Datenmigration und Datenschutz: Pflichten und Nachweise in der Verwaltung
Datenmigration und Datenschutz: der Rechtsrahmen
Datenschutz bei der Datenmigration bezeichnet die Pflicht, personenbezogene Daten während der Übertragung aus einem Quellsystem in ein Zielsystem durchgehend zu schützen und diesen Schutz nachzuweisen. Rechtlich ist die Migration eine eigene Verarbeitung mit eigenem Zweck und eigener Risikolage. Sie endet nicht mit dem Go-live, sondern erst, wenn Zwischenstände und Altdaten gelöscht sind.
Der Aufwand wirkt lästig, bis der erste Vorfall öffentlich wird. Nur rund ein Drittel der Menschen in Deutschland vertraut dem Staat noch, 2022 waren es 38 Prozent (eGovernment MONITOR 2025). Eine Datenpanne beim Umzug eines Fachverfahrens kostet genau von dieser knappen Ressource. Verlorenes Vertrauen holt kein Patch zurück. Den Gesamtprozess beschreibt der Leitfaden zur Datenmigration.
Welche Rechtsgrundlage trägt eine Datenmigration?
Das Zielsystem erbt die Rechtsgrundlage nicht automatisch. Personenbezogene Daten dürfen nur übernommen werden, wenn der ursprüngliche Verarbeitungszweck im neuen Verfahren fortbesteht. Bei Behörden trägt das meist eine Rechtsvorschrift nach Art. 6 Abs. 1 Buchstabe e DSGVO, also die Wahrnehmung einer Aufgabe im öffentlichen Interesse. Ändert sich mit dem Verfahren auch der Zweck, braucht dieser Teil der Daten eine eigene Grundlage. Auffällig wird das bei Nebenbeständen, die im Altsystem über Jahre mitgewachsen sind.
Datenschutz und Datensicherheit unterscheiden
Beide Begriffe werden vermischt, und das reißt Lücken. Datensicherheit schützt Daten vor Verlust und unbefugtem Zugriff, unabhängig von einem Personenbezug. Welche Verlustarten bei der Datenübernahme entstehen, ist damit eine eigene Frage. Datenschutz regelt, ob eine Verarbeitung überhaupt zulässig ist und wer sie verantwortet. Ein perfekt verschlüsselter Transfer ist wertlos, wenn die Rechtsgrundlage fehlt. Umgekehrt hilft die sauberste Rechtsgrundlage nichts, wenn die Exportdatei ungeschützt auf einem Projektlaufwerk liegt. Beide Stränge gehören in dasselbe Dokument, das die IT-Compliance im Projekt verankert.
Das Risikofenster einer sicheren Datenmigration
Eine sichere Datenmigration scheitert selten an der Verschlüsselung des Transportwegs. Sie scheitert an den Nebenschauplätzen, die im Konzept zur Datenmigration nicht auftauchen. Zwischen Export und Abnahme existieren dieselben Daten plötzlich mehrfach, an Orten, für die niemand zuständig ist. Dieses Fenster ist der eigentliche Risikoraum jeder Datenmigration. In der öffentlichen Verwaltung geht es dabei um Melde- und Sozialdaten, wie sie Software für öffentliche Einrichtungen verarbeitet.
Exportdateien und Zwischenspeicher absichern
Ein Datenexport ist eine vollständige Kopie des Bestands ohne die Schutzmechanismen des Ursprungssystems. Auch ein gepacktes Archiv ändert daran nichts, denn die Datenkomprimierung vor der Migration verkleinert die Datei, schützt sie aber nicht. Rollenkonzept und Mandantentrennung bleiben in der Datenbank zurück, die Datei nimmt sie nicht mit. Aus einer geschützten Datenbank wird so eine ungeschützte Datei. Die operativen Prüfpunkte hält die Checkliste für die Datenbankmigration bereit. Sechs Punkte gehören vor dem ersten Export geklärt:
❗ Ablageort mit eigenem Berechtigungskonzept, nie ein Projektlaufwerk
❗ Verschlüsselung im Ruhezustand, nicht nur auf dem Transportweg
❗ Namenskonvention, aus der Inhalt und Löschdatum hervorgehen
❗ Benannte verantwortliche Person je Exportdatei
❗ Protokoll über jeden Zugriff auf die Datei
❗ Verbot lokaler Kopien auf Notebooks und Wechseldatenträgern
Dürfen Echtdaten in die Testmigration?
Echtdaten sind zulässig, aber nur unter denselben Schutzvorkehrungen wie im Produktivbetrieb. Testdaten aus einem Echtbestand sind keine Testdaten, sondern personenbezogene Daten in einer anderen Umgebung. Art. 32 DSGVO unterscheidet nicht zwischen Produktion und Test, sondern verlangt Maßnahmen nach dem Stand der Technik. Testsysteme sind genau dort schwächer geschützt, wo Echtdaten liegen. Bei der Ablösung einer Fachanwendung liegen in solchen Instanzen oft jahrzehntealte Bestände.
Anonymisieren oder synthetisch erzeugen
Der Ausweg ist selten der Verzicht auf realistische Daten, sondern deren Aufbereitung. Anonymisierung entfernt den Personenbezug unumkehrbar und nimmt die Daten aus dem Anwendungsbereich der DSGVO heraus. Pseudonymisierung ersetzt nur Identifikatoren und bleibt Verarbeitung personenbezogener Daten, weil die Zuordnung mit Zusatzwissen möglich ist. Für Lasttests und Formatprüfungen reichen synthetisch erzeugte Datensätze aus. Echtdaten braucht meist nur die fachliche Abnahme, und dafür genügt ein eng begrenzter Ausschnitt.
Zugriffsrechte im Migrationsteam begrenzen
Migrationsprojekte erzeugen einen stillen Rechtezuwachs. Ein Migrationsteam braucht kurzzeitig Lesezugriff auf Bestände, die im Regelbetrieb streng getrennt sind. Genau diese Bündelung hebt die Mandantentrennung für die Dauer des Projekts auf. Wird das Projekt verlängert, bleibt der erweiterte Zugriff oft bestehen. Erhöhte Rechte gehören befristet vergeben und nicht dauerhaft. Fünf Regeln haben sich bewährt:
- Eigene Migrationskonten statt persönlicher Verwaltungskonten
- Befristung auf die Projektphase mit automatischem Ablaufdatum
- Lesezugriff als Standard, Schreibrechte nur für den Ladevorgang
- Vier-Augen-Prinzip bei besonderen Kategorien personenbezogener Daten
- Wöchentliche Prüfung, welche Konten noch aktiv sind
Nachweispflichten bei der Datenmigration
Art. 5 Abs. 2 DSGVO verlangt vom Verantwortlichen, die Einhaltung der Grundsätze nachweisen zu können. Für ein Migrationsprojekt heißt das, dass Schutzmaßnahmen nicht nur getroffen, sondern dokumentiert sein müssen. Was nicht dokumentiert ist, gilt gegenüber der Aufsichtsbehörde als nicht geschehen. Der Datenschutzaufwand bleibt überschaubar, solange er mitläuft, und ist kaum nachholbar, wenn er am Ende rekonstruiert werden soll.
Datenmigration DSGVO-konform dokumentieren
Die Dokumentation einer Datenmigration ist die einzige Möglichkeit, den Vorgang später zu erklären. Sie beantwortet zwei Fragen, nämlich welche Daten bewegt wurden und wer dabei worauf zugreifen konnte. Beide Nachweise lassen sich im Nachhinein nicht mehr erzeugen. Ein Migrationsprotokoll unterscheidet sich deshalb von einem technischen Log, weil es fachlich lesbar bleiben muss. Diese Angaben gehören hinein:
- Zeitpunkt und Umfang jedes Export- und Ladevorgangs
- Beteiligte Konten mit dem genutzten Rechteumfang
- Angewandte Transformations- und Bereinigungsregeln
- Abweichungen zwischen Quell- und Zielbestand mit Begründung
- Freigabe der fachlichen Abnahme mit Datum und Person
- Nachweis über die Löschung aller Zwischenstände
Datenmigration DSGVO-konform beauftragen
Sobald ein externes Unternehmen Daten anfasst, wird es Auftragsverarbeiter nach Art. 28 DSGVO. Der passende Vertrag zur Auftragsverarbeitung existiert in vielen Behörden bereits, ist aber auf den Regelbetrieb zugeschnitten und deckt die Migration nur zufällig ab. Eine Datenmigration braucht andere Klauseln als ein Wartungsvertrag. Art. 28 Abs. 2 DSGVO verlangt zudem eine vorherige Genehmigung für weitere Auftragsverarbeiter. Im Migrationsteam sitzen aber häufig Fachleute, die kurzfristig dazukommen.
Vergabe und Eignungsnachweis prüfen
In der Vergabe lässt sich Datenschutzkompetenz schlecht abfragen, weil jeder Bieter sie zusichert. Belastbarer sind unabhängig geprüfte Nachweise, etwa eine Zertifizierung nach ISO 27001 oder ein testiertes Löschkonzept. Aufschlussreich ist die Frage, wie ein Bieter Zwischenstände einer früheren Datenmigration gelöscht hat. Wer darauf keine konkrete Antwort gibt, hat es vermutlich noch nie getan.
Datenschutz nach der Datenmigration
Mit dem Go-live endet das Projekt, nicht die Verarbeitung. Das Altsystem läuft weiter, die Exportdateien liegen am Ablageort, und die Testinstanz mit Echtdaten hat niemand angefasst. Diese Reste sind der häufigste Grund, warum Migrationen Jahre später zum Datenschutzproblem werden. Sie stehen in keinem Verzeichnis der Verarbeitungstätigkeiten und fallen erst bei einer Prüfung auf.
Wann dürfen die Altdaten gelöscht werden?
Die Löschung ist kein technischer Schalter, sondern eine Abwägung zwischen Aufbewahrungspflicht und Löschpflicht. Archivrechtliche Anbietungspflichten verlangen den Erhalt von Beständen, während die Speicherbegrenzung ihre Löschung fordert, sobald der Zweck entfällt. Die technische Stilllegung des Altsystems ist davon ein eigener Vorgang und folgt erst danach. Erst wenn beide Fristen geklärt sind, darf gelöscht werden. Diese Bestände sind abzuarbeiten:
- Aufbewahrungspflichtige Daten identifiziert und gesichert
- Anbietung an das zuständige Archiv geklärt
- Exportdateien und Zwischenspeicher gelöscht
- Testinstanzen mit Echtdaten zurückgebaut
- Zugriffskonten des Migrationsteams entzogen
- Löschung im Quellsystem protokolliert
Sichere Datenmigration mit TenMedia
TenMedia entwickelt Individualsoftware für Behörden und KRITIS-Betreiber und tritt in solchen Projekten selbst als Auftragsverarbeiter auf. Für die Berliner Feuerwehr entstand ein Notfallhandbuch zur koordinierten Gefahrenabwehr, bei dem Zugriffsschutz und Nachvollziehbarkeit von Beginn an in der Architektur lagen. Die nach ISO 27001 zertifizierten Abläufe gelten auch für Datenübernahmen aus Altverfahren. Rechtsberatung gehört ausdrücklich nicht zum Leistungsumfang, die technische und organisatorische Umsetzung der Vorgaben schon.
