Ihre Rolle: Zugang ist nicht Erlaubnis

Ein Administrator kann auf fast alles zugreifen. Art. 29 DSGVO sagt, dass er es nur „auf Weisung des Verantwortlichen" darf. Die Linie verläuft beim Zweck, nicht beim Können.

Warum das wichtig ist

Das ist der wichtigste Satz des Kurses, und er ist eine Entlastung: Dass Sie zugreifen können, ist kein Problem — es ist die Voraussetzung Ihrer Arbeit. Problematisch wäre nur ein Zugriff ohne Auftrag.

Daraus folgt eine Aufgabe für die Leitung, nicht für Sie: Sie muss Weisungen geben. Wo keine existiert, entscheidet der Administrator selbst — und das ist für beide Seiten die schlechteste Lage.

Praktisch heißt das: Ein Zugriff hat einen Anlass, und der Anlass ist dokumentierbar. Eine Störungsmeldung, ein Auftrag, ein Wartungsfenster. Neugier ist kein Anlass, und die Grenze ist damit klar, ohne dass jemand misstrauisch werden muss.

Was das Gesetz sagt

Art. 29 DSGVO

„Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind."

So macht man es richtig

1. Jeden Zugriff auf einen Anlass zurückführen können.
2. Fehlende Weisungen einfordern, statt selbst zu entscheiden.
3. Den Anlass festhalten, wo es ohne Aufwand geht.

Stand: 25.10.2026