Datenschutz in Migrationsprojekten: Risiken erkennen, Daten schützen, Systemwechsel sicher umsetzen

Datenschutz in Migrationsprojekten entscheidet mit darüber, ob ein Systemwechsel sicher gelingt. Ob ERP-Umstellung, Cloud-Umzug oder Ablösung einer Fachanwendung: In jeder Migration werden personenbezogene Daten kopiert, transformiert, getestet und archiviert. Gerade in diesen Phasen entstehen häufig Datenschutzrisiken, die im Projektverlauf leicht übersehen werden. Gleichzeitig bietet eine Migration die Chance, Datenbestände zu bereinigen und Datenschutzanforderungen von Anfang an im Zielsystem zu verankern.Wir zeigen, worauf es ankommt und wie BDO Unternehmen beratend und prüferisch begleitet.

Viele Unternehmen modernisieren derzeit ihre Systemlandschaft: S/4HANA-Umstellungen, der Wechsel in SaaS-Lösungen oder die Konsolidierung nach Unternehmenskäufen stehen auf der Agenda. Im Fokus stehen dabei meist Zeitplan, Budget und Funktionalität. Der Datenschutz wird häufig erst spät betrachtet – oft erst dann, wenn Produktivdaten bereits in Testumgebungen liegen oder ein Dienstleister im Drittland Zugriff erhalten hat.

Warum Datenschutz in Migrationen erfolgskritisch ist

Eine Migration ist datenschutzrechtlich keine rein technische Übertragung, sondern eine Verarbeitung personenbezogener Daten im Sinne der DSGVO. Jeder Extrakt, jede Transformation und jeder Testlauf braucht eine Rechtsgrundlage, einen klaren Zweck und angemessene Schutzmaßnahmen. Zwei Gründe machen das Thema für Geschäftsleitungen besonders relevant:

Projektrisiko: Datenschutzthemen, die erst kurz vor dem Go-live erkannt werden – etwa fehlende Löschkonzepte oder ungeklärte Drittlandtransfers – verzögern Produktivsetzungen und verursachen teure Nacharbeiten.
Vertrauen: Kunden, Beschäftigte und Geschäftspartner erwarten, dass ihre Daten auch beim Systemwechsel sicher bleiben. Ein Datenschutzvorfall während der Migration beschädigt die Reputation weit über das Projekt hinaus.

Gleichzeitig bietet jede Migration eine Chance: Wer Datenbestände ohnehin anfassen muss, kann Altdaten bereinigen, Aufbewahrungsfristen sauber umsetzen und Privacy by Design im Zielsystem von Anfang an verankern.

Typische Datenschutzrisiken entlang der Migrationsphasen

Die meisten Datenschutzrisiken entstehen nicht beim eigentlichen Cutover, sondern in den Phasen davor: bei der Datenanalyse, beim Testen und bei der Einbindung externer Dienstleister.

	Typisches Risiko	Empfohlene Maßnahme
Planung und Konzeption	Datenschutz wird nicht als Anforderung erfasst; keine Datenschutz-Folgenabschätzung (DSFA) trotz hohem Risiko	Verankerung der Datenschutzanforderungen im Lastenheft; Durchführung einer DSFA-Schwellwertanalyse (Pre-Assessment) direkt zu Projektbeginn
Datenanalyse und Bereinigung	Migration von Altdaten ohne gültige Rechtsgrundlage oder nach Ablauf der Aufbewahrungsfrist	Datenklassifizierung und Abgleich mit dem Löschkonzept; Herbeiführen einer dokumentierten Freigabe über zu migrierende Daten
Entwicklung und Test	Verwendung von Produktivdaten in Test- und Entwicklungsumgebungen mit unzureichenden Zugriffskontrollen	Anonymisierung oder Pseudonymisierung von Testdaten; Implementierung eines restriktiven Berechtigungskonzepts (Least-Privilege-Prinzip)
Dienstleister und Cloud	Fehlende oder unvollständige Verträge zur Auftragsverarbeitung (AVV); unregulierte Zugriffe aus Drittländern	Abschluss von AVVs gemäß Art. 28 DSGVO; Prüfung von Transfermechanismen und Subunternehmern
Cutover und Datenübertragung	Unverschlüsselte Datenübertragung, ungesicherte Zwischenspeicherung auf Laufwerken sowie unvollständige oder fehlerhafte Datenübernahme	Durchgängige Verschlüsselung und protokollierte Übertragungswege; formaler Abgleich von Vollständigkeit und Richtigkeit
Betrieb und Stilllegung	Fortbetrieb des Altsystems mit vollständigem Datenbestand ohne Zugriffsbeschränkung; fehlende Implementierung von Löschfristen im neuen Zielsystem	Umsetzung eines Stilllegungs- und Archivierungskonzepts; Einrichtung automatisierter Löschroutinen im Zielsystem; nachvollziehbarer Nachweis der Datenlöschung

Besonders häufig beobachten wir in der Praxis zwei Muster: Kopien von Produktivdaten, die nach Projektende in Testsystemen verbleiben, und Altsysteme, die „vorsichtshalber“ noch Jahre weiterlaufen – ohne aktuelles Berechtigungs- und Patchmanagement.

Der regulatorische Rahmen

Im Kern regelt die DSGVO, was in Migrationsprojekten zu beachten ist. Zunehmend greifen jedoch weitere Regelwerke ineinander, die Datenschutz, Informationssicherheit und Ordnungsmäßigkeit verbinden.

Regelwerk	Relevanz für Migrationsprojekte
DSGVO Art. 5	Grundsätze wie Zweckbindung, Datenminimierung und Speicherbegrenzung – maßgeblich für die Frage, welche Daten überhaupt migriert werden dürfen
DSGVO Art. 25	Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen im Zielsystem
DSGVO Art. 28	Verträge mit Implementierungspartnern, Cloud- und SaaS-Anbietern als Auftragsverarbeiter
DSGVO Art. 30	Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten für das neue System
DSGVO Art. 32	Technische und organisatorische Maßnahmen während und nach der Migration
DSGVO Art. 35	Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko, etwa bei HR-, Gesundheits- oder Kundendaten in großem Umfang
DSGVO Art. 44 ff.	Übermittlungen in Drittländer, z. B. bei Support aus Nicht-EU-Staaten
NIS2 / BSIG	Seit dem 6. Dezember 2025 in Kraft; rund 29.500 Einrichtungen in Deutschland müssen Risikomanagement-Maßnahmen umsetzen – auch für Systemwechsel und Lieferketten
GoBD	Unveränderbarkeit, Vollständigkeit und Aufbewahrung steuerrelevanter Daten – Abstimmung gesetzlicher Aufbewahrungspflichten mit datenschutzrechtlichen Löschpflichten

Gerade das Spannungsfeld zwischen handels- und steuerrechtlichen Aufbewahrungspflichten und datenschutzrechtlichen Löschpflichten lässt sich nur mit einem abgestimmten Lösch- und Archivierungskonzept auflösen.

Wie wir Sie beratend unterstützen

Wir verbinden IT-Prüfungs-Know-how mit Datenschutz- und Projekterfahrung. In der Beratung setzen wir dort an, wo Datenschutz am meisten bewirkt: früh im Projekt.

Datenschutz-Readiness-Check zu Projektbeginn: Wir analysieren Datenflüsse, Datenkategorien und beteiligte Dienstleister und leiten daraus konkrete Datenschutzanforderungen für Lastenheft und Projektplan ab.
Datenschutz-Folgenabschätzung (DSFA): Wir führen die Schwellwertanalyse durch und begleiten die DSFA methodisch – von der Risikobewertung bis zur Dokumentation der Maßnahmen.
Privacy by Design im Zielsystem: Wir unterstützen bei Rollen- und Berechtigungskonzepten, Löschroutinen, Protokollierung und datenschutzfreundlichen Voreinstellungen.
Migrations- und Testdatenkonzept: Wir entwickeln mit Ihnen Regeln dafür, welche Daten migriert, archiviert oder gelöscht werden und wie Testdaten anonymisiert oder pseudonymisiert werden.
Dienstleister- und Vertragsmanagement: Wir prüfen Auftragsverarbeitungsverträge, Subunternehmerketten und Drittlandtransfers von Implementierungs- und Cloud-Partnern.
Lösch- und Archivierungskonzept: Wir bringen DSGVO-Löschpflichten und GoBD-Aufbewahrungspflichten in ein tragfähiges Gesamtkonzept – inklusive Stilllegung des Altsystems.

Das Ergebnis:
Datenschutz wird zum festen Bestandteil der Projektsteuerung statt zur Hürde kurz vor dem Go-live.

Wie wir Sie prüferisch begleiten

Prüfungsleistungen schaffen unabhängige Sicherheit – für Geschäftsleitung, Aufsichtsgremien, Abschlussprüfer und Datenschutzbeauftragte. Je nach Zielsetzung stehen verschiedene Prüfungsansätze zur Verfügung.

Prüfungsansatz	Zeitpunkt	Ergebnis für Sie
Projektbegleitende Prüfung nach IDW PS 850 n.F.	Von der Konzeption bis zur Produktivsetzung	Frühzeitige, unabhängige Hinweise auf Schwächen in Projektorganisation, Datenmigration und Kontrollen – bevor sie teuer werden
Prüfung der Datenmigration	Vor und nach dem Cutover	Nachweis der Vollständigkeit und Richtigkeit der übernommenen Daten sowie der Wirksamkeit der Migrationskontrollen
IT-Prüfung nach IDW PS 860 i. V. m. IDW PH 9.860.1	Nach Produktivsetzung	Beurteilung des neuen Systems anhand definierter Kriterien, z. B. Datenschutz, Informationssicherheit oder GoBD
Datenschutz-Audit	Nach Go-live oder anlassbezogen	Prüfung von TOMs, Berechtigungen, Löschkonzept und Dokumentation gegen die Anforderungen der DSGVO
Dienstleisterprüfung nach IDW PS 951 / ISAE 3402	Laufend im Betrieb	Vertrauen in die Kontrollen ausgelagerter Betreiber, Cloud- und SaaS-Anbieter

Wichtig ist dabei die Unabhängigkeit:
Die projektbegleitende Prüfung steht neben dem Projekt, nicht unter der Projektleitung. So erhalten Entscheider eine neutrale Sicht auf Risiken und den Umsetzungsstand.
Aus Beratung und Prüfung ergibt sich ein durchgängiger Ansatz:
Wir gestalten Datenschutzanforderungen mit, wo Sie Unterstützung brauchen, und bestätigen ihre Umsetzung, wo Sie Sicherheit brauchen – unter Wahrung der berufsrechtlichen Unabhängigkeitsanforderungen.

Checkliste für Entscheider

Mit diesen Fragen können Sie den Datenschutzreifegrad Ihres Migrationsprojekts schnell einschätzen:

Ist der Datenschutzbeauftragte seit Projektbeginn eingebunden?
Wurde geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist?
Ist festgelegt, welche Altdaten migriert, archiviert oder gelöscht werden?
Werden in Test- und Entwicklungsumgebungen anonymisierte oder pseudonymisierte Daten genutzt?
Liegen mit allen Dienstleistern Auftragsverarbeitungsverträge vor, inklusive Regelungen zu Drittlandzugriffen?
Sind Übertragungswege verschlüsselt und Zwischenablagen dokumentiert und gelöscht?
Wird die Vollständigkeit und Richtigkeit der Datenübernahme nachvollziehbar abgestimmt?
Sind Berechtigungs- und Löschkonzept im Zielsystem umgesetzt?
Gibt es einen Plan für die Stilllegung des Altsystems?
Sind Verarbeitungsverzeichnis und Datenschutzdokumentation aktualisiert?

Können Sie mehrere Fragen nicht klar mit Ja beantworten, lohnt sich ein unabhängiger Blick auf das Projekt.

Fazit
Datenschutz entscheidet mit darüber, ob ein Migrationsprojekt rechtssicher, termingerecht und vertrauenswürdig gelingt. Wer ihn früh verankert, senkt Projektrisiken und nutzt die Migration zugleich, um Datenbestände zu bereinigen und das Zielsystem nach Privacy by Design aufzusetzen.
BDO unterstützt Sie dabei aus einer Hand: beratend bei Konzeption und Umsetzung, prüferisch mit unabhängiger Sicherheit für Geschäftsleitung, Aufsichtsgremien und Abschlussprüfer.
Sprechen Sie uns an – wir besprechen gern, wie wir Ihr Migrationsvorhaben begleiten können.