DSGVO-konformes Wissensmanagement: Was KMU bei der Tool-Wahl beachten müssen

Wer für sein Unternehmen eine Wissensmanagement-Software einführt, denkt selten zuerst an Datenschutz. Dabei gilt: Sobald ein externes Tool Mitarbeiter- oder Kundendaten verarbeitet, greift die DSGVO, mit Bußgeldern von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen. Dieser Artikel zeigt, worauf Betriebe mit 3 bis 50 Mitarbeitern bei der Softwareauswahl konkret achten müssen.

Warum Datenschutz beim Wissensmanagement unterschätzt wird

Wissensmanagement-Plattformen gelten vielen als harmlose Werkzeuge: ein geteiltes Wiki, eine Sammlung interner Anleitungen, eine KI-gestützte Wissensdatenbank. Doch wer genau hinsieht, erkennt: Solche Systeme enthalten fast immer personenbezogene Daten. Wer hat welches Wissen dokumentiert? Welche Kundendaten sind in Notizen eingebettet? Wer hat Zugriff auf welche Prozessbeschreibungen?

Sobald ein externer Anbieter diese Daten verarbeitet, ist er ein Auftragsverarbeiter im Sinne der DSGVO. Damit greift ein ganzes Set an Pflichten, das kleine Betriebe häufig nicht auf dem Schirm haben.

Die drei größten Datenschutzfallen bei der Tool-Wahl

Serverstandort und Unternehmenssitz außerhalb der EU

Das Schrems-II-Urteil des Europäischen Gerichtshofs (C-311/18, Juli 2020) hat den EU-US Privacy Shield für ungültig erklärt. Seitdem ist die Datenübermittlung in die USA nur unter strengen Voraussetzungen erlaubt: Entweder der Anbieter ist unter dem Data Privacy Framework (DPF) zertifiziert, oder es braucht Standard-Vertragsklauseln (SCC) plus eine Transfer-Folgenabschätzung, ein Dokument, das in der Praxis bei den meisten kleinen Unternehmen fehlt.

Dazu kommt der US CLOUD Act: Er erlaubt US-Behörden unter bestimmten Voraussetzungen den Zugriff auf Daten, die von US-Unternehmen gespeichert werden, auch wenn die Server physisch in Europa stehen. Ein Serverstandort in Irland hilft also wenig, wenn das Unternehmen seinen Hauptsitz in San Francisco hat.

Empfehlung: Achten Sie darauf, dass sowohl der Serverstandort als auch der Unternehmenssitz des Anbieters in der EU liegen.

Fehlender Auftragsverarbeitungsvertrag

Artikel 28 DSGVO ist eindeutig: Jeder externe Dienstleister, der im Auftrag personenbezogene Daten verarbeitet, braucht einen schriftlichen Auftragsverarbeitungsvertrag (AVV). Das gilt für jede SaaS-Lösung und jede Cloud-Plattform.

Fehlt dieser Vertrag, liegt bereits ein Datenschutzverstoß vor, selbst wenn keine Daten abgeflossen sind. Die Aufsichtsbehörden prüfen das zunehmend aktiv: Die Hamburger Datenschutzbehörde führte 2025 gezielte Stichprobenprüfungen bei KMU durch und ahndete fehlende Vertragsgrundlagen für Drittanbieter-Dienste.

Prüfen Sie: Stellt Ihr Anbieter einen AVV ohne aufwändigen Sales-Prozess bereit? Seriöse Anbieter ermöglichen das im Self-Service.

Keine Lösch- und Berechtigungskonzepte

Scheidet ein Mitarbeiter aus, gilt das Prinzip der Datensparsamkeit nach Art. 5 DSGVO: Personenbezogene Daten dürfen nicht länger gespeichert werden, als es der Zweck erfordert. Viele Wissensmanagement-Tools bieten nur pauschale Löschfunktionen, oder gar keine.

Gleiches gilt für Zugriffsrechte: Nach Art. 25 DSGVO (Privacy by Design) soll Datenschutz in der Systemarchitektur verankert sein. Rollenbasierte Zugriffskontrolle ist deshalb keine Komfort-Funktion, sondern eine gesetzliche Anforderung.

Sieben Fragen, die Sie jedem Anbieter stellen sollten

Bevor Sie ein Wissensmanagement-Tool kaufen oder einführen, sollten Sie diese sieben Fragen beantworten können:

1. Serverstandort: Stehen die Server nachweislich in der EU, und ist das Unternehmen ebenfalls in der EU ansässig?
2. AVV: Gibt es einen DSGVO-konformen Auftragsverarbeitungsvertrag, der ohne Sales-Gespräch abrufbar ist?
3. Unterauftragnehmer: Welche Drittanbieter setzt der Anbieter ein (für Analyse, KI, E-Mail)? Sind diese DSGVO-konform?
4. Löschfunktionen: Können einzelne Nutzerprofile und ihre Daten vollständig und granular gelöscht werden?
5. Zugriffskontrolle: Lassen sich Zugriffsrechte rollenbasiert vergeben, sodass nur berechtigte Personen sensible Inhalte sehen?
6. Verschlüsselung: Werden Daten in Übertragung und Speicherung verschlüsselt?
7. Datenschutzerklärung: Ist sie auf Deutsch, aktuell und transparent, ohne versteckte Datenweitergaben?

Diese sieben Punkte decken die wesentlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO ab.

EU-Anbieter vs. US-Anbieter im Vergleich

Kriterium	US-Anbieter	EU-Anbieter
Serverstandort	USA oder global gemischt	EU (oft DE oder NL)
Schrems-II-Risiko	Hoch (ohne DPF-Zertifizierung)	Nicht relevant
US CLOUD Act	Ja, Behördenzugriff möglich	Nein
AVV nach EU-Recht	Vorhanden, aber oft US-Gerichtsstand	EU-Recht, direkt konform
Datenschutzerklärung	Meist nur Englisch	Deutsch, vollständig
Aufwand für Transfer-Compliance	Hoch (TIA + SCC erforderlich)	Gering

Was das in der Praxis bedeutet

Eine Steuerberatungskanzlei mit neun Mitarbeitern führt ein US-amerikanisches Wiki-Tool ein, um Mandantenprozesse zu dokumentieren. Der Anbieter betreibt ein Rechenzentrum in Irland. Keiner hat über einen AVV nachgedacht, eine Transfer-Folgenabschätzung existiert nicht.

Was fehlt: AVV, Transfer Impact Assessment, granulares Löschkonzept. Drei Datenschutzlücken, alle behebbar, aber nur, wenn man sie kennt. Der Serverstandort in Irland schützt nicht, weil das US-Mutterunternehmen dem CLOUD Act unterliegt.

Für Betriebe, die einen europäischen Anbieter mit Serverstandort in Deutschland suchen: Remainly verarbeitet alle Daten auf EU-Servern in Frankfurt, stellt einen AVV bereit und ist auf die Anforderungen kleiner Betriebe mit 3 bis 50 Mitarbeitern ausgelegt.

Die DSGVO macht keinen Unterschied zwischen Großunternehmen und kleinen Betrieben. Was sich unterscheidet, ist die Kapazität, einen Datenschutzvorfall zu verkraften, und die ist in einem Betrieb mit zehn Mitarbeitern begrenzt. Wer bei der Tool-Wahl auf EU-Serverstandort, EU-Unternehmenssitz, AVV und granulare Löschfunktionen achtet, deckt die wesentlichen Anforderungen ab. Keine Raketenwissenschaft, eine Checkliste mit sieben Fragen reicht.

FAQ

Brauche ich als kleines Unternehmen mit 10 Mitarbeitern einen Auftragsverarbeitungsvertrag?

Ja. Die DSGVO kennt bei der AVV-Pflicht keine Ausnahme nach Unternehmensgröße. Sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, ist ein schriftlicher AVV nach Art. 28 DSGVO erforderlich, für einen Betrieb mit 5 Mitarbeitern genauso wie für einen mit 500.

Reicht es, wenn der Server des Anbieters in Irland oder einem anderen EU-Land steht?

Nein, nicht allein. Entscheidend ist auch der Unternehmenssitz. Ein US-Unternehmen mit Server in Irland unterliegt dem US CLOUD Act: US-Behörden können unter bestimmten Umständen auf die Daten zugreifen. Für maximale Rechtssicherheit sollten Unternehmenssitz und Serverstandort des Anbieters in der EU liegen.

Was passiert, wenn das Tool nicht DSGVO-konform ist und nichts passiert?

Datenschutzverstöße werden nicht nur bei Datenpannen geahndet. Aufsichtsbehörden prüfen aktiv und können Bußgelder verhängen, selbst wenn keine Daten abgeflossen sind. Fehlende Auftragsverarbeitungsverträge sind ein häufig geprüfter Verstoß und ein eigenständiger Bußgeldtatbestand.

Muss ich Mitarbeiterdaten nach dem Ausscheiden löschen?

Grundsätzlich ja, sofern kein berechtigtes Interesse an der Weiterverarbeitung besteht. Art. 5 Abs. 1 lit. e DSGVO (Datensparsamkeit / Speicherbegrenzung) verlangt, dass personenbezogene Daten nicht länger als notwendig gespeichert werden. Ein Wissensmanagement-Tool sollte die gezielte Löschung einzelner Nutzerprofile ermöglichen.

Was ist der Unterschied zwischen DPF-zertifizierten und nicht zertifizierten US-Anbietern?

Das Data Privacy Framework (DPF) ist das seit Juli 2023 gültige Nachfolgeabkommen zum Privacy Shield für EU-US-Datentransfers. Für DPF-zertifizierte Anbieter entfällt der Aufwand für Standard-Vertragsklauseln und Transfer-Folgenabschätzung. Ohne DPF-Zertifizierung müssen Unternehmen diese Dokumente selbst erstellen und pflegen, ein Aufwand, der für die meisten KMU kaum leistbar ist.