Berechtigungen: die wirksamste Maßnahme überhaupt

Wer was sehen kann, entscheidet die Berechtigung — und die vergibt die IT. Keine Richtlinie wirkt so direkt. Der Maßstab ist das Erforderliche, nicht das Bequeme.

Warum das wichtig ist

Berechtigungen sind der Ort, an dem Datenminimierung technisch wird. Eine Gruppe, in der alle alles sehen, ist bequem im Betrieb und ein Dauerrisiko im Datenschutz.

Der häufigste Befund in der Praxis ist nicht die falsch gesetzte Berechtigung, sondern die nicht entzogene: nach einem Abteilungswechsel, nach einem Projekt, nach dem Austritt. Rechte wachsen, wenn niemand aufräumt.

Deshalb gehört zu jeder Vergabe eine Frage: Wann endet das? Ein befristeter Zugang ist weniger Arbeit als eine jährliche Durchsicht.

Was das Gesetz sagt

Art. 32 Abs. 1 DSGVO

„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; […]"

So macht man es richtig

1. Rechte nach dem Erforderlichen vergeben, nicht nach dem Bequemen.
2. Bei jeder Vergabe festlegen, wann sie endet.
3. Rechte bei Wechsel und Austritt aktiv entziehen, nicht auf Meldung warten.
4. Sammelgruppen vermeiden, in denen alle alles sehen.

Stand: 25.10.2026