19. Juli 2026

Datenschutz in kommunalen Unternehmen – typische Fehler und wie Sie sie vermeiden

Datenschutz in kommunalen Unternehmen: Typische Fehler und wie Sie sie vermeiden

Kommunale Unternehmen verarbeiten täglich personenbezogene Daten. Stadtwerke führen Kunden- und Verbrauchskonten, Wasserverbände verwalten Anschlussdaten, Verkehrsbetriebe verarbeiten Fahrgast- und Beschäftigtendaten und kommunale IT-Dienstleister betreiben Systeme für Verwaltungen und Beteiligungen.

Datenschutz wird dabei häufig als Aufgabe des Datenschutzbeauftragten verstanden. Tatsächlich entsteht Datenschutz jedoch in den Fachprozessen, in Verträgen, in IT-Systemen und im täglichen Verhalten der Beschäftigten.

Viele Risiken beruhen nicht auf spektakulären Hackerangriffen, sondern auf unklaren Zuständigkeiten, unvollständigen Verträgen, zu weit vergebenen Berechtigungen oder schlecht vorbereiteten Digitalisierungsprojekten.

Lesezeit: ca. 11 Minuten
Zielgruppe: Geschäftsführungen, Werkleitungen, Datenschutzbeauftragte, IT-Verantwortliche und Fachabteilungen kommunaler Unternehmen
Das Wichtigste:

• Datenschutz ist eine Organisationsaufgabe und nicht allein Sache des Datenschutzbeauftragten.
• Besonders häufig entstehen Risiken bei Dienstleistern, Zugriffsrechten, Altverfahren und Sicherheitsvorfällen.
• Datenschutz sollte bereits bei Planung und Beschaffung neuer Systeme berücksichtigt werden.

Warum kommunale Unternehmen besonders gefordert sind

Kommunale Unternehmen vereinen häufig mehrere Besonderheiten:

• große und teilweise gesetzlich vorgegebene Kundenbestände,
• langfristige Vertragsbeziehungen,
• sensible Infrastruktur,
• politische und öffentliche Aufmerksamkeit,
• viele externe Dienstleister,
• historisch gewachsene IT-Systeme,
• Zusammenarbeit mit Kommunen und anderen Beteiligungen,
• besondere Anforderungen an Versorgungssicherheit.

Hinzu kommt, dass unterschiedliche Rechtsgrundlagen und Organisationsformen bestehen können. Ein kommunales Unternehmen kann je nach Tätigkeit privatrechtliche Verträge erfüllen, öffentliche Aufgaben wahrnehmen oder Daten im Auftrag einer Kommune verarbeiten.

Die datenschutzrechtliche Rolle muss deshalb für jeden wesentlichen Prozess konkret bestimmt werden.

Fehler 1: Datenschutz wird vollständig an den Datenschutzbeauftragten delegiert

Der Datenschutzbeauftragte berät, überwacht und unterstützt. Er übernimmt aber nicht die operative Verantwortung für alle Datenverarbeitungen.

Verantwortlich bleibt grundsätzlich die Organisation beziehungsweise deren Leitung.

In der Praxis sollte deshalb klar sein:

• Wer ist für den jeweiligen Fachprozess verantwortlich?
• Wer entscheidet über Zweck und Mittel der Verarbeitung?
• Wer pflegt die Dokumentation?
• Wer setzt technische Maßnahmen um?
• Wer kontrolliert Dienstleister?
• Wer meldet Datenschutzvorfälle?
• Wann wird der Datenschutzbeauftragte beteiligt?

Fehlen solche Zuständigkeiten, bleiben Hinweise des Datenschutzbeauftragten folgenlos oder Fachbereiche gehen davon aus, Datenschutz sei „bereits erledigt“.

Besser

Datenschutz sollte in bestehende Verantwortungsstrukturen integriert werden. Jeder wesentliche Prozess braucht einen fachlichen Verantwortlichen. Der Datenschutzbeauftragte wird rechtzeitig beteiligt, übernimmt aber nicht die Rolle der operativen Projektleitung.

Fehler 2: Das Verzeichnis der Verarbeitungstätigkeiten ist nur eine einmalige Bestandsaufnahme

Viele Organisationen haben nach Einführung der DSGVO ein Verzeichnis der Verarbeitungstätigkeiten erstellt. Danach wurde es nur noch selten aktualisiert.

Das Verzeichnis soll jedoch die tatsächlich durchgeführten Verarbeitungen abbilden. Es muss daher angepasst werden, wenn:

• neue Software eingeführt wird,
• Daten zu neuen Zwecken genutzt werden,
• Dienstleister wechseln,
• Schnittstellen eingerichtet werden,
• zusätzliche Empfänger hinzukommen,
• Löschfristen geändert werden,
• Verfahren zusammengelegt werden.

Die Datenschutzkonferenz führt das Verzeichnis der Verarbeitungstätigkeiten als eines der zentralen Instrumente der datenschutzrechtlichen Organisation. Datenschutzkonferenz

Besser

Verknüpfen Sie die Aktualisierung des Verzeichnisses mit Ihren Beschaffungs-, Projekt- und Änderungsprozessen. Eine neue Anwendung sollte nicht produktiv gehen, bevor Verantwortlichkeit, Zweck, Datenkategorien, Empfänger, Löschung und Sicherheitsmaßnahmen dokumentiert sind.

Fehler 3: Auftragsverarbeitung wird zu spät oder falsch eingeordnet

Kommunale Unternehmen setzen zahlreiche externe Dienstleister ein, beispielsweise für:

• IT-Betrieb,
• Cloud-Dienste,
• Abrechnung,
• Callcenter,
• Druck und Versand,
• Wartung,
• Aktenvernichtung,
• Personalsoftware,
• Kundenportale,
• Messdienstleistungen.

Nicht jeder Dienstleister ist automatisch Auftragsverarbeiter. Entscheidend ist, ob er personenbezogene Daten weisungsgebunden für das kommunale Unternehmen verarbeitet oder eigene Zwecke und Entscheidungsspielräume verfolgt.

Wird eine Auftragsverarbeitung angenommen, müssen die Anforderungen des Art. 28 DSGVO vertraglich geregelt werden. Dazu gehören insbesondere Gegenstand, Dauer, Zweck, Datenarten, Betroffenengruppen, Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragnehmer, Unterstützungspflichten und Rückgabe oder Löschung. Die Datenschutzkonferenz empfiehlt zudem eine nachvollziehbare Beschreibung der erforderlichen technischen und organisatorischen Maßnahmen. Datenschutzkonferenz

Typische Schwächen

• Der Vertrag wird erst nach Projektstart geschlossen.
• Die Leistungsbeschreibung passt nicht zum tatsächlichen Dienst.
• Unterauftragnehmer sind nicht transparent.
• Sicherheitsmaßnahmen bleiben abstrakt.
• Datenstandorte sind unklar.
• Lösch- und Rückgabepflichten fehlen.
• Prüfungsrechte sind praktisch nicht nutzbar.
• Verantwortlichkeiten bei Datenschutzvorfällen sind ungeklärt.

Besser

Klären Sie die datenschutzrechtliche Rolle vor der Ausschreibung oder Beauftragung. Datenschutzanforderungen gehören in die Leistungsbeschreibung und nicht erst in eine nachträgliche Anlage.

Fehler 4: Zugriffsrechte wachsen, werden aber nicht zurückgebaut

Beschäftigte wechseln Aufgaben, vertreten Kollegen oder arbeiten in Projekten. Häufig erhalten sie dafür zusätzliche Berechtigungen. Nach Ende der Tätigkeit werden diese Rechte nicht immer entfernt.

So entstehen über Jahre weitreichende Zugriffe, die für die aktuelle Aufgabe nicht mehr erforderlich sind.

Besonders riskant sind:

• Sammelkonten,
• geteilte Passwörter,
• Administratorrechte im Alltag,
• Zugriff ehemaliger Mitarbeiter,
• unkontrollierte Vertretungsrechte,
• Berechtigungen externer Dienstleister,
• fehlende Protokollierung sensibler Zugriffe.

Besser

Ein wirksames Berechtigungsmanagement sollte den gesamten Lebenszyklus abdecken:

1. Antrag und Genehmigung,
2. rollenbezogene Vergabe,
3. regelmäßige Überprüfung,
4. Anpassung bei Aufgabenwechsel,
5. sofortige Sperrung beim Ausscheiden,
6. Dokumentation privilegierter Zugriffe.

Der Grundsatz lautet: Beschäftigte erhalten nur die Zugriffe, die sie für ihre aktuelle Aufgabe benötigen.

Fehler 5: Löschkonzepte bestehen nur auf dem Papier

Kommunale Unternehmen müssen Daten häufig lange aufbewahren. Daraus wird manchmal der falsche Schluss gezogen, Daten dürften unbegrenzt gespeichert werden.

Tatsächlich können je nach Datenart unterschiedliche Fristen gelten:

• gesetzliche Aufbewahrungspflichten,
• Verjährungsfristen,
• laufende Vertragsbeziehungen,
• Nachweis- und Dokumentationspflichten,
• spezialgesetzliche Vorgaben,
• berechtigte Rechtsverteidigung.

Nach Ablauf des jeweiligen Zwecks und der einschlägigen Fristen sind Daten grundsätzlich zu löschen oder gegebenenfalls zu anonymisieren.

Typische Probleme sind:

• historische Dateiverzeichnisse,
• persönliche E-Mail-Postfächer,
• lokale Excel-Listen,
• Sicherungskopien,
• Testsysteme,
• Datenimporte aus Altsoftware,
• Papierarchive,
• unstrukturierte Netzlaufwerke.

Besser

Ein Löschkonzept muss technisch und organisatorisch umsetzbar sein. Es sollte Datenarten, Systeme, Fristen, Verantwortlichkeiten, Ausnahmen und Nachweise enthalten.

Planen Sie die Löschung bereits bei der Auswahl neuer Software. Ein System, das Daten nicht differenziert löschen kann, verursacht dauerhaft organisatorische Risiken.

Fehler 6: Datenschutzinformationen passen nicht zum tatsächlichen Prozess

Datenschutzerklärungen werden häufig aus Vorlagen übernommen. Sie nennen dann Zwecke, Empfänger oder Fristen nur allgemein oder stimmen nicht mit dem realen Verfahren überein.

Das betrifft beispielsweise:

• Kundenportale,
• Bewerbungsverfahren,
• Videoüberwachung,
• Kontaktformulare,
• Zähler- und Verbrauchsdaten,
• Newsletter,
• telefonische Aufzeichnungen,
• Schadensmeldungen,
• Veranstaltungen.

Besser

Die Datenschutzinformation sollte aus dem tatsächlichen Prozess entwickelt werden. Prüfen Sie insbesondere:

• Wer ist Verantwortlicher?
• Welche Daten werden erhoben?
• Zu welchem konkreten Zweck?
• Auf welcher Rechtsgrundlage?
• An wen werden Daten übermittelt?
• Wie lange werden sie gespeichert?
• Welche Rechte haben Betroffene?
• Besteht eine Pflicht zur Bereitstellung?
• Werden automatisierte Entscheidungen getroffen?

Fehler 7: Datenschutz und Informationssicherheit werden getrennt organisiert

Datenschutz schützt personenbezogene Daten. Informationssicherheit schützt unter anderem Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Systemen.

In kommunalen Unternehmen sind beide Bereiche eng verbunden.

Ein Ausfall der Abrechnung, ein kompromittiertes Kundenportal oder ein ungeschützter Fernwartungszugang kann gleichzeitig:

• die Versorgung oder den Geschäftsbetrieb beeinträchtigen,
• personenbezogene Daten gefährden,
• Meldepflichten auslösen,
• erhebliche Reputationsschäden verursachen.

Das Standard-Datenschutzmodell der Datenschutzkonferenz betont, dass technische und organisatorische Maßnahmen systematisch aus den Schutzzielen und Risiken der Verarbeitung abgeleitet werden müssen. Datenschutzkonferenz

Besser

Koordinieren Sie Datenschutz, Informationssicherheit, IT, Notfallmanagement und Fachbereiche. Verwenden Sie gemeinsame Risikobewertungen, statt mehrere voneinander getrennte Listen zu führen.

Fehler 8: Datenschutzvorfälle werden zu spät erkannt oder intern weitergeleitet

Ein Datenschutzvorfall beginnt nicht erst mit einem großen Cyberangriff.

Mögliche Vorfälle sind auch:

• eine E-Mail an den falschen Empfänger,
• verlorene Unterlagen,
• ein gestohlener Laptop,
• offen zugängliche Kundenkonten,
• ein falsch konfigurierte Cloud-Speicher,
• unbefugte Datenabfragen,
• Schadsoftware,
• eine fehlerhafte Veröffentlichung,
• ein kompromittiertes Benutzerkonto.

Das größte organisatorische Problem ist häufig nicht der ursprüngliche Fehler, sondern die verspätete interne Meldung.

Beschäftigte zögern, weil sie Sanktionen befürchten oder den Vorgang nicht für erheblich halten. Dadurch geht wertvolle Zeit für Bewertung und Gegenmaßnahmen verloren.

Besser

Schaffen Sie einen klaren Meldeweg:

• leicht erreichbar,
• allen Beschäftigten bekannt,
• auch außerhalb üblicher Arbeitszeiten nutzbar,
• mit festgelegten Ansprechpartnern,
• ohne unnötige Schuldzuweisung,
• mit dokumentiertem Bewertungsprozess.

Mitarbeiter sollten wissen: Eine schnelle interne Meldung ist Teil der Lösung.

Fehler 9: E-Mail-Kommunikation wird nicht nach Risiko differenziert

Kommunale Unternehmen übermitteln per E-Mail teilweise sensible Daten, etwa Vertragsunterlagen, Bankverbindungen, Verbrauchsdaten, Personalinformationen oder technische Infrastrukturangaben.

Nicht jede Nachricht erfordert denselben Schutz. Die geeigneten Maßnahmen hängen vom Risiko ab.

Die Datenschutzkonferenz hat hierzu Orientierungshilfen veröffentlicht und weist darauf hin, dass beim Versand personenbezogener Daten angemessene technische und organisatorische Schutzmaßnahmen erforderlich sind. Datenschutzkonferenz

Besser

Definieren Sie klare Kommunikationswege:

• normale E-Mail für geringes Risiko,
• Transportverschlüsselung als Mindeststandard,
• zusätzliche Inhaltsverschlüsselung oder sichere Portale für besonders schützenswerte Daten,
• Prüfung der Empfängeradresse,
• Zurückhaltung bei offenen Verteilerlisten,
• keine sensiblen Daten in unnötigen Anhängen,
• geregelte Nutzung privater E-Mail-Konten.

Fehler 10: Digitalisierung beginnt mit dem Produkt, nicht mit dem Prozess

Neue Software wird häufig ausgewählt, bevor der bestehende Prozess vollständig verstanden ist.

Danach muss Datenschutz nachträglich in ein fast fertiges Projekt integriert werden. Das führt zu Verzögerungen, Zusatzkosten oder funktionalen Einschränkungen.

Typische offene Fragen sind:

• Welche Daten werden wirklich benötigt?
• Können weniger Daten verarbeitet werden?
• Wer erhält Zugriff?
• Welche Schnittstellen entstehen?
• Wo werden Daten gespeichert?
• Welche Auswertungen sind geplant?
• Werden Daten für Training oder Produktverbesserung genutzt?
• Wie funktioniert die Löschung?
• Was geschieht beim Anbieterwechsel?

Besser

Datenschutz sollte bereits in die Bedarfsermittlung und Leistungsbeschreibung einfließen.

Prüfen Sie vor Beschaffung:

1. Zweck und erforderliche Daten,
2. datenschutzrechtliche Rollen,
3. Rechtsgrundlagen,
4. Risiken,
5. Sicherheitsanforderungen,
6. Löschmöglichkeiten,
7. Datenexport und Exit,
8. Unterauftragnehmer und Datenstandorte,
9. notwendige Datenschutz-Folgenabschätzung,
10. Beteiligung von Datenschutz und Informationssicherheit.

Fehler 11: Verantwortlichkeiten zwischen Kommune und Unternehmen bleiben unklar

Kommunen und ihre Unternehmen tauschen regelmäßig Daten aus. Dabei wird manchmal pauschal angenommen, innerhalb des „Konzerns Kommune“ könnten Daten frei weitergegeben werden.

Datenschutzrechtlich bleiben Kommune und Gesellschaft jedoch regelmäßig eigenständige Stellen. Für jede Übermittlung muss geklärt werden:

• Wer ist verantwortlich?
• Für welchen Zweck werden Daten übermittelt?
• Welche Rechtsgrundlage besteht?
• Benötigt der Empfänger sämtliche Daten?
• Ist eine Auftragsverarbeitung gegeben?
• Besteht eine gemeinsame Verantwortlichkeit?
• Welche Informationspflichten gelten?

Besser

Dokumentieren Sie Datenflüsse zwischen Kommune, Unternehmen und Beteiligungen ausdrücklich. Gesellschaftsrechtliche Verbundenheit ersetzt keine datenschutzrechtliche Rechtsgrundlage.

Ein pragmatischer Datenschutzprozess

Datenschutz muss nicht in jedem Projekt zu umfangreicher Zusatzbürokratie führen.

Ein praxistauglicher Prozess kann aus wenigen verbindlichen Fragen bestehen:

1. Werden personenbezogene Daten verarbeitet?
2. Wer entscheidet über Zweck und Mittel?
3. Welche Rechtsgrundlage besteht?
4. Welche Daten sind tatsächlich erforderlich?
5. Wer erhält Zugriff?
6. Welche Dienstleister sind beteiligt?
7. Welche Risiken bestehen?
8. Wie lange werden die Daten benötigt?
9. Wie werden Betroffene informiert?
10. Wer dokumentiert die Entscheidung?

Je früher diese Fragen beantwortet werden, desto geringer ist der spätere Korrekturaufwand.

Handlungsempfehlungen

Kommunale Unternehmen sollten insbesondere folgende Maßnahmen priorisieren:

• klare Verantwortlichkeiten für Fachprozesse festlegen,
• Verzeichnis der Verarbeitungstätigkeiten laufend aktualisieren,
• Datenschutz bereits in Beschaffung und Projektstart integrieren,
• Auftragsverarbeiter und Unterauftragnehmer systematisch prüfen,
• Berechtigungen regelmäßig rezertifizieren,
• praxistaugliche Löschregeln technisch umsetzen,
• Datenschutz und Informationssicherheit verzahnen,
• interne Meldewege für Vorfälle etablieren,
• Datenflüsse zur Kommune und zu Beteiligungen dokumentieren,
• Beschäftigte regelmäßig und zielgruppengerecht sensibilisieren.

Fazit

Die größten Datenschutzrisiken kommunaler Unternehmen liegen häufig nicht in fehlenden Datenschutzerklärungen, sondern in organisatorischen Lücken.

Unklare Zuständigkeiten, ungeprüfte Dienstleister, übermäßige Zugriffsrechte, nicht umgesetzte Löschkonzepte und verspätet gemeldete Vorfälle sind vermeidbar. Voraussetzung ist, dass Datenschutz als Bestandteil der Betriebsorganisation und nicht als isolierte Aufgabe verstanden wird.

Ein wirksamer Datenschutzprozess muss verständlich, praktikabel und eng mit IT, Informationssicherheit, Beschaffung und Fachbereichen verbunden sein.

Benötigen Sie Unterstützung beim Datenschutz?

Ich berate kommunale Unternehmen und öffentliche Einrichtungen pragmatisch und mit Verständnis für kommunale Strukturen. Wenn Sie Datenschutzprozesse prüfen, Verträge mit Dienstleistern gestalten oder neue digitale Verfahren rechtssicher einführen möchten, nehmen Sie gern Kontakt auf.