauerhafte Speicherung personenbezogener Daten, obwohl der Verarbeitungszweck bereits entfallen ist und keine andere Rechtsgrundlage für die Aufbewahrung besteht.
Technische Sicherheit macht eine unzulässige Datenverarbeitung nicht automatisch rechtmäßig.
Deshalb müssen Datenschutzfragen bereits bei der Planung neuer Prozesse berücksichtigt werden.
Privacy by Design: Datenschutz und Sicherheit gemeinsam denken
Artikel 25 DSGVO verpflichtet Verantwortliche unter den dort genannten Voraussetzungen zu Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.
Dieser Ansatz wird häufig als Privacy by Design und Privacy by Default bezeichnet.
Dabei sollen datenschutzrechtliche Anforderungen bereits bei der Entwicklung von Systemen und Prozessen berücksichtigt werden.
Ein Beispiel ist eine neue Unternehmenssoftware: Schon bei der Entwicklung sollte feststehen, welche personenbezogenen Daten notwendig sind, wer darauf zugreifen darf und wann sie gelöscht werden.
Technische Schutzmaßnahmen und datenschutzfreundliche Funktionen werden somit nicht erst nachträglich ergänzt.
Mit Privacy Engineering lassen sich diese Anforderungen strukturiert in digitale Systeme integrieren.
Wer ist für Datenschutz und Datensicherheit verantwortlich?
Datenschutz und Datensicherheit werden in Unternehmen häufig von unterschiedlichen Fachbereichen betreut.
Die Unternehmensleitung trägt Verantwortung für die Organisation und Einhaltung der einschlägigen Anforderungen.
Datenschutzbeauftragte beraten und überwachen im Rahmen ihrer gesetzlichen Aufgaben die Einhaltung datenschutzrechtlicher Vorgaben.
IT-Abteilungen und Informationssicherheitsverantwortliche kümmern sich insbesondere um technische Sicherheitsmaßnahmen, Systemverfügbarkeit und den Schutz der IT-Infrastruktur.
Dabei ist eine enge Zusammenarbeit entscheidend.
Ein Datenschutzbeauftragter sollte beispielsweise wissen, welche Sicherheitsmaßnahmen für personenbezogene Daten umgesetzt wurden. Die IT-Abteilung muss wiederum verstehen, welche Datenschutzanforderungen bei einer neuen Anwendung relevant sind.
Datenschutzverletzung oder Sicherheitsvorfall?
Nicht jeder IT-Sicherheitsvorfall ist automatisch eine meldepflichtige Datenschutzverletzung.
Ein Sicherheitsvorfall kann beispielsweise entstehen, wenn ein Server ausfällt oder ein Angreifer versucht, ein System zu kompromittieren.
Eine Datenschutzverletzung im Sinne der DSGVO liegt vor, wenn die Sicherheit verletzt wird und dies zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt.
Dazu kann auch ein relevanter Verlust der Verfügbarkeit personenbezogener Daten gehören.
Nach Artikel 33 DSGVO müssen meldepflichtige Verletzungen unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden.
Eine Meldung ist nicht erforderlich, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Bei voraussichtlich hohem Risiko kann außerdem die Benachrichtigung der betroffenen Personen notwendig sein.
Checkliste: Datenschutz und Datensicherheit gemeinsam verbessern
Unternehmen sollten beide Bereiche regelmäßig prüfen und aufeinander abstimmen.
- Datenverarbeitungen dokumentieren - Erfassen Sie, welche personenbezogenen Daten verarbeitet werden, zu welchen Zwecken und auf welcher Rechtsgrundlage.
- Technische Schutzmaßnahmen überprüfen - Bewerten Sie Verschlüsselung, Passwörter, Zugriffsrechte, Backups und die Sicherheit verwendeter Systeme.
- Verantwortlichkeiten festlegen - Definieren Sie klare Zuständigkeiten zwischen Geschäftsführung, Datenschutz, IT und Fachbereichen.
- Lösch- und Aufbewahrungsregeln erstellen - Legen Sie fest, wann personenbezogene Daten gelöscht werden müssen und welche gesetzlichen Aufbewahrungspflichten gelten.
- Mitarbeitende sensibilisieren - Schulen Sie Ihre Teams im sicheren und rechtmäßigen Umgang mit personenbezogenen Informationen.
- Prozesse regelmäßig kontrollieren - Neue Software, Dienstleister und geänderte Geschäftsprozesse können zusätzliche Datenschutz- und Sicherheitsrisiken verursachen.
Regelmäßige Datenschutzaudits helfen dabei, bestehende Maßnahmen zu überprüfen und Verbesserungspotenziale frühzeitig zu erkennen.
Wie CAS Datenschutz Unternehmen unterstützt
CAS Datenschutz unterstützt Unternehmen dabei, Datenschutzanforderungen strukturiert umzusetzen und mit geeigneten technischen und organisatorischen Maßnahmen zu verbinden.
Dazu gehören die Bewertung bestehender Datenverarbeitungen, die Prüfung von Datenschutzdokumentation, die Beratung zu technischen Schutzmaßnahmen und die Unterstützung beim Aufbau nachvollziehbarer Datenschutzprozesse.
Ziel ist eine Datenschutzorganisation, die rechtliche Anforderungen und praktische Abläufe sinnvoll miteinander verbindet.
Sie möchten Datenschutz und Datensicherheit in Ihrem Unternehmen besser aufeinander abstimmen? Vereinbaren Sie einen kostenlosen Ersttermin mit CAS Datenschutz und klären Sie, welche Maßnahmen sinnvoll sind.
Fazit: Datenschutz und Datensicherheit gehören zusammen
Datenschutz und Datensicherheit verfolgen unterschiedliche Ziele, ergänzen sich jedoch unmittelbar.
Datenschutz schützt natürliche Personen und ihre Rechte bei der Verarbeitung personenbezogener Daten. Datensicherheit schützt Informationen vor Verlust, Manipulation und unbefugtem Zugriff.
Für Unternehmen reicht es deshalb nicht aus, nur einen Bereich zu betrachten.
Eine rechtmäßige Datenverarbeitung benötigt angemessene Sicherheitsmaßnahmen. Gleichzeitig können technisch sichere Systeme nur dann datenschutzkonform eingesetzt werden, wenn auch die rechtlichen Anforderungen erfüllt sind.
Wer Datenschutz und Datensicherheit gemeinsam plant, schafft eine belastbare Grundlage für sichere digitale Geschäftsprozesse.
FAQ
Häufig gestellte Fragen zu Datenschutz und Datensicherheit
Was ist der Unterschied zwischen Datenschutz und Datensicherheit?
Datenschutz schützt natürliche Personen und ihre Rechte bei der Verarbeitung personenbezogener Daten. Datensicherheit konzentriert sich auf den Schutz von Daten vor unbefugtem Zugriff, Verlust oder Manipulation. Beide Bereiche überschneiden sich, verfolgen aber unterschiedliche Schwerpunkte.
Ist Datenschutz dasselbe wie Datensicherheit?
Nein. Datenschutz betrifft insbesondere die rechtmäßige Verarbeitung personenbezogener Daten und die Rechte betroffener Personen. Datensicherheit umfasst technische und organisatorische Schutzmaßnahmen für Daten unabhängig davon, ob diese personenbezogen sind.
Welche drei Schutzziele hat die Datensicherheit?
Die grundlegenden Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit. Sie sollen sicherstellen, dass Daten nur berechtigten Personen zugänglich sind, nicht unbefugt verändert werden und bei Bedarf verfügbar bleiben.
Ist Datensicherheit in der DSGVO vorgeschrieben?
Ja. Artikel 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau bei der Verarbeitung personenbezogener Daten. Dazu können Verschlüsselung, Zugriffskontrollen und regelmäßige Sicherheitsprüfungen gehören.
Kann ein Unternehmen datensicher, aber nicht datenschutzkonform sein?
Ja. Ein Unternehmen kann personenbezogene Daten technisch hervorragend schützen und sie dennoch ohne geeignete Rechtsgrundlage verarbeiten oder länger als zulässig speichern. Datensicherheit allein gewährleistet deshalb keine DSGVO-Konformität.
Wer ist im Unternehmen für Datenschutz und Datensicherheit zuständig?
Die Unternehmensleitung trägt Verantwortung für die Organisation und Einhaltung der einschlägigen Anforderungen. Datenschutzbeauftragte übernehmen ihre gesetzlichen Beratungs- und Überwachungsaufgaben, während IT- und Informationssicherheitsverantwortliche insbesondere technische Schutzmaßnahmen betreuen.
Wie können Unternehmen Datenschutz und Datensicherheit verbessern?
Unternehmen sollten ihre Datenverarbeitungen dokumentieren, angemessene Sicherheitsmaßnahmen umsetzen, Verantwortlichkeiten definieren und Mitarbeitende schulen. Regelmäßige Prüfungen helfen, Datenschutz- und Sicherheitsrisiken frühzeitig zu erkennen.
.webp)
