Personenbezug im FM Datenbestand erkennen
FM-Systeme enthalten häufig personenbezogene Informationen. Dazu gehören Namen in Tickets, Kontaktdaten, Zutrittsereignisse, Unterweisungsnachweise und Fotos von Arbeitsplätzen. Bei Erstbetrieb, neuer Vertragsperiode und Anbieterwechsel ist deshalb zu prüfen, welche Daten für den künftigen Betrieb benötigt werden und wer sie verarbeiten darf. Der technische Nutzen einer Information begründet für sich genommen noch keine zulässige Weitergabe. Auch historische Bestände benötigen eine nachvollziehbare Behandlung. Auch im Neubau entstehen personenbezogene Daten bereits vor dem ersten regulären Betriebstag. Zutrittsregistrierung, Einweisungen, Besucherverwaltung und Umzugsorganisation können unterschiedliche Zwecke und Verantwortliche haben. Diese Daten werden nicht ungeprüft in den späteren FM-Regelbetrieb übernommen. Bei einer Neuausschreibung ist zu klären, welche Verarbeitungen unverändert fortgeführt und welche neu eingeführt werden. Eine Wiederbeauftragung des bisherigen Anbieters beseitigt diese Prüfung nicht, wenn neue Systeme, Empfänger oder Auswertungen vorgesehen sind. Der Start-up verbindet deshalb den Vergleich der Verträge mit einer Prüfung der tatsächlichen Verarbeitung. Besonders relevant sind historische Freitexte und Anhänge, weil sie mehr personenbezogene Informationen enthalten können, als für die neue Aufgabenstellung erforderlich oder zulässig ist. Eine Datenübersicht verbindet Datenarten, Zwecke, Systeme, Empfänger und Verantwortlichkeiten. Besonders schutzbedürftige Informationen werden erkennbar gemacht und auf das notwendige Maß begrenzt. Freitextfelder verdienen besondere Aufmerksamkeit, weil dort unbeabsichtigt Gesundheitsangaben oder vertrauliche Beschäftigteninformationen stehen können. Der Übernahmeprozess sollte solche Inhalte nicht ungeprüft in breit zugängliche Zielsysteme übertragen.
Datenschutz bei Datenübernahmen sicherstellen
Datenschutzrechtliche Rollen konkret zuordnen
Die Rollen richten sich nach den tatsächlichen Aufgaben und Entscheidungen über die Verarbeitung. Ein FM-Dienstleister ist nicht für jede Tätigkeit automatisch Auftragsverarbeiter. Je nach Prozess können eigene Verantwortlichkeit oder andere Konstellationen vorliegen. Diese Einordnung wird fachkundig geprüft und anschließend in Verträgen, Prozessen und Berechtigungen umgesetzt. Allgemeine Vertragsbezeichnungen ersetzen die Prüfung des konkreten Verarbeitungsvorgangs nicht. Bei Auftragsverarbeitung werden die Anforderungen aus Artikel 28 DSGVO in eine passende Vereinbarung überführt. Unterauftragnehmer, Unterstützungspflichten und die Behandlung der Daten nach Vertragsende gehören dabei zur Betrachtung. Die Sicherheit der Verarbeitung wird risikogerecht nach Artikel 32 gestaltet. Zuständigkeiten für Datenschutzanfragen und Vorfälle müssen auch während der Übergangsphase eindeutig erreichbar sein.
Übertragung und Zugriff begrenzen
Vor der Migration wird festgelegt, welche personenbezogenen Informationen im Zielprozess erforderlich sind. Nicht benötigte Inhalte werden ausgeschlossen oder in geeigneter Weise reduziert. Der Übertragungsweg erhält angemessenen Schutz und eine nachvollziehbare Freigabe. Empfänger und Zugriffsrechte werden vor dem Import geprüft. Testumgebungen erhalten möglichst geeignete künstliche oder ausreichend geschützte Daten, damit ein Systemtest keine unnötige Verbreitung realer Personeninformationen auslöst. Die erfolgreiche Übertragung wird bestätigt, ohne sensible Inhalte in ungeschützte Protokolle zu schreiben. Fehlerdateien, lokale Exporte und temporäre Arbeitskopien werden in das Lösch- und Berechtigungskonzept einbezogen. Häufig entstehen Risiken gerade außerhalb des produktiven Systems, etwa durch unkontrollierte Tabellen oder E-Mail-Anhänge. Der Übernahmeprozess berücksichtigt deshalb sämtliche Arbeitsorte der Daten und die beteiligten Personen. Das Pflichtenexzerpt ordnet Datenschutzaufgaben den tatsächlichen Rollen zu. Bei einer Auftragsverarbeitung werden unter anderem Weisungen, Unterstützung, Unterauftragsverhältnisse und die vereinbarte Behandlung nach Vertragsende betrachtet. Andere Verarbeitungskonstellationen benötigen ihre jeweils passende Regelung. Der Auftraggeber stellt die erforderlichen Entscheidungen und zulässigen Datenbestände bereit; der Auftragnehmer setzt die ihm zugeordneten Schutz- und Nachweisanforderungen um. Für Testimporte werden Inhalt, Empfänger und Aufbewahrung begrenzt. Ein Fehlerprotokoll soll beispielsweise die betroffene Datensatzkennung enthalten, ohne unnötig den vollständigen Inhalt eines vertraulichen Tickets zu vervielfältigen. Diese operative Gestaltung macht Datenschutz im Start-up überprüfbar und verhindert, dass eine formal vorhandene Vereinbarung durch ungeordnete Arbeitskopien praktisch unterlaufen wird.
Rückgabe und Löschung nachvollziehbar organisieren
Zum Vertragsende werden Rückgabe, weitere zulässige Aufbewahrung und Löschung nach Datenart und Verantwortlichkeit festgelegt. Aufbewahrungspflichten oder notwendige Nachweise können einer sofortigen vollständigen Löschung entgegenstehen. Solche Bestände werden zweckgebunden und mit beschränktem Zugriff behandelt. Es gibt keine allgemeine Regel, nach der sämtliche FM-Daten am Wechselstichtag identisch zu löschen wären. Die konkrete Rechtsgrundlage und der jeweilige Zweck sind maßgeblich. Ein Abschlussnachweis beschreibt die übergebenen Bestände, betroffene Systeme und noch vorhandene Kopien. Für Sicherungen wird festgelegt, wann Daten im geregelten Sicherungszyklus entfallen und wie eine unzulässige Wiederverwendung verhindert wird. Der Nachweis sollte nachvollziehbare Vorgänge belegen. Eine pauschale Erklärung kann die tatsächliche Behandlung unterschiedlicher Systeme und Aufbewahrungsfälle nicht angemessen ersetzen.
Nutzung im Regelbetrieb wirksam kontrollieren
Nach dem Wechsel werden Berechtigungen anhand realer Rollen geprüft. Eine Reinigungskraft benötigt andere Informationen als die Personaldisposition oder der technische Administrator. Auswertungen zu Servicequalität und Leistung sollten mit möglichst wenigen personenbezogenen Angaben auskommen. Wenn neue Funktionen Beschäftigtenverhalten erfassen oder bewerten können, werden Datenschutz und einschlägige Beteiligungsrechte frühzeitig einbezogen. Technische Verfügbarkeit ist kein ausreichendes Freigabekriterium für solche Funktionen. Bei der Freigabe wird ein typischer Nutzerwechsel durchgespielt. Eine ausgeschiedene Person verliert die erforderlichen Rechte, ihre offenen Aufgaben werden einer befugten Rolle zugeordnet und notwendige Nachweise bleiben zweckgebunden verfügbar. Dabei zeigt sich, ob Berechtigung, Dokumentation und betriebliche Fortführung zusammenpassen. Eine reine Löschung des Kontos kann unzureichend sein, wenn lokale Exporte oder nachgelagerte Systeme weiter Zugriff erlauben. Umgekehrt dürfen benötigte Nachweise nicht ohne Prüfung vernichtet werden. Die vereinbarten Aufbewahrungs- und Löschregeln werden deshalb auf sämtliche relevanten Datenorte angewendet. Die Verantwortlichen dokumentieren die tatsächlich ausgeführten Schritte und offene technische Grenzen. Diese Nachweisführung unterstützt spätere Vertragswechsel und erleichtert die Bewertung, welche Informationen weitergegeben werden dürfen. Die laufende Organisation benennt Ansprechpartner, Pflegeprozesse und Kontrolltermine. Änderungen an Zwecken, Empfängern oder Systemen werden bewertet, bevor neue Datenflüsse entstehen. Beschäftigte erhalten verständliche Informationen zu den für sie relevanten Abläufen. Damit bleibt der Datenschutz ein Bestandteil des tatsächlichen FM-Betriebs und beschränkt sich nicht auf Unterlagen, die nur während der Mobilisierung erstellt wurden.
