Ich prüfe Managementsysteme beruflich – meines habe ich nach denselben Kriterien ausgesucht
Wie Tobias Hess als externer Datenschutzbeauftragter und Auditor mit preeco | datenschutz ein Mandantenportfolio führt, für das Organisationen sonst ganze Teams vorhalten
Die meisten Anwenderberichte folgen demselben Muster: Jemand hatte ein Problem und fand eine Software. Bei Tobias Hess ist die Reihenfolge eine andere. Er prüft Datenschutzmanagementsysteme beruflich – als Auditor ist es seine Aufgabe, herauszufinden, ob eine Organisation ihre Pflichten nicht nur erfüllt, sondern das auch belegen kann. Als er für die eigene Beratung ein System suchte, legte er genau diese Maßstäbe an.
Eine Person, mehrere Rollen
Seit 2020 arbeitet Tobias Hess unter der Marke DSGVO-Service als externer Datenschutzbeauftragter, Berater und Auditor. Seine Mandanten sind überwiegend kleine und mittlere Unternehmen – Organisationen ohne eigene Datenschutzabteilung, für die Datenschutz eine Pflicht neben dem Tagesgeschäft ist.
In größeren Häusern verteilt sich diese Arbeit auf mehrere Schultern: Eine Person führt das Verarbeitungsverzeichnis, eine zweite betreut die Auftragsverarbeiter, eine dritte schult, eine vierte auditiert. Bei DSGVO-Service laufen diese Rollen in einer Person zusammen. Das ist eine bewusste Entscheidung – der Mandant hat einen Ansprechpartner, der seinen Betrieb wirklich kennt, statt wechselnder Zuständigkeiten. Es bedeutet aber auch: Der Arbeitstag besteht aus Rollenwechseln.
"An einem Tag springe ich zwischen sehr unterschiedlichen Aufgaben. Wenn jeder dieser Wechsel bedeutet, dass ich auch das Werkzeug wechsle und mich neu sortiere, verliere ich genau die Zeit, für die mich meine Mandanten eigentlich bezahlen."
Wo die Ordnerstruktur an ihre Grenze kommt
Datenschutzdokumentation lässt sich mit Textverarbeitung und Tabellen führen. Sie lässt sich so sogar gut führen – für einen Mandanten. Der Bruch kommt nicht beim Erstellen, sondern beim Pflegen.
Bei einem Portfolio in der Größenordnung von zwanzig bis vierzig Mandaten vervielfacht sich nicht die Dokumentation, sondern die Zahl der Zustände, die parallel aktuell gehalten werden müssen: Welche Fassung gilt? Wer hat wann was freigegeben? Welche Frist läuft bei welchem Mandanten? Wo steht die Rückmeldung, die vor drei Wochen per E-Mail kam? Mit jedem zusätzlichen Mandat verschiebt sich der Arbeitsanteil weiter weg von der Beratung – hin zur Verwaltung des eigenen Arbeitsstands.
"Der Punkt war nicht, dass ich etwas nicht mehr geschafft hätte. Der Punkt war, dass ich immer mehr Zeit damit verbracht habe, meinen eigenen Stand zu verwalten, statt Mandanten weiterzubringen."
Die Auswahl: dieselben Fragen wie im Audit
An dieser Stelle hilft die Prüferperspektive. Wer beruflich bewertet, ob eine Organisation ihre Rechenschaftspflicht erfüllen kann, fragt bei einer Software nicht zuerst nach dem Funktionsumfang. Er fragt nach der Nachweisführung:
Entsteht bei jeder Freigabe eine nachvollziehbare Fassung – oder wird überschrieben?
Lässt sich erkennen, ob ein Dokument nachträglich verändert wurde?
Ist protokolliert, wer wann was geändert hat?
Lassen sich Verzeichnisse und Berichte je Mandant so ausgeben, dass sie einer Prüfung standhalten?
Trägt das Berechtigungskonzept eine saubere Trennung zwischen den Mandanten?
Wo liegen die Daten, und wer betreibt das System?
preeco | datenschutz beantwortet diese Fragen auf Systemebene: Mit jeder Freigabe entsteht eine technisch versionierte Fassung, deren Integrität sich über gespeicherte Prüfsummen kontrollieren lässt – ein solcher Wert macht eine Datei nicht unveränderbar, aber er macht jede nachträgliche Veränderung erkennbar. Das Aktivitätenprotokoll dokumentiert Änderungen im System. Verarbeitungsverzeichnisse und Berichte lassen sich je Mandant als PDF oder DOCX erzeugen. Ein mehrstufiges Berechtigungskonzept trennt Zugriffe, der Betrieb erfolgt in ISO-27001-zertifizierten Rechenzentren in Deutschland.
"Ich habe die Software mit den Fragen geprüft, die ich sonst anderen stelle. Das ist ein unbequemer Maßstab. Aber wenn ich ihn bei mir selbst nicht anlege, kann ich ihn schlecht bei anderen einfordern."
Der Alltag: ein Ort statt vieler
Was sich seither verändert hat, beschreibt sich am ehesten als Verlagerung. Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge, Datenschutz-Folgenabschätzungen, Betroffenenanfragen und Fristen liegen je Mandant an einem Ort statt verteilt über Ablagen, Postfächer und Endgeräte. Rückfragen laufen am Dokument, nicht in einem E-Mail-Verlauf, den man später rekonstruieren muss. Wiedervorlagen melden sich von selbst, statt in einer Merkliste zu versanden.
Für die Mandanten ändert sich vor allem die Auskunftsfähigkeit. Die Frage „Wie ist bei uns eigentlich gerade der Stand?“ ist keine Recherche mehr, sondern eine Auskunft. Und wenn es ernst wird – eine Betroffenenanfrage mit Frist, eine Rückfrage der Aufsichtsbehörde, ein Kunde, der vor Vertragsabschluss den Datenschutz prüft – liegt der Nachweis nicht in der Erinnerung des Beraters, sondern im System.
Der Einwand, den jede kleine Beratung kennt
Wer einen Einzelberater beauftragt, stellt früher oder später dieselbe Frage: Was passiert bei Urlaub, bei Krankheit, bei einer Übergabe? Es ist ein berechtigter Einwand, und er lässt sich nicht mit Zusicherungen entkräften, sondern nur mit Struktur.
Genau hier zahlt sich aus, dass der Betreuungsstand vollständig im System liegt und nicht in Köpfen und lokalen Ablagen. Eine Vertretung findet den aktuellen Stand vor. Ein Nachfolger übernimmt eine geführte Dokumentation statt eines Datenberges. Und der Mandant bleibt in jedem dieser Fälle auskunfts- und handlungsfähig.
"Dass ich allein arbeite, darf für meine Mandanten kein Risiko sein. Der Nachweis, dass es keines ist, steht nicht in meinem Angebot – er liegt im System."
Was die Software nicht abnimmt
Zur Ehrlichkeit gehört die Gegenrichtung. Ein sauber geführtes System belegt noch nicht, dass in einem Betrieb tatsächlich datenschutzkonform gearbeitet wird. Nicht gemeldete Tools, gewachsene lokale Listen, fehlende Löschroutinen, ungeschulte Beschäftigte – solche Abweichungen entstehen im Alltag und nicht in der Dokumentation.
preeco | datenschutz liefert die Werkzeuge, um ihnen auf die Spur zu kommen: wiederkehrende Datenerfassungsformulare zur Selbstauskunft, Wiedervorlagen für periodische Reviews, Audits und Audit-Kataloge, Schulungen mit Nachweis, Pflichtfreigaben vor Veröffentlichung. Die Bewertung dessen, was dabei zutage tritt, bleibt fachliche Arbeit – und genau die ist die Leistung, für die Mandanten einen externen Datenschutzbeauftragten beauftragen.
"Die Software nimmt mir das Sortieren ab. Nicht das Urteilen."
Glaubwürdigkeit ist Teil der Leistung
Über seiner Arbeit steht ein Satz, den Tobias Hess auf der Startseite seiner Website an den Anfang stellt: „Wer Datenschutz authentisch lebt, schafft Vertrauen.“ Das ist bei ihm keine Formel – dieselbe Website führt eigene Rubriken zum eigenen Umgang mit Daten, weist auf den eingesetzten Skriptblocker hin und macht Barrierefreiheit zum Thema.
Daraus folgt ein Auswahlkriterium, das in Lastenheften selten auftaucht und für einen Datenschutzberater trotzdem entscheidend ist: Wer Datenschutz berät, haftet mit der eigenen Reputation für die Werkzeuge, die er einsetzt und seinen Mandanten zumutet. Entwicklung und Betrieb in Deutschland sind aus dieser Perspektive keine Zusatzfunktion, sondern Voraussetzung.
Ausblick
DSGVO-Service will das Mandantenportfolio weiter ausbauen und das eigene Schulungs- und Fortbildungsangebot stärker in die laufende Betreuung einbinden.
Sie betreuen Mandate als externer Datenschutzbeauftragter?
In einem persönlichen Gespräch zeigen wir Ihnen preeco | datenschutz und Ihre Möglichkeiten.