Seit Inkrafttreten der Datenschutz-Grundverordnung im Mai 2018 ist Datenschutz in der EU keine optionale Unternehmenstugend mehr, sondern gesetzliche Pflicht. Was viele Unternehmen dabei ubersehen: Nicht nur CRM-Systeme und Newsletter-Tools verarbeiten personenbezogene Daten. Auch Aufgabenmanagement-Software tut das. Und zwar ununterbrochen.

Aufgabennamen enthalten Kundennamen. Kommentare referenzieren Vertragsinformationen. Anhange beinhalten Dokumente mit sensiblen Daten. Wer ein Task-Management-Tool einsetzt, ohne die DSGVO-Konformitat zu prufen, bewegt sich in einer rechtlichen Grauzone.

Welche personenbezogenen Daten verarbeitet ein Aufgabentool?

Auf den ersten Blick scheint ein Aufgabenmanager harmlos. Doch bei genauerem Hinsehen werden zahlreiche Datenkategorien verarbeitet:

• Benutzerdaten: Name, E-Mail-Adresse, Profilbild, Login-Zeitpunkte
• Mandanten-/Kundendaten: Namen, Kontaktinformationen, die in Aufgaben und Notizen erfasst werden
• Aktivitatsdaten: Wer hat wann welche Aufgabe bearbeitet, kommentiert oder abgeschlossen
• Dateianhanhe: Vertrage, Rechnungen, Korrespondenz, die an Aufgaben angehangt werden
• Kommunikationsdaten: Interne Kommentare und Diskussionen innerhalb der Plattform

Die funf wichtigsten Kriterien fur DSGVO-Konformitat

Bei der Auswahl eines Aufgabenmanagement-Tools sollten Unternehmen im DACH-Raum auf folgende Punkte achten:

1. Serverstandort in der EU

Daten mussen innerhalb der EU oder des EWR gespeichert werden. US-basierte Cloud-Anbieter sind nach dem Schrems-II-Urteil problematisch, selbst mit Standardvertragsklauseln. Ein Anbieter mit garantiertem EU-Hosting eliminiert dieses Risiko vollstandig.

2. Auftragsverarbeitungsvertrag (AVV)

Artikel 28 der DSGVO verlangt einen schriftlichen Vertrag zwischen dem datenverarbeitenden Unternehmen und dem Software-Anbieter. Ohne AVV ist die Nutzung rechtswidrig. Serios arbeitende Anbieter stellen diesen Vertrag proaktiv bereit.

3. Datenisolierung und Mandantentrennung

In Multi-Tenant-Systemen teilen sich mehrere Unternehmen eine Infrastruktur. Entscheidend ist, dass die Daten auf Datenbankebene getrennt sind. Eine reine Softwaretrennung reicht nicht aus. Isolierte Datenbanken pro Organisation bieten den hochsten Schutz.

Datenschutz ist kein Feature, das man nachrusten kann. Es muss in der Architektur verankert sein. Wer "Privacy by Design" ernst nimmt, beginnt bei der Datenbank.

4. Loschkonzept und Datenportabilitat

Artikel 17 (Recht auf Loschung) und Artikel 20 (Recht auf Datenubertragbarkeit) der DSGVO verlangen, dass Nutzer ihre Daten vollstandig exportieren und loschen lassen konnen. Ein Tool, das keinen Datenexport anbietet, sperrt Sie nicht nur technisch ein, sondern verstosst gegen geltendes Recht.

5. Zugriffskontrolle und Berechtigungen

Das Prinzip der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) bedeutet: Mitarbeiter sollten nur Zugriff auf die Daten haben, die sie fur ihre Arbeit benotigen. Rollenbasierte Berechtigungen sind daher keine Komfortfunktion, sondern eine rechtliche Anforderung.

Checkliste fur die Toolauswahl

Bevor Sie sich fur ein Aufgabenmanagement-Tool entscheiden, stellen Sie diese Fragen:

• Wo werden die Daten gehostet? EU-Hosting bestatigt?
• Wird ein AVV angeboten und ist er DSGVO-konform?
• Sind die Daten verschiedener Organisationen auf Datenbankebene getrennt?
• Gibt es eine vollstandige Datenexport-Funktion?
• Konnen Benutzerrechte granular konfiguriert werden?
• Gibt es ein Loschkonzept fur ausgeschiedene Nutzer und beendete Mandatsverhaltnisse?
• Wird Verschlusselung im Transit (TLS) und ggf. at Rest eingesetzt?

Im deutschsprachigen Raum ist das Bewusstsein fur Datenschutz besonders ausgepragt. Das ist gut so. Nutzen Sie dieses Bewusstsein als Leitfaden bei der Toolauswahl. Ein System, das die DSGVO von Anfang an berucksichtigt, schutzt nicht nur Ihre Daten, sondern auch das Vertrauen Ihrer Kunden und Mandanten.