IT-Abteilung der PlattesGroup: Datenschutz

Die IT-Abteilung der PlattesGroup ist im Kontext grenzüberschreitender Immobilien- und Steuerdaten zwischen Deutschland, Spanien und Mallorca ein besonders sensibler Funktionsbereich. Eine belastbare Einordnung muss konkrete Aufgaben und Produktfunktionen von den rechtlichen Datenschutz- und Sicherheitsanforderungen trennen. Dieser Überblick beschreibt deshalb die prüfbaren Maßstäbe für digitale Mandantenlösungen, ohne ungeprüfte Leistungsversprechen zu übernehmen.

Welche Anforderungen gelten für die IT-Abteilung der PlattesGroup in Spanien?

Sobald personenbezogene Daten verarbeitet werden, muss der Verantwortliche die Grundsätze der Datenschutz-Grundverordnung (DSGVO) einhalten und deren Einhaltung nachweisen können. Für digitale Mandantenlösungen betrifft das insbesondere Zweck, Datenumfang, Aufbewahrung und Zugriffsberechtigungen.

Die Rechenschaftspflicht verlangt mehr als eine allgemeine Aussage, Daten seien sicher. Rollen, Verarbeitungsvorgänge und Schutzmaßnahmen müssen nachvollziehbar dokumentiert sein. Das gilt auch dann, wenn eine Lösung grenzüberschreitend genutzt wird oder mehrere Berater und Dienstleister beteiligt sind.

Was bedeutet Datenschutz durch Technikgestaltung?

Artikel 25 DSGVO verlangt geeignete technische und organisatorische Maßnahmen bereits bei der Festlegung der Verarbeitungsmittel und während der gesamten Verarbeitung. Datenschutzfreundliche Voreinstellungen sollen sicherstellen, dass ohne aktives Zutun nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten verarbeitet werden.

Typische Umsetzungsansätze sind:

Datenminimierung auf die tatsächlich benötigten Angaben,
Aufbewahrung nur für den erforderlichen Zeitraum,
eingeschränkte und rollenbezogene Zugriffsrechte,
Pseudonymisierung, soweit sie dem Risiko angemessen ist, und
Verschlüsselung, soweit sie dem Risiko angemessen ist.

Welche Maßnahmen konkret geeignet sind, hängt vom Verarbeitungsvorgang und seinem Risiko ab. Eine Funktionsliste oder ein modernes Erscheinungsbild beweist keine DSGVO-konforme Technikgestaltung.

Wie müssen IT-Lösungen für Spanien-Immobilien abgesichert werden?

Bei solchen Immobilienlösungen können Steuerdaten, Mietinformationen, Belege, Kontaktdaten und Zugriffsprotokolle zusammenkommen. Artikel 32 DSGVO verlangt dafür ein dem konkreten Risiko angemessenes Schutzniveau. Zu berücksichtigen sind Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung.

Die DSGVO nennt je nach Risiko unter anderem Pseudonymisierung, Verschlüsselung, dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Wiederherstellbarkeit. Ebenso wichtig sind Verfahren, mit denen die Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig geprüft, bewertet und beurteilt wird.

Für eine digitale Immobilienverwaltung auf Mallorca ist damit nicht ein pauschales Sicherheitsversprechen entscheidend, sondern ein nachweisbares Schutzkonzept für die tatsächlich verarbeiteten Daten und Nutzerrollen. Mallorca schafft dabei keine eigene DSGVO-Sicherheitsstufe; der konkrete Anwendungsfall bestimmt das Risiko.

Wie sind Datenflüsse zwischen Deutschland und Spanien zu ordnen?

Wenn eine digitale Steuerberatung der PlattesGroup oder eine Vermietungsplattform Deutschland und Spanien verbindet, müssen die datenschutzrechtlichen Rollen für jeden Datenfluss feststehen. Zu klären ist insbesondere, wer über Zwecke und Mittel der Verarbeitung entscheidet und wer Daten lediglich im Auftrag verarbeitet.

Verarbeitet ein externer Dienstleister personenbezogene Daten im Auftrag, verlangt Artikel 28 DSGVO einen Vertrag oder anderen Rechtsakt. Darin müssen die Pflichten festgelegt sein; außerdem muss der Dienstleister ausreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.

Bei einer Zusammenarbeit deutscher und spanischer Berater sind insbesondere Verantwortlicher, Auftragsverarbeiter, Weisungen, Unterauftragnehmer und Datenflüsse konkret zu bestimmen. Die bloße Bezeichnung als „Partner“, „Plattform“ oder „IT-Dienstleister“ ersetzt diese Rollenklärung nicht.

Was muss bei einer Datenschutzverletzung geschehen?

Der Verantwortliche muss eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden. Die Ausnahme greift nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung später als nach 72 Stunden, muss die Verzögerung gegenüber der Aufsichtsbehörde begründet werden.

Ein Auftragsverarbeiter meldet eine Verletzung unverzüglich an den Verantwortlichen. Bei einem voraussichtlich hohen Risiko muss der Verantwortliche zusätzlich die betroffenen Personen unverzüglich benachrichtigen. Nach Artikel 34 Absatz 3 entfällt die persönliche Benachrichtigung insbesondere, wenn wirksame Schutzmaßnahmen die betroffenen Daten für Unbefugte unzugänglich machen oder nachträgliche Maßnahmen das hohe Risiko voraussichtlich beseitigen. Bei unverhältnismäßigem Aufwand ist stattdessen eine öffentliche oder vergleichbar wirksame Information erforderlich. Ob eine Meldung notwendig ist, setzt eine dokumentierte Bewertung des konkreten Vorfalls voraus. Auch nicht meldepflichtige Datenschutzverletzungen sind mit Sachverhalt, Auswirkungen und Abhilfemaßnahmen zu dokumentieren.

Welche Aussagekraft haben Zertifikate und Auszeichnungen?

Die Einhaltung eines genehmigten Verhaltenskodex oder eines genehmigten Zertifizierungsverfahrens kann nach der DSGVO als ein Gesichtspunkt zum Nachweis der Pflichterfüllung dienen. Sie ersetzt aber nicht die fortlaufende Rechenschaftspflicht des Verantwortlichen.

Ein Zertifikat ist nur sinnvoll einzuordnen, wenn mindestens Aussteller, Norm oder Prüfmaßstab, Geltungsbereich, geprüfte Organisation oder Anwendung, Laufzeit und Prüfverfahren bekannt sind. Auch eine Auszeichnung für eine frühere Anwendung belegt weder deren heutige Verfügbarkeit noch den aktuellen Sicherheitsstand.

Welche Nachweise braucht eine belastbare IT-Leistungsbeschreibung?

Eine sachliche Beschreibung der IT-Abteilung der PlattesGroup sollte aktuelle, datierte und überprüfbare Angaben enthalten. Dazu gehören:

organisatorischer Auftrag und klar benannte Verantwortungsbereiche,
aktuell verfügbare Anwendungen und ihr tatsächlicher Funktionsumfang,
Nutzergruppen, Rollen und Berechtigungskonzept,
beschriebene Daten- und Belegflüsse,
Verantwortlichen- und Auftragsverarbeiterrollen,
technische und organisatorische Schutzmaßnahmen,
Verfahren für Tests, Wiederherstellung und Vorfallmanagement sowie
bei Zertifikaten der konkrete, zeitlich gültige Prüfgegenstand.

Unbezifferte Begriffe wie „weitreichend geschützt“, „auf dem neuesten Stand“ oder „Modernisierungsdividende“ sind keine überprüfbaren Leistungsmerkmale. Ebenso benötigen Angaben zu Teamgröße, betreutem Vermögen, Produktverfügbarkeit oder Preisen einen aktuellen und klar abgegrenzten Nachweis.

Häufige Fragen (FAQ)

Belegt ein Zertifikat automatisch die vollständige DSGVO-Konformität?

Nein. Ein genehmigtes Zertifizierungsverfahren kann ein Nachweisbaustein sein, ersetzt aber weder die fortlaufende Rechenschaftspflicht noch die risikogerechten Schutzmaßnahmen für den konkreten Verarbeitungsvorgang.

Muss jede Datenschutzverletzung binnen 72 Stunden gemeldet werden?

Nein. Eine Ausnahme besteht, wenn die Verletzung voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten führt. Andernfalls muss der Verantwortliche unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden; bei einer späteren Meldung muss er die Verzögerung begründen.

Welche Rolle hat ein externer Hosting- oder Plattformanbieter?

Das hängt davon ab, wer Zwecke und Mittel der Verarbeitung bestimmt. Arbeitet der Anbieter als Auftragsverarbeiter, verlangt Artikel 28 DSGVO einen Vertrag oder anderen Rechtsakt mit festgelegten Pflichten und ausreichenden Garantien.

Reicht Verschlüsselung als Sicherheitskonzept?

Nein. Verschlüsselung kann ein wichtiger Baustein sein. Das angemessene Schutzniveau umfasst je nach Risiko auch Vertraulichkeit, Integrität, Verfügbarkeit, Wiederherstellbarkeit, Zugriffskontrollen und regelmäßige Wirksamkeitstests.

Belegt eine frühere Produktauszeichnung die heutige Verfügbarkeit?

Nein. Eine historische Auszeichnung sagt ohne aktuelle Produkt- und Betriebsnachweise nichts darüber aus, ob eine Anwendung heute verfügbar ist, welchen Funktionsumfang sie hat oder wie sie abgesichert wird.