Warum unkontrollierte Tabellen zum Compliance-Risiko werden

Tabellenkalkulationen gehören zur Grundausstattung nahezu jedes Büros. Oft werden sie schon dann eingesetzt, wenn lediglich die Spaltenanzahl in einem Textverarbeitungsprogramm nicht ausreicht. Doch sobald personenbezogene Informationen in diesen Dateien gespeichert und verarbeitet werden, steigen die Anforderungen an den Datenschutz massiv an. Häufig entstehen handfeste DSGVO-Probleme, wenn Excel-Listen unkontrolliert per E-Mail im Unternehmen kursieren oder von mehreren Personen ohne klare Rechtevergabe bearbeitet werden. Für Geschäftsführer und IT-Verantwortliche im Mittelstand stellt sich daher die Frage, ab wann die flexible Tabelle zu einem unkalkulierbaren Haftungsrisiko wird.

Versteckte Daten: Die technischen Tücken der Tabellenkalkulation

Ein Großteil der Datenpannen im Umgang mit Tabellenkalkulationen resultiert nicht aus böser Absicht, sondern aus schlichter Unachtsamkeit im hektischen Büroalltag. Die Software bietet einen enormen Funktionsumfang, der es Nutzern erlaubt, Informationen auf vielfältige Weise zu speichern – aber eben auch zu übersehen.

Folgende Programmfunktionen können unbeabsichtigt zu einer Offenlegung personenbezogener Daten führen:

• Mehrere Arbeitsblätter: Eine Arbeitsmappe öffnet sich zwar meist mit einem sichtbaren Blatt, kann jedoch zahlreiche weitere, über Reiter am unteren Rand erreichbare Blätter enthalten. Die Anzahl der Blätter ist theoretisch nur durch den verfügbaren Arbeitsspeicher des Rechners begrenzt.
• Ausgeblendete Arbeitsblätter: Nutzer können komplette Arbeitsblätter über das Kontextmenü verstecken. Wer eine fremde Datei übernimmt, ahnt oft nicht, dass sich im Hintergrund noch verborgene Registerkarten mit sensiblen Notizen befinden.
• Weit entfernte Zellbereiche: Aktuelle Dateiversionen erlauben über eine Million Zeilen und mehr als 16.000 Spalten. Das entspricht rund 17 Milliarden Zellen pro Arbeitsblatt. Daten, die weit unten oder weit rechts eingetragen wurden, sind auf den ersten Blick nicht sichtbar. Erst Tastenkombinationen wie Strg+Ende springen zur letzten aktiven Zelle und offenbaren die tatsächliche Ausdehnung der Einträge.
• Unsichtbare Spalten, Zeilen und Zellen: Einzelne Spalten oder Zeilen lassen sich komplett ausblenden, was nur durch eine Lücke in der alphabetischen oder numerischen Beschriftung am Rand auffällt. Zudem können Inhalte einzelner Zellen durch benutzerdefinierte Formatierungen (wie die Eingabe von drei Strichpunkten) optisch verborgen werden, obwohl die Werte in der Bearbeitungsleiste noch existieren.
• Metadaten und Änderungshistorie: Informationen über den Autor oder versteckte Protokollierungen von Zelländerungen können ebenfalls personenbezogene Daten enthalten, die nur sichtbar werden, wenn eine Zelle aktiv ist oder mit der Maus überfahren wird.

Bevor solche Dateien intern oder extern weitergegeben werden, sollten sie daher akribisch auf unsichtbare Fragmente geprüft werden. Ein fehlender Check kann schnell weitreichende Konsequenzen haben.

Der menschliche Faktor beim Datenschutz im Excel-Verteiler

Besonders kritisch wird es, wenn Dateien als Basis für Massenkommunikation dienen. Es ist eine gängige Praxis, Adressbücher für Serienbriefe oder Mailings aus Tabellenkalkulationen zu exportieren oder per Drag & Drop in E-Mail-Clients zu übertragen. Ebenso können Kontakte aus solchen Dateien in E-Mail-Programme importiert werden, um daraus Verteilerlisten für den massenhaften Versand zu generieren. Teilweise wird sogar versucht, Tabellen als dynamische Datenquelle direkt an Mailserver anzubinden.

Die Frage, worauf Sie beim Datenschutz im Excel-Verteiler achten müssen, lässt sich am besten an einem drastischen Praxisbeispiel verdeutlichen: Im Jahr 2024 verschickte der Deutsche Allergie- und Asthmabund (DAAB) versehentlich eine komplette Mitgliederliste an seinen E-Mail-Verteiler mit rund 10.000 Empfängern. Die angehängte Tabelle, die eigentlich nur intern für Serienbriefe gedacht war, enthielt Namen, Anschriften, E-Mail-Adressen und Geburtsdaten der Mitglieder.

Dieser Fall zeigt exemplarisch die Risiken:

• Da es sich bei den Mitgliedern üblicherweise um Asthma- oder Allergie-Patienten handelt, waren hier potenziell sensible Gesundheitsdaten im Sinne von Artikel 9 der Datenschutz-Grundverordnung betroffen.
• Laut Einschätzung der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen handelte es sich um einen menschlichen Fehler, der ein mittleres Risiko für die Betroffenen darstellte.
• Ehemalige Datenschutzbeauftragte bewerteten das Risiko aufgrund der Sensibilität der Daten jedoch als höher und empfahlen eine aktive Information der Betroffenen, um diese vor möglichem Missbrauch zu warnen.

Sobald eine Datei den eigenen Rechner als E-Mail-Anhang verlässt, ist die Kontrolle darüber unwiederbringlich verloren. Es lässt sich im Nachhinein nicht mehr feststellen, wer die Datei geöffnet, kopiert oder weitergeleitet hat.

Welche Compliance-Risiken bergen Excel-Listen im Arbeitsalltag?

Besonders in Personalabteilungen ist der Einsatz von dezentralen Tabellen für die Zeiterfassung oder Urlaubsplanung noch weit verbreitet. Doch gerade bei Mitarbeiterdaten gelten strenge regulatorische Anforderungen. Die Compliance-Risiken durch Excel-Listen entstehen vor allem dort, wo rechtliche Vorgaben auf strukturelle Limitierungen der Software treffen.

Unternehmen unterliegen der sogenannten Rechenschaftspflicht: Sie müssen im Zweifelsfall nachweisen können, dass sie die datenschutzrechtlichen Vorgaben einhalten. Die Beweislast liegt beim Arbeitgeber. Zu den zentralen Herausforderungen gehören:

• Auskunftspflicht: Beschäftigte haben das Recht zu erfahren, ob und in welchem Umfang ihre personenbezogenen Daten verarbeitet werden. Wenn diese Informationen in dutzenden, individuell benannten Dateien über verschiedene Netzlaufwerke verstreut sind, ist eine vollständige und fristgerechte Auskunft kaum zu bewerkstelligen.
• Löschfristen: Sobald der Zweck der Datenverarbeitung entfällt, müssen die entsprechenden Daten unverzüglich gelöscht werden. Dies betrifft beispielsweise Informationen von abgelehnten Bewerbern, die ohne explizite Einwilligung nicht auf unbestimmte Zeit gespeichert werden dürfen. Tabellenkalkulationen bieten keine automatisierte Überwachung solcher Fristen.
• Fehlende Revisionssicherheit: Lokale Dateien lassen sich leicht manipulieren. Es gibt keine transparente Historie, die zweifelsfrei dokumentiert, wer zu welchem Zeitpunkt rückwirkend Daten geändert hat. Manuelle Eingriffe stellen eine große Fehlerquelle dar.
• Berechtigungskonzepte: Nicht jeder im Unternehmen darf alles wissen; selbst Vorgesetzte dürfen bestimmte Informationen nicht pauschal einsehen. Ein granulares Rechtemanagement, das Zugriffe auf Basis von Positionen oder Tätigkeiten steuert, lässt sich in simplen Dateisystemen kaum rechtssicher abbilden.

Werden diese Pflichten verletzt, drohen ernsthafte Konsequenzen. Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 4 Prozent des weltweiten Jahresumsatzes geahndet werden. Unternehmen tun daher gut daran, diese Risiken mit der zuständigen Fachberatung oder dem Datenschutzbeauftragten zu evaluieren.

Grenzen der Machbarkeit: Wenn Prozesse zu komplex werden

Oft beginnt alles mit einer einfachen Übersicht. Doch mit der Zeit wachsen die Dateien zu geschäftskritischen Werkzeugen heran. Die Grenzen zeigen sich oft nicht erst bei einem Audit, sondern im täglichen Arbeitsablauf.

Ein typisches Beispiel ist das Einholen und Verwalten von Einverständniserklärungen. An Schulen müssen beispielsweise Zustimmungen für Fotoaufnahmen oder Veröffentlichungen auf Webseiten detailliert dokumentiert werden. Wenn es dabei bis zu neun unterschiedliche Zustimmungskriterien gibt, wird es extrem schwierig, diese über Filter in einer exportierten Tabelle fehlerfrei auszuwerten und zu erkennen, wo noch Unterschriften fehlen. Standard-Exportfunktionen liefern oft nicht die nötigen Datenfelder, um komplexe Willenserklärungen übersichtlich in Zeilen und Spalten darzustellen.

Dieses Problem lässt sich auf den Mittelstand übertragen. Wenn Genehmigungs-Workflows oder Dokumentenfreigaben über Tabellen gesteuert werden, geht der Überblick schnell verloren. Wer hat wann was freigegeben? Auch die interne Kommunikation leidet, wenn veraltete Dateiversionen per Mail an die Belegschaft geschickt werden, statt solche Prozesse über moderne Kanäle (etwa Mitarbeiter-Apps) zu bündeln.

Strukturierte Datenhaltung als Ausweg

Um rechtliche und operationelle Risiken zu minimieren, gilt es von dateibasierten Insellösungen Abschied zu nehmen. Das bedeutet, Daten in Systemen zu zentralisieren, die den Grundsätzen des Datenschutzes durch Technikgestaltung (Privacy by Design) entsprechen. Solche Lösungen ermöglichen es, Berechtigungen exakt zu steuern, Löschfristen systematisch zu hinterlegen und jeden Bearbeitungsschritt nachvollziehbar zu protokollieren.

Wenn Standardsoftware die spezifischen Abläufe eines Unternehmens – etwa historisch gewachsene Legacy-Systeme, die abgelöst werden müssen – nicht ausreichend abbilden kann, ist die Entwicklung einer Individualsoftware eine strategische Option. Sie erlaubt es, exakt die Freigabeprozesse und Datenstrukturen zu implementieren, die das Unternehmen für einen sauberen und sicheren Ablauf benötigt. Die genauen Kosten für Individualsoftware hängen dabei stark vom gewünschten Funktionsumfang und den Sicherheitsanforderungen ab. Oft lohnt es sich, zunächst mit einer MVP-Entwicklung (Minimum Viable Product) zu starten, um den wichtigsten Kernprozess – etwa die sichere, zentrale Stammdatenverwaltung – zügig und budgetschonend auf ein neues, kontrolliertes Fundament zu stellen.

Häufig gestellte Fragen (FAQ)

Wie können verborgene Daten in Arbeitsmappen zu einem Risiko werden?

Tabellenkalkulationen erlauben es, einzelne Arbeitsblätter, Spalten oder Zeilen komplett auszublenden. Auch können Zellinhalte über benutzerdefinierte Formate optisch unsichtbar gemacht werden. Werden solche Dateien ungeprüft weitergegeben, können Dritte diese Elemente leicht wieder einblenden und sensible, nicht für sie bestimmte Informationen auslesen.

Warum ist die Verwaltung von Bewerberdaten in Tabellen kritisch?

Bewerberdaten dürfen nur für bestimmte Zwecke und nicht auf unbestimmte Zeit gespeichert werden. Sobald der Zweck entfällt, müssen die Daten gelöscht werden. In simplen Dateien lassen sich solche automatisierten Löschfristen nicht zuverlässig umsetzen, was das Risiko von Verstößen erhöht.

Wer haftet, wenn Mitarbeiterdaten durch den E-Mail-Versand offengelegt werden?

Die Beweislast und Rechenschaftspflicht liegt grundsätzlich beim Arbeitgeber. Das Unternehmen muss nachweisen, dass es geeignete technische und organisatorische Maßnahmen getroffen hat, um personenbezogene Daten zu schützen. Bei gravierenden Verstößen können hohe Bußgelder verhängt werden.

Können Tabellen rechtssicher für die Auskunftspflicht genutzt werden?

Es wird in der Praxis sehr schwierig. Arbeitnehmer haben das Recht zu erfahren, welche Daten über sie verarbeitet werden. Wenn diese Informationen in vielen verschiedenen, individuell benannten Dateien verteilt sind, ist eine vollständige und fristgerechte Bündelung der Auskunft extrem fehleranfällig und aufwendig.

Welche Rolle spielt die Revisionssicherheit?

Revisionssicherheit bedeutet, dass Änderungen an Datensätzen transparent und nachvollziehbar dokumentiert sind. Da sich lokale Dateien problemlos manipulieren lassen, ohne dass zweifelsfrei erkennbar ist, wer wann welche Einträge rückwirkend geändert hat, erfüllen sie diese Anforderung in der Regel nicht.