DSGVO · Zugriffssteuerung
Personenbezogene Daten schützen.
Erklären, wer darauf zugreifen kann.
Die Steuerung von Zugriffsrechten hilft, einen geschäftlichen Bedarf mit einer Genehmigung, einer aktuellen Berechtigung und einem überprüfbaren Eintrag zu verknüpfen. Sie unterstützt Ihr Datenschutzprogramm nach der Datenschutz-Grundverordnung (DSGVO), ersetzt es aber nicht.
Die rechtlichen Anforderungen hinter den Kontrollen
Die Verordnung (EU) 2016/679 gilt seit dem 25. Mai 2018. Artikel 5 Absatz 1 Buchstabe f legt den Grundsatz der Integrität und Vertraulichkeit fest; nach Artikel 5 Absatz 2 ist der Verantwortliche für die Einhaltung der Grundsätze verantwortlich und muss sie nachweisen können. Die Artikel 25 und 32 verlangen geeignete Garantien durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sowie Sicherheitsmaßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten.
Artikel 32 Absatz 4 betrifft die Verarbeitung durch Personen, die dem Verantwortlichen oder dem Auftragsverarbeiter unterstellt sind. Sie sollen personenbezogene Daten nur auf Anweisung verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. Zugriffskontrollen helfen neben organisatorischen Richtlinien und Schulungen, diese Verantwortung umzusetzen.
Die DSGVO schreibt weder ein bestimmtes IGA-Produkt noch einen allgemeingültigen vierteljährlichen Rhythmus für Zugriffsüberprüfungen vor. Eine Tabellenkalkulation ist nicht automatisch rechtswidrig, und ein Software-Export ist nicht automatisch ausreichend. Prüfen Sie, ob die Kontrolle angemessen, zuverlässig und vollständig ist und nachweislich angewendet wird.
Umfang klar festlegen
Ermitteln Sie die Verarbeitungstätigkeiten und die Systeme, in denen personenbezogene Daten liegen. Erfassen Sie für jede davon die verantwortliche Person, die relevanten Benutzer- und Servicekonten, privilegierte Zugriffe und die Bedingungen, unter denen Zugriff benötigt wird. Verknüpfen Sie diese Arbeit, soweit zutreffend, mit dem Verzeichnis von Verarbeitungstätigkeiten und mit den Risikobewertungen der Organisation.
Governance-Tools finden nicht jede Kopie personenbezogener Daten und legen keine Rechtsgrundlage für die einzelnen Verarbeitungstätigkeiten fest. Ihre Organisation braucht weiterhin eine Bestandsaufnahme der Daten (Data Mapping), Entscheidungen zu Zweck und Speicherdauer, gegebenenfalls Verträge zwischen Verantwortlichen und Auftragsverarbeitern sowie Verfahren für die Rechte der betroffenen Personen.
Richtlinien in gelebte Prozesse überführen
| Situation | Kontrolle | Was zu prüfen ist |
|---|---|---|
| Neuer Zugriff | Einen geschäftlichen Bedarf und die Genehmigung der verantwortlichen Person verlangen. | Die vergebenen Rechte entsprechen dem genehmigten Umfang und der genehmigten Dauer. |
| Rollenwechsel | Neue und bestehende Zugriffsrechte überprüfen. | Frühere Rechte werden entfernt, wenn sie nicht mehr gerechtfertigt sind. |
| Austritt oder Vertragsende | Zugriff entziehen und das Ergebnis verifizieren. | Zielsysteme, Sitzungen und Ausnahmen sind berücksichtigt. |
| Regelmäßige Überprüfung | Prüfenden Personen zutreffenden Kontext liefern und einen risikobasierten Rhythmus festlegen. | Entscheidungen zum Entzug werden umgesetzt, nicht nur dokumentiert. |
| Governance-Einträge | Die personenbezogenen Daten in Anfragen und Audit-Trails schützen. | Rechtsgrundlage, Zugriffsbeschränkungen und Speicherdauer sind dokumentiert. |
Nachweise bei Datenpannen richtig nutzen
Nach Artikel 33 muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Ein Auftragsverarbeiter muss die Verletzung dem Verantwortlichen unverzüglich melden. Für die Benachrichtigung der betroffenen Personen sieht Artikel 34 eine gesonderte Prüfung auf ein hohes Risiko vor, vorbehaltlich der dort genannten Ausnahmen.
Zugriffsnachweise können helfen festzustellen, welche Systeme und Daten ein Konto erreichen konnte. Für sich allein können sie nicht beweisen, welche Datensätze gelesen, kopiert oder offengelegt wurden. Kombinieren Sie Governance-Nachweise mit den Erkenntnissen aus der Vorfalluntersuchung und den relevanten Anwendungsprotokollen. Die rechtliche Bewertung und die Entscheidung über eine Meldung bleiben bei den zuständigen Teams für Sicherheitsvorfälle und Datenschutz.
easyIGA anhand eines realen Umfangs bewerten
Wählen Sie im Pilotprojekt ein System mit personenbezogenen Daten und testen Sie Anfragen, Genehmigung, Entfernung von Zugriffsrechten und eine Überprüfungskampagne. Vergleichen Sie die Nachweise mit dem Zielsystem. Eine fehlgeschlagene Aktion oder ein nicht verfügbares Signal zur letzten Nutzung sollte als Einschränkung sichtbar bleiben.
Im standardmäßigen selbst gehosteten Modell bleiben die Governance-Daten auf Infrastruktur, die Sie kontrollieren. Die in der EU gehostete Bereitstellung, die auf Anfrage verfügbar ist, begründet ein eigenes Verarbeitungsverhältnis, das geprüft werden muss. Der Hosting-Standort allein stellt weder die Einhaltung der DSGVO her, noch beseitigt er Fragen zu Datenübermittlungen, Zugriffen und Unterauftragsverarbeitern. Die jeweiligen Geltungsbereiche erläutern die Seite Sicherheit und die Datenschutzerklärung der Website.
Primärquelle
EUR-Lex: DSGVO, Artikel 5, 25, 28, 30, 32 bis 35 und 99. Quellenprüfung: 12. September 2026.