Zugriffe sind zu breit
Berechtigungen, geteilte Konten und externe Zugriffe werden nicht ausreichend begrenzt oder überprüft.
Regulatorik · DSGVO
DSGVO-Maßnahmen in technische und organisatorische Praxis übersetzen.
Wir unterstützen Sie dabei, Maßnahmenlücken im Umgang mit personenbezogenen Daten zu schließen – mit abgestimmten Zugriffskontrollen, geordneten und verantworteten Datenbeständen (Data Governance), Informationsschutz sowie Lifecycle- und Betriebsprozessen.
Stand 04.08.2026
Die Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018. Sie verlangt risikoadäquate, nachweisbare technische und organisatorische Maßnahmen und schreibt keine einzelne Standardtechnologie vor. Welche Maßnahme angemessen ist, hängt vom Verarbeitungskontext ab.
Typische Maßnahmenlücken
Wo Anforderungen im IT-Alltag häufig nicht durchgängig umgesetzt sind.
Datenbestände sind unklar
Personenbezogene Datenarten, Speicherorte, Owner und Schutzbedarf lassen sich nicht zuverlässig zuordnen.
Löschung bleibt theoretisch
Fristenkataloge sind nicht mit Microsoft-365-Inhalten, Workspaces und Freigaben verbunden.
Wiederherstellung ist nicht geprüft
Verfügbarkeit und Restore-Fähigkeit werden angenommen, aber nicht regelmäßig nachgewiesen.
Auftragsverarbeiter werden uneinheitlich gesteuert
Technische Nachweise, Kritikalität, Verträge und Exit-Prozesse laufen getrennt.
Vorfälle erreichen den Datenschutz zu spät
Zwischen IT-Incident-, Sicherheits- und Datenschutzprozessen gibt es keine geregelte Übergabe.
Ausgewählte Umsetzungsbeiträge
Maßnahmen statt allgemeiner Compliance-Versprechen.
Manche Maßnahmenbereiche setzen wir unmittelbar um, für andere schaffen wir Voraussetzungen oder liefern Beiträge im passenden Kontext.
Zugriffskontrolle
Identitäten, MFA, Berechtigungen und Lifecycle reduzieren unnötige Zugriffe und machen Entscheidungen nachvollziehbar.
Primärer BeitragDatenkategorien und Schutzbedarf
Fachliche Datenarten werden mit Schutzklassen, Freigabe- und Weitergaberegeln verbunden.
Primärer BeitragAufbewahrung und Löschung
Fristen, Trigger, Legal Holds, Disposition und Löschung werden technisch-organisatorisch umsetzbar.
Primärer BeitragBackup und Wiederherstellung
Kritische Inhalte und Konfigurationen werden nach definiertem Scope und getesteten Runbooks wiederhergestellt.
UnterstützendDienstleistersteuerung
Lieferanteninventar, Kritikalität, Nachweise und Exit unterstützen die Kontrolle von Auftragsverarbeitern.
UnterstützendIncident-Verknüpfung
IT- und Sicherheitsvorfälle werden mit definierten Rollen an Datenschutzbewertung und Meldeentscheidung übergeben.
UnterstützendTechnische und organisatorische Maßnahmen
Ein verbundenes Umsetzungsmodell.
Produktkonfigurationen wirken erst, wenn Richtlinien, Owner, Freigaben, Kontrollrhythmen und Incident-Wege dieselbe Zielsetzung tragen.
Technische Komponenten
Kontrollen und Plattformfunktionen
- Entra-basierte Authentisierung und Zugriffskontrolle
- Purview: Vertraulichkeitsbezeichnungen, Verschlüsselung, DLP und Aufbewahrungsrichtlinien
- Intune- und Defender-Schutz für Endgeräte
- Microsoft- oder AvePoint-Backup und Restore
- Jira-basierte Incident-, Vendor- und Nachweisprozesse
Organisatorische Maßnahmen
Verantwortung und Nachweis
- Verantwortlichkeiten für Daten, Systeme und Zugriffe
- Risikobasierte Schutz- und Freigaberegeln
- Aufbewahrungs-, Lösch- und Legal-Hold-Prozess
- Auftragsverarbeiter- und Lieferantensteuerung
- Incident-Eskalation zu Datenschutz und Recht
- Regelmäßige Wirksamkeits- und Ausnahmeprüfung
Passende Lösungen
Von der DSGVO-Anforderung zur umsetzbaren Lösung.
Lösung
Passwortmanagement
Mitarbeitende melden sich sicher an, ohne Zugangsdaten improvisiert verwalten oder weitergeben zu müssen.
LösungMulti-Faktor-Authentifizierung
Je sensibler der Zugriff, desto stärker die Anmeldung – nach Rolle, Gerät und Risiko.
LösungBerechtigungsmanagement
Jeder Zugriff hat einen nachvollziehbaren Zweck, eine verantwortliche Freigabe und ein überprüfbares Ende.
LösungUser Lifecycle Management
Ein Personalereignis löst die ganze Kette aus – Konto, Rechte, Gerät und Zugänge, mit Fristen, Verantwortlichen und Nachweisen.
LösungDatenkategorie-Management
Eine verständliche Auswahl beschreibt den fachlichen Inhalt – Schutz, Aufbewahrung und Auswertung können daran anschließen.
LösungSchutzbedarf und Informationsverschlüsselung
Schutzmaßnahmen folgen einem nachvollziehbaren Bedarf und bleiben für Mitarbeitende im Arbeitsablauf verständlich.
LösungArchivierungs- und Löschprozesse
Informationen bleiben so lange wie erforderlich – und werden danach freigegeben und mit Nachweis gelöscht.
LösungM365 Workspace-Governance
Jeder Workspace hat einen erkennbaren Zweck, verantwortliche Owner, passende Schutzregeln und einen definierten Lebenszyklus.
LösungBackup & Cyber Resilience
Kritische Daten und Identitätskonfigurationen lassen sich nach definierten Prioritäten, Rollen und Zeitvorgaben wiederherstellen.
LösungEndpoint Management
Nur geeignete, verwaltete oder angemessen geschützte Geräte greifen auf Unternehmensdaten zu – ohne den Arbeitsalltag unnötig zu blockieren.
LösungIT-Vendormanagement
Kritische IT-Dienstleister werden nach einheitlichen Kriterien ausgewählt, überwacht, gesteuert und bei Bedarf kontrolliert abgelöst.
LösungIT-Service-, Incident-, Change-Management
Anfragen, Störungen und Änderungen folgen verständlichen Wegen, nutzen denselben Servicekontext und erzeugen nachweisbare Verbesserungen.
LösungM365 für Unternehmensgruppen
Gesellschaften bleiben angemessen getrennt und arbeiten dort kontrolliert zusammen, wo die Gruppe gemeinsamen Nutzen benötigt.
Primärquellen
Lesen Sie im Original nach.
- Verordnung (EU) 2016/679 – offizieller TextEUR-Lex
- EUR-Lex Zusammenfassung zur DSGVOEuropäische Union
Externe Quellen öffnen in einem neuen Tab.
FAQ
Fragen vor dem Start.
Welche DSGVO-Artikel deckt eine Loptr-Lösung ab?
Eine Lösung „deckt“ keinen Artikel vollständig ab. Sie kann einzelne technische und organisatorische Maßnahmen unterstützen – etwa Zugriffsschutz, Speicherbegrenzung oder Wiederherstellung. Die rechtliche Einordnung erfolgt im jeweiligen Verarbeitungskontext.
Ist Verschlüsselung nach DSGVO immer verpflichtend?
Die DSGVO nennt Verschlüsselung als mögliche Maßnahme. Ob, wo und in welcher Form sie angemessen ist, hängt vom Risiko, Zweck, Daten, Empfängern und Prozess ab.
Kann Purview ein Verzeichnis von Verarbeitungstätigkeiten ersetzen?
Nein. Purview kann Datenbestände, Klassifizierung und Schutz unterstützen. Zweck, Rechtsgrundlage, Kategorien betroffener Personen und weitere VVT-Inhalte benötigen einen eigenen Datenschutzprozess.
Eine Maßnahmenlücke in einen umsetzbaren Auftrag übersetzen.
Sie schildern die Lücke, wir ordnen betroffene Systeme und Verantwortlichkeiten ein – und benennen ein prüfbares Ergebnis.