Erlaubt, wenn vier Punkte geklärt sind
Die Datenschutz-Grundverordnung erlaubt einen Passwort-Manager in der Firma. Sie schreibt weder ein Produkt noch einen Serverstandort vor. Verantwortlich für die Daten im Tresor bleibt Ihre Firma, auch wenn ein Dienstleister den Server betreibt.
Vor der Einführung klären Sie deshalb vier Punkte: mit wem Sie einen Vertrag zur Auftragsverarbeitung brauchen, wo Server und Sicherungen stehen, wer welche Daten sehen kann und wie gelöscht wird, wenn ein Mitarbeiter geht oder der Vertrag endet. Dazu kommt ein Eintrag im Verzeichnis der Verarbeitungstätigkeiten.
Hinweis: Dieser Text ist keine Rechtsberatung. Ob Ihre Lösung im Einzelfall genügt, klären Sie mit Ihrem Datenschutzbeauftragten oder einer Anwältin für Datenschutzrecht.
Welche personenbezogenen Daten im Tresor liegen
Personenbezogen sind nach Art. 4 Nr. 1 DSGVO alle Informationen über eine bestimmbare Person, etwa über ihren Namen oder eine Online-Kennung. In einem Firmen-Tresor tauchen solche Daten an drei Stellen auf.
- Die Konten: Name und E-Mail-Adresse jedes Nutzers und seine Zuordnung zu Sammlungen.
- Die Einträge: Der Benutzername beim Großhandel-Portal ist oft die persönliche Firmenadresse, etwa anna.berger@ihre-firma.de. In Anhängen landet schnell mehr, zum Beispiel ein unterschriebener Vertrag als PDF.
- Die Protokolle: Der Betrieb des Servers erzeugt technische Protokolle.
Ausweiskopien, Krankmeldungen und Gehaltsdaten bleiben in der Personalakte und kommen nicht als Anhang in den Tresor. Gesundheitsdaten zählen zu den besonderen Kategorien nach Art. 9 Abs. 1 DSGVO, und schon ihre Verarbeitung verpflichtet laut Datenschutzkonferenz auch kleine Firmen zu einem Verzeichnis.
Auftragsverarbeitung: wer einen Vertrag braucht
Wer personenbezogene Daten im Auftrag Ihrer Firma verarbeitet, ist Auftragsverarbeiter, und mit ihm schließen Sie einen Vertrag nach Art. 28 DSGVO. Die Datenschutzkonferenz nennt im Kurzpapier Nr. 13 (PDF, Stand 17.12.2018) dafür ausdrücklich Cloud-Dienste, ausgelagerte Sicherungen und Fernwartung, bei der ein Zugriff auf personenbezogene Daten möglich ist. Cloud-Dienste zählen laut Anhang A auch dann dazu, wenn der Betreiber für seine Leistung nicht auf die Inhalte zugreifen muss.
| Betrieb | Auftragsverarbeiter |
|---|---|
| Cloud-Tarif eines Anbieters | Der Anbieter, über ihn die Rechenzentren und Dienstleister, die er einsetzt |
| Gemieteter Server, selbst betreut | Der Hoster des Servers |
| Gemieteter Server mit Wartung durch einen Dienstleister | Der Hoster und der Dienstleister, jeder mit eigenem Vertrag |
| Sicherung an einem zweiten Ort | Zusätzlich der Speicherort der Sicherung, direkt oder als Unterauftrag |
Der Vertrag muss nach Art. 28 Abs. 9 schriftlich vorliegen, ein elektronisches Format reicht. Bietet der Hoster eine Vorlage im Kundenbereich an, prüfen Sie vor dem Klick unter anderem diese Punkte aus Art. 28 Abs. 3: Verarbeitung nur auf Ihre Weisung, Vertraulichkeit der Beschäftigten, weitere Auftragsverarbeiter nur mit Ihrer Genehmigung, Löschen oder Rückgabe am Ende.
Serverstandort: Deutschland, EU oder Drittland
Einen Server in Deutschland schreibt die DSGVO nicht vor. Sitzt ein Auftragsverarbeiter außerhalb von EU und EWR, kommen die Regeln der Art. 44 ff. für Drittländer hinzu: ein angemessenes Schutzniveau im Zielland, geeignete Garantien wie Standarddatenschutzklauseln oder eine Ausnahme nach Art. 49. Für die USA hat die EU-Kommission am 10. Juli 2023 ein angemessenes Schutzniveau festgestellt, für Unternehmen, die am EU-US Data Privacy Framework teilnehmen.
Das Kurzpapier zählt Fernwartung und externen Support zur Auftragsverarbeitung, sobald ein Zugriff auf personenbezogene Daten nicht ausgeschlossen ist. Sitzt dieser Support außerhalb von EU und EWR, kommen dieselben Drittland-Regeln ins Spiel. Fragen Sie deshalb auch, von wo aus gewartet wird.
Wer welche Daten sehen kann
Der Anbieter oder Betreiber
Bei Ende-zu-Ende-Verschlüsselung entschlüsseln erst die Apps auf den Geräten der Nutzer die Einträge. Bei den Apps, die Passwortheld nutzt, verschlüsseln sie laut Herstellerdokumentation Benutzernamen, Passwörter, Notizen, Anhänge und sogar die Namen der Sammlungen, bevor etwas auf dem Server landet. Im Klartext kennt der Server trotzdem die E-Mail-Adresse jedes Kontos, mit der sich die Nutzer anmelden, und er schreibt technische Protokolle.
Das BSI hat mit dem FZI Forschungszentrum Informatik zehn Passwort-Manager untersucht. Drei davon speicherten Passwörter so, dass der Hersteller theoretisch darauf zugreifen konnte. Das BSI empfiehlt den Herstellern, solchen Zugriff technisch auszuschließen und auch Metadaten zu verschlüsseln (Pressemitteilung vom 09.12.2025). Lassen Sie sich vom Anbieter schriftlich geben, welche Daten er im Klartext sieht und wie lange er Protokolle aufhebt.
Die Leute in Ihrer Firma
Wer eine Sammlung im Tresor nicht freigegeben bekommt, sieht ihre Einträge nicht. Nach Art. 32 Abs. 4 sorgt die Firma dafür, dass Beschäftigte mit Zugang zu personenbezogenen Daten diese nur auf Anweisung verarbeiten. Halten Sie deshalb in einer kurzen Übersicht fest, wer welche Sammlung sieht und wer die Rechte vergibt.
Zwei Berechtigungen gehören namentlich in diese Übersicht, beide hängen an den Rollen Eigentümer und Administrator der Organisation. Die erste ist die Verwaltung der Organisation: Wer sie hat, legt fest, wer welche Sammlung sieht, und kommt über die Verwaltungsansicht selbst an alle Sammlungen. Die zweite ist die Kontowiederherstellung: Wer sie hat, setzt das Master-Passwort eines Mitarbeiters zurück und kommt damit an dessen Konto. Vergeben Sie diese Rollen an wenige Personen. Ablauf und Kehrseite der Wiederherstellung stehen auf der Seite zum Master-Passwort, der Ausfall der Geschäftsführung im Ratgeber Notfallzugriff auf Firmenpasswörter.
Externe wie den Steuerberater binden Sie über ein eigenes Konto mit Zugriff auf genau eine Sammlung oder über einen befristeten sicheren Link ein, siehe Passwörter im Team teilen. Kanzleien und Praxen beachten zusätzlich ihr Berufsrecht, Einzelheiten stehen auf den Seiten für Steuerberater und Arztpraxen.
Löschen beim Weggang und am Vertragsende
Das Verzeichnis nach Art. 30 soll, wenn möglich, die Löschfristen nennen. Beim Tresor gibt es dafür zwei Anlässe.
Ein Mitarbeiter geht
Der Verantwortliche in Ihrer Firma sperrt das Konto im Tresor. Die Zugänge in den Sammlungen gehören der Firma und bleiben erhalten. Legen Sie fest, wie lange das gesperrte Konto mit Name und E-Mail-Adresse noch besteht und wer es danach entfernt. Fragen Sie den Anbieter, ob das Konto damit auch vom Server verschwindet oder nur aus Ihrer Organisation.
Jedes Konto hat zusätzlich einen persönlichen Bereich, und dessen Einträge kann nur der Mitarbeiter selbst entschlüsseln, solange niemand über die Kontowiederherstellung sein Master-Passwort zurücksetzt. Ist sein Konto weg, kommt niemand in der Firma mehr an diese Einträge und ihre Anhänge. Legen Sie Firmenzugänge deshalb von Anfang an in eine Sammlung. Die übrigen Schritte stehen in der Checkliste, wenn ein Mitarbeiter die Firma verlässt.
Der Vertrag endet
Nach Art. 28 Abs. 3 löscht der Auftragsverarbeiter die Daten am Ende der Leistung oder gibt sie zurück. Bei einem Cloud-Tarif fragen Sie vorher, in welchem Format Sie die Daten bekommen und wann der Anbieter sie auch aus seinen Sicherungen entfernt. Läuft der Server auf Ihre Firma, bleiben die Daten nach dem Ende einer Wartung bei Ihnen, und über das Löschen entscheiden Sie selbst.
Auch Sicherungen gehören in die Löschfristen, denn ein gelöschter Eintrag steckt noch in älteren Ständen. Beim Backup-Paket von Passwortheld bleibt jeder Tagesstand 30 Tage erhalten. Kündigen Sie das Paket, laufen die vorhandenen Sicherungen mit dieser Aufbewahrung aus und sind nach 30 Tagen gelöscht. Ohne Backup-Paket sichern wir den Tresor nicht, dann sichern Sie selbst und legen auch für diese Dateien eine Frist fest.
Der Eintrag im Verzeichnis der Verarbeitungstätigkeiten
Art. 30 Abs. 5 befreit Firmen mit weniger als 250 Beschäftigten vom Verzeichnis, aber nicht, wenn sie Daten nicht nur gelegentlich verarbeiten. Die Datenschutzkonferenz schreibt in ihren Hinweisen zum Verzeichnis (PDF, Stand Februar 2018), dass schon wegen der regelmäßigen Lohnabrechnung kaum ein Unternehmen befreit sein wird, allenfalls eines, das die Lohnabrechnung komplett beim Steuerberater erledigen lässt.
Ein erfundenes Beispiel: Ein Gerüstbaubetrieb mit 14 Beschäftigten gibt sechs Personen ein Konto im Tresor, drei im Büro und drei Kolonnenführern, die Zugänge zu Baustellen-Portalen und zum Mietpark des Lieferanten brauchen. So könnte der Eintrag aussehen:
| Angabe nach Art. 30 Abs. 1 | Eintrag im Beispiel |
|---|---|
| Zweck (lit. b) | Verwahrung und gemeinsame Nutzung der Firmenzugänge |
| Betroffene und Daten (lit. c) | Sechs Beschäftigte: Name, E-Mail-Adresse, Sammlungen, technische Protokolle. In Einträgen dienstliche Benutzernamen |
| Empfänger (lit. d) | Hoster des Servers, Dienstleister für die Wartung, Speicherort der Sicherung |
| Drittland (lit. e) | Keines, alle Beteiligten arbeiten in Deutschland |
| Löschfristen (lit. f) | Gesperrte Konten drei Monate nach dem Austritt entfernen, Sicherungen nach 30 Tagen |
| Maßnahmen (lit. g) | Ende-zu-Ende-Verschlüsselung, Zwei-Faktor-Pflicht am Tresor, Rechte je Sammlung, Kontowiederherstellung nur für Inhaberin und Bauleiter |
Art. 32 Abs. 1 nennt Verschlüsselung als mögliche Maßnahme, ebenso die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen. Für diesen Punkt notieren Sie, wer sichert und wann jemand zuletzt eine Rücksicherung ausprobiert hat.
Sechs Unterlagen, die Sie vom Anbieter anfordern
- Vertrag zur Auftragsverarbeitung mit Liste der weiteren Auftragsverarbeiter.
- Standort von Server, Sicherungen und Support, schriftlich.
- Daten, die der Anbieter im Klartext sieht, und Aufbewahrung der Protokolle.
- Beschreibung der technischen und organisatorischen Maßnahmen.
- Export am Vertragsende und Frist für das Löschen.
- Meldeweg bei einer Datenpanne (Art. 33 Abs. 2).
Wie gut die Technik selbst gegen Angriffe, Phishing und Ausfälle schützt, steht im Ratgeber Ist ein Passwort-Manager sicher?
So ist es bei Passwortheld verteilt
Bei Passwortheld mieten Sie einen kleinen Server bei netcup auf den Namen Ihrer Firma, in einem deutschen Rechenzentrum von netcup. Daraus folgen zwei Verträge zur Auftragsverarbeitung. Den mit netcup schließen Sie selbst ab: Laut Hilfeseite von netcup (Stand 24.04.2026) erzeugt der Kundenbereich unter den Stammdaten einen unterschriebenen Vertrag, ohne Zusatzkosten, wenn Sie die Vorlage von netcup verwenden. Den zweiten schließen Sie mit Schönfelder EDV, weil wir den Server per Fernwartung einrichten und aktuell halten. Er gehört zum Angebot. Eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht unterschreiben wir auf Wunsch.
Für uns sichtbar sind die Namen und E-Mail-Adressen der Nutzer sowie technische Protokolle. Passwörter können wir nicht lesen und Master-Passwörter nicht zurücksetzen. Konten Ausgeschiedener sperrt und entfernt Ihr Verantwortlicher selbst, das endgültige Löschen vom Server übernehmen wir auf Wunsch nach Aufwand. Mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. kommt ein Speicherort hinzu: die tägliche verschlüsselte Sicherung bei einem anderen Anbieter in Deutschland.
Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, dazu kommt die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer. Ob das zu Ihren Vorgaben passt, klären wir im kostenlosen Erstgespräch (15 Minuten).
Quellen: Datenschutzkonferenz: Kurzpapier Nr. 13, Auftragsverarbeitung (Stand 17.12.2018); Datenschutzkonferenz: Hinweise zum Verzeichnis von Verarbeitungstätigkeiten (Stand Februar 2018); § 38 BDSG, Datenschutzbeauftragte nichtöffentlicher Stellen; BSI: Pressemitteilung zur Untersuchung von Passwortmanagern (09.12.2025); EU-Kommission: Datenübermittlungen zwischen EU und USA. Stand: 14.10.2026.