Niemand weiß, welche Daten wo liegen. Und erst recht nicht, wie schützenswert sie sind.
Fragt ein Auditor oder der Datenschutzbeauftragte, wo besonders schützenswerte Daten liegen, beginnt die Suche – durch Ablagen, von Zuständigkeit zu Zuständigkeit. Im Alltag sollen Mitarbeitende dasselbe Dokument mehrfach einordnen – für Datenschutz, Schutzbedarf und Aufbewahrung getrennt, mit Begriffen aus der Rechts- und IT-Sprache; am Ende bleiben die Felder leer, und keine Schutzregel greift. Wir geben Ihnen ein Kategorienmodell, das beides beendet: eine Auswahl, die nach dem fachlichen Inhalt fragt, Verantwortliche je Kategorie und eine technische Verankerung, auf der Schutz, Aufbewahrung und Suche aufsetzen.
Wissen, welche Daten wo liegen: Externe Treiber.
Das Verzeichnis von Verarbeitungstätigkeiten verlangt „eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten“ (Art. 30 Abs. 1 lit. c); und das dem Risiko angemessene Schutzniveau (Art. 32 Abs. 1) lässt sich nur zuordnen, wenn benannt ist, welche Daten es sind. Ein gepflegtes Kategorienmodell mit Speicherorten zahlt auf beides ein.
„Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“ – § 30 Abs. 2 Nr. 9 BSIG (EU: Art. 21 Abs. 2 lit. i). Verwalten lässt sich nur, was benannt ist: Datenkategorien mit Verantwortlichen unterstützen diese Konzepte.
VDA ISA 6 verlangt im Asset-Management die Erfassung und Klassifizierung von Informationswerten samt Regeln für ihre Handhabung – Kategorienkatalog und benannte Verantwortliche liefern den Nachweis für das Assessment in der Automotive-Lieferkette.
Risikofragebögen fragen nach Art, Umfang und Speicherorten sensibler und personenbezogener Daten. Wer Kategorien, Ablagen und Verantwortliche benennen kann, beantwortet sie ohne Schätzung – und im Schadenfall zählt dieselbe Übersicht für die Meldung.
Unsere technische Basis.
Angepasst an Ihre Umgebung und Lizenzen.
01 · Zielsysteme
Microsoft 365 – SharePoint, Teams, Exchange und OneDrive: Dort liegen die Dokumente, dort werden Kategorien als Metadaten und Bezeichnungen sichtbar – und steuern Suche, Schutz und Aufbewahrung.
02 · Durchführung & Self-Service
Microsoft Purview übernimmt die Kennzeichnung: Die Kategorie wird als Aufbewahrungsbezeichnung gesetzt, der Schutz folgt als Vertraulichkeitsbezeichnung; trainierbare Klassifizierer ordnen automatisch zu, wo die Trefferqualität stimmt. AvePoint zeigt unklassifizierte Bestände und gibt neuen Arbeitsbereichen die Kategorie bei der Bestellung mit.
03 · Prozess-Dokumentation & Ablauf
Jede neue Kategorie ein Antrag, jede Änderung am Katalog ein Change mit Spur – festgehalten in Jira Service Management.
Aus vielen Listen wird eine Auswahl, die im Alltag funktioniert.
Der Zuschnitt folgt Ihrer Ausgangslage und Lizenzsituation – der Kern ist in jedem Projekt derselbe. Sie nutzen andere Tools? Wir prüfen, wie sich unser Konzept am besten bei Ihnen abbilden lässt.
Anforderungs- und Datenlandkarte
Was Datenschutz, Sicherheit, Aufbewahrung und Fachbereiche an Kategorien fordern – und welche Datenarten wo liegen: abgeglichen zu einem Befund.
Kategorienkatalog mit Verantwortlichen
Kategorien mit Definitionen, Beispielen und Abgrenzungen, dazu Regeln für Misch- und Zweifelsfälle; je Kategorie ein benannter Verantwortlicher, der Begriff und Qualität pflegt.
Prozess: Einordnung, Pflege, Review
Einordnungshilfen für Mitarbeitende am Arbeitsplatz; neue Kategorien werden beantragt, bestehende regelmäßig geprüft – jeder Schritt als Ablauf in Jira Service Management.
Pilot & Umsetzung
Metadatenmodell und Kennzeichnung konfiguriert in Microsoft 365 und Purview, erprobt an ausgewählten Ablagen und Dokumenttypen – mit Rückmeldungen der Nutzer, dann schrittweise ausgeweitet.
Fragen vor dem Start.
Ist eine Datenkategorie dasselbe wie eine Schutzklasse?
Nein. Die Kategorie beschreibt, worum es sich fachlich handelt – Vertragsunterlagen, Bewerbungen, Konstruktionsdaten. Die Schutzklasse beschreibt, wie streng eine Information zu behandeln ist. Im Modell ist je Kategorie hinterlegt, welche Schutzklasse gilt – die Einordnung bringt den Schutz gleich mit. Gepflegt werden beide getrennt, damit sich fachliche Sprache und Schutzregeln sauber weiterentwickeln lassen.
Müssen Mitarbeitende dafür Datenschutz und Regulatorik kennen?
Nein – genau davon entlastet das Modell: Rechtliche und interne Anforderungen sind in die eine Frage übersetzt: Worum handelt es sich fachlich? Mitarbeitende wählen aus wenigen Begriffen mit Beispielen; das Spezialwissen bleibt bei den Verantwortlichen der Kategorien.
Läuft die Zuordnung automatisch – auch für den Bestand?
Teils. Regeln und trainierbare Klassifizierer in Microsoft Purview übernehmen viel, brauchen aber je Kategorie eine Prüfung der Trefferqualität – und je nach Microsoft-365-Plan zusätzliche Lizenzen; beides wird vor der Umsetzung geklärt. Der Bestand bleibt zunächst unverändert: Der Pilot beginnt bei den Dokumenttypen mit dem größten Risiko, der Rest folgt schrittweise.
Könnten Sie heute sagen, wo Ihre schützenswertesten Daten liegen?
30 Minuten Ausgangslage besprechen: Sie schildern Stand und Schmerzpunkte – etwa welche Listen heute nebeneinander laufen und wer sie pflegt –, Loptr ordnet ein.
Der passende Einstieg ist manchmal ein anderer.
Nicht jedes Datenproblem beginnt bei den Kategorien – vier typische Fälle:
Oder der Überblick: alle Lösungen im Bereich Data Governance →