SFC - Stephan Frank Consulting

Name: SFC - Stephan Frank Consulting
Address: Kopernikusplatz, Nuremberg, 90459, DE
Telephone: +4991114885292

Startseite
Deutschland
Nuremberg
SFC - Stephan Frank Consulting

Datenschutz und IT-Sicherheit für HR & Personalwesen ... DSGVO & Datenschutz sind super! 😉👍

04/09/2026

Homeoffice-Risiken kompakt

- Bildschirm sperren
- Keine Dokumente offen liegen lassen
- Keine Nutzung der Firmengeräte durch Familienmitglieder
- VPN verwenden
- Ausdrucke vernichten

Remote Work braucht strukturierte Regeln.

👉 SFC | Stephan Frank Consulting unterstützt bei Richtlinien & Awareness.

03/09/2026

BGH-Urteil mit Sprengkraft für Personaldienstleister

Personaldienstleister setzen auf externe Dienstleister:
Lohnabrechnung, Recruiting-Tools, Bewerbermanagementsysteme oder Cloud-Lösungen.

Annahme dabei ist oft:

👉 „Die Daten liegen ja beim Dienstleister – also liegt auch dort die Verantwortung.“

Der BGH stellt klar: Genau das stimmt nicht.

🔎 Der Fall – kurz erklärt

Ein Unternehmen hatte personenbezogene Daten durch einen Auftragsverarbeiter verarbeiten lassen. Nach Vertragsende sollten die Daten gelöscht werden.

👉 Problem:

Die Löschung wurde nicht überprüft. Später tauchten die Daten im Darknet auf.

➡️ Das Unternehmen haftet – nicht der Dienstleister.

⚖️ Was bedeutet das konkret für Personaldienstleister?

1. Ein Vertrag allein reicht nicht
2. „Pro forma“ Datenschutz bringt nichts
3. Verantwortung bleibt vollständig beim Verantwortlichen

🚨 Die zentrale Erkenntnis: Auftragsverarbeitung entlastet nicht – sie erweitert die Verantwortung.

📌 Typische Schwachstellen in der Praxis

❌ Keine Kontrolle, ob Daten wirklich gelöscht wurden
❌ Keine Dokumentation bei Vertragsende
❌ Fehlende Exit-Prozesse bei Dienstleistern
❌ Blindes Vertrauen in Anbieter („wird schon passen“)

🧩 Was jetzt zwingend notwendig ist:

1. Saubere Steuerung von Auftragsverarbeitern
- Auswahl nach Risiko
- Klare vertragliche Regelungen

2. Aktive Kontrolle
- Löschbestätigungen einholen
- Stichproben / Nachweise prüfen

3. Offboarding-Prozesse
- Was passiert mit Bewerberdaten nach Vertragsende?
- Wer prüft die Löschung?

4. Dokumentation
Nachweisfähigkeit ist entscheidend (Stichwort: Art. 5 Abs. 2 DSGVO)

👉 Datenschutz ist keine Delegationsaufgabe.
👉 Datenschutz ist Führungsaufgabe!

Gerade in der Personaldienstleistung, wo Vertrauen das Geschäftsmodell ist, kann ein solcher Vorfall existenzielle Folgen haben:

- Reputationsverlust
- Kundenverlust
- Bewerberverlust
- Bußgelder

🧠 Fazit

Wer mit Auftragsverarbeitern arbeitet, muss sie steuern – nicht nur beauftragen. Oder anders gesagt:

👉 „Outsourcing reduziert Aufwand – aber niemals Verantwortung.“

02/09/2026

Externe DPOs sind günstiger als interne.

Interne DPO:
• Hohe Personalkosten
• Schulungen
• Fortlaufende Weiterbildung
• Bindung an nur ein Unternehmen

Externe DPO:
• planbare monatliche Kosten
• Expertenlevel ohne Einarbeitung
• Zugriff auf ganze Teams statt Einzelpersonen
• Ausfallsicherheit (Urlaub, Krankheit)

➡️ Volle Expertise. Weniger Kosten. Null Risiko.

02/09/2026

KI im Datenschutz: Die Risiken, die 2026 wirklich zählen. Was du als DSB noch unterschätzt 👇

Als Datenschutzbeauftragter stehst du vor neuen Herausforderungen:

1. Datenqualität: KI-Systeme lernen aus vorhandenen Daten. Verzerrte oder fehlerhafte Datensätze führen zu diskriminierenden Entscheidungen.
2. Blackbox-Problematik: Komplexe KI-Modelle sind oft schwer nachvollziehbar. Wie erklärst du Betroffenen die Entscheidungsgrundlage?
3. Datenmissbrauch: KI ermöglicht tiefgreifende Analysen. Die Versuchung, Daten zweckentfremdet zu nutzen, steigt.
4. Automatisierte Entscheidungen: KI trifft zunehmend eigenständig Entscheidungen. Wie stellst du sicher, dass Betroffenenrechte gewahrt bleiben?
5. Datensicherheit: KI-Systeme sind attraktive Angriffsziele. Ein Hack kann massive Auswirkungen haben.
6. Datenminimierung: KI benötigt oft große Datenmengen. Wie vereinbarst du das mit dem Grundsatz der Datenminimierung?
7. Internationale Datenübermittlung: Cloud-basierte KI-Lösungen erfordern oft grenzüberschreitende Datenflüsse. Bist du dafür gerüstet?

Diese Risiken werden oft unterschätzt. Es liegt an dir, proaktiv Lösungen zu entwickeln.

Bereite dich jetzt vor. Die Zukunft des Datenschutzes hängt davon ab.

02/09/2026

„Wir wechseln doch nur das KI-Modell.“

Genau dieser Satz kann bei Personaldienstleistern zum Datenschutzproblem werden.

Ein Unternehmen nutzt bereits KI, um Lebensläufe zusammenzufassen. Nun soll ein neues Modell getestet werden. Technisch klingt das zunächst nach einem einfachen Tool-Wechsel.

Datenschutzrechtlich kann es aber etwas völlig anderes sein.

Denn mit dem neuen Modell können sich plötzlich entscheidende Fragen ändern:

• Welche Bewerberdaten werden verarbeitet?
• Für welchen Zweck werden sie genutzt?
• Greift ein neuer Anbieter auf die Daten zu?
• Wo findet die Verarbeitung statt?
• Werden Ergebnisse künftig für Auswahl- oder Personalentscheidungen verwendet?

Der entscheidende Punkt:

Nicht der Name des Tools ist relevant, sondern ob sich die Verarbeitung verändert.

Deshalb sollte vor dem Modellwechsel geprüft werden:

→ Rechtsgrundlage und Transparenz
→ Auftragsverarbeitung und Zugriffsrechte
→ Drittlandübermittlungen
→ Löschung und Speicherfristen
→ mögliche Datenschutz-Folgenabschätzung
→ zusätzliche Anforderungen der KI-Verordnung

So wird aus einem vermeintlich kleinen technischen Wechsel kein nachträgliches Datenschutzprojekt.

Denn die Verantwortung bleibt beim Unternehmen.

Nicht beim KI-Anbieter.
Nicht bei der IT.
Und auch nicht beim Algorithmus.

Meine Faustregel:

Ändern sich Zweck, Daten, Anbieter, Zugriffe, Verarbeitungsort oder Entscheidungslogik, gehört der Datenschutz wieder auf den Tisch.

➡️ Erst prüfen. Dann automatisieren.

Wie läuft das bei euch: Wird der Datenschutz bei einem Wechsel von KI-Modellen erneut einbezogen?

02/09/2026

NIS2 ist in Kraft. Aber was passiert, wenn morgen um 8:17 Uhr der Sicherheitsvorfall beginnt?

Ein Mitarbeiter kommt nicht mehr ins System.

Kurz danach folgen weitere Meldungen. Die IT entdeckt ungewöhnliche Aktivitäten.

Und plötzlich stellen sich ganz praktische Fragen:

Wer übernimmt die Leitung?
Wann wird die Geschäftsführung informiert?
Ist der Vorfall meldepflichtig?
Wer meldet ihn an das BSI?

Genau hier zeigt sich, ob Informationssicherheit funktioniert.

Ein Incident-Response-Plan allein macht noch keine Incident Response.

Deshalb sollte der Ernstfall regelmäßig durchgespielt werden.

Ein realistisches Szenario. Geschäftsführung, IT und ISB an einen Tisch. 60–90 Minuten.

Und immer wieder nur eine Frage:

„Was machen wir jetzt konkret?“

Dabei findet man häufig keine spektakulären technischen Schwachstellen.

Sondern unklare Zuständigkeiten, fehlende Kontaktdaten, unbekannte Abhängigkeiten und nicht geregelte Entscheidungen.

Und genau deshalb sind solche Übungen wertvoll.

Ein Sicherheitsvorfall ist der schlechteste Zeitpunkt, um herauszufinden, wie das eigene Sicherheitsmanagement eigentlich funktioniert.

Wann haben Sie Ihren Incident-Response-Prozess zuletzt wirklich getestet?

02/09/2026

„Wir löschen Bewerberdaten nach sechs Monaten.“

Diese Antwort höre ich häufig.

Meine nächste Frage:

„Woher weiß Ihr Bewerbermanagementsystem eigentlich, wann die sechs Monate vorbei sind?“

Dann wird es interessant.

Datenschutzhinweise vorhanden.
Löschfrist definiert.
Prozess dokumentiert.

Im System finden sich trotzdem Bewerbungen, die längst hätten gelöscht werden sollen.

Der Grund ist häufig erstaunlich einfach:

Eine Löschfrist löscht keine Daten.

Entscheidend ist der tatsächliche Prozess:

Wann beginnt die Frist?
Was löst die Löschung aus?
Erfolgt sie automatisch?
Wer kontrolliert sie?
Was passiert mit E-Mails, Anhängen und Exporten?

Ein Löschkonzept ist deshalb für mich kein Word-Dokument.

Es ist ein Prozess, der funktionieren und überprüft werden muss.

Mein einfacher Praxistest:

Nehmen Sie fünf Personen, deren Bewerbung oder Geschäftsbeziehung schon länger beendet ist.

Und suchen Sie nach deren Daten.

Was Sie dabei finden, sagt möglicherweise mehr über Ihr Datenschutzmanagement aus als Ihr Löschkonzept.

Werden Löschfristen bei Ihnen nur dokumentiert – oder wird die Löschung tatsächlich getestet?

02/09/2026

„NIS2 wird kein Cyber-Upgrade. Es wird ein Führungs-Test.“

NIS2-Richtlinie zwingt Unternehmen zu Governance, Risikomanagement und Haftungsklarheit.

Viele reagieren reflexartig:

- Gap-Analyse
- Richtlinien-Update
- Externer Berater

Projekt abgeschlossen

Das Problem:
NIS2 ist kein Dokumentationsprojekt.

Es ist ein Verantwortungs-Upgrade für die Geschäftsleitung.

Artikel 20 spricht Klartext:
Management ist verantwortlich.

Nicht die IT.
Nicht der CISO.
Nicht der Dienstleister.

Wenn ein Vorfall passiert, wird niemand fragen:
„War Ihr Policy-Ordner aktuell?“

Man wird fragen:
„Haben Sie angemessen gesteuert?“

NIS2 prüft nicht Ihre Firewall.
NIS2 prüft Ihre Führungsstruktur.

Und viele sind darauf nicht vorbereitet.

02/09/2026

„Personaldienstleister glauben oft, sie seien kein Cyber-Ziel.“

Ich arbeite viel mit Geschäftsführern in der Personaldienstleistung.

Und ich höre häufig:
„Wir sind doch kein Konzern.“
„Wir machen doch nur Personal.“

Sie speichern:

Lebensläufe

Gehaltsdaten

Krankheitsinformationen

Bewerberpools

Kundendaten

Vertragsdaten

Sie sind Daten-Drehscheibe zwischen:
Kandidaten, Kunden, Payroll, externen IT-Dienstleistern.

Sie sind nicht uninteressant.
Sie sind ein ideales Ziel.

Und wenn etwas passiert, geht es nicht nur um IT.

Es geht um:

Vertrauensverlust bei Bewerbern

Reputationsschaden bei Kunden

Vertragskündigungen

Haftung der Geschäftsführung

Viele investieren in Datenschutz-Dokumente.
Wenige investieren in echte Sicherheitsarchitektur.

Viele glauben, Einwilligungen lösen Probleme.
Sie lösen keine Ransomware.

Sicherheit in der Personaldienstleistung ist kein IT-Thema.
Es ist ein Vertrauensversprechen.

Und Vertrauen ist Ihr Geschäftsmodell.

Wenn das bricht, bricht nicht nur ein Server.
Dann bricht Ihr Markt.

01/09/2026

Ich bin Stephan Frank – und ich sage etwas, das in der Zertifizierungsbranche nicht jeder gern hört:

Zertifikate schaffen Vertrauen.
Aber sie verhindern keine Krisen.

ISO-Siegel an der Wand beruhigen Stakeholder.
Auditberichte füllen Ordner.
Compliance erzeugt das Gefühl von Kontrolle.

Und trotzdem werden Unternehmen gehackt.
Trotzdem fallen Systeme aus.
Trotzdem sind Verantwortlichkeiten im Ernstfall unklar.

Warum?

Weil Zertifizierung oft mit Sicherheit verwechselt wird.

Viele Organisationen optimieren auf das Audit – nicht auf den Ernstfall.
Sie bauen Prozesse, die prüfbar sind.
Aber keine Strukturen, die unter Druck funktionieren.

Ich denke wie ein CISO – und ein CISO weiß:
Ein Zertifikat misst Reife auf dem Papier.
Eine Krise misst Reife in der Realität.

Ich greife nicht Zertifizierungen an.
Ich greife die Illusion an, dass ein bestandenes Audit gleichbedeutend mit Resilienz ist.

Die entscheidende Frage lautet nicht:
„Bestehen wir das Audit?“

Sondern:
„Überleben wir den Vorfall?“

Sicherheit beginnt nicht beim Zertifizierer.
Sie beginnt bei der Führung.

Und wer glaubt, dass man Verantwortung outsourcen kann,
hat das Risiko bereits falsch verstanden.

Adresse

Kopernikusplatz
Nuremberg
90459

Telefon

+4991114885292

Webseite

http://www.stephan-frank.com/

Benachrichtigungen

Lassen Sie sich von uns eine E-Mail senden und seien Sie der erste der Neuigkeiten und Aktionen von SFC - Stephan Frank Consulting erfährt. Ihre E-Mail-Adresse wird nicht für andere Zwecke verwendet und Sie können sich jederzeit abmelden.