Im Aufsichtsrat oder Beirat liegen die sensibelsten Informationen eines Unternehmens auf dem Tisch: Planung, Personalfragen, Gesellschafterthemen, Kaufpreise. Trotzdem laufen Einladungen und Unterlagen im Mittelstand oft über das normale E-Mail-Postfach. Dieser Artikel zeigt, wie Geschäftsführer und Gremienbetreuer Sitzungsunterlagen, Beschlüsse und Videoschalten vertraulich und DSGVO-konform organisieren, mit einer Checkliste für Einladung, Datenraum und Protokoll.
Stellen Sie sich eine typische Situation vor: Drei Tage vor der Sitzung geht eine Mail mit 80 Seiten Anhang an sieben Empfänger. Zwei davon lesen sie auf dem Dienstgerät, einer auf dem privaten Tablet, ein weiterer leitet sie zum Ausdrucken an sein Sekretariat weiter. Am Tag nach der Sitzung kursiert eine überarbeitete Version, und niemand weiß mehr genau, welche Fassung beschlossen wurde. Das ist kein Sonderfall, sondern ein häufiges Muster dort, wo ein Gremium über Jahre gewachsen ist und die Organisation nie mitgewachsen ist.
Die gute Nachricht: Eine sichere Sitzungsorganisation braucht im Mittelstand keinen Konzernapparat. Sie braucht klare Regeln, wenige gut gewählte Werkzeuge und jemanden, der dafür verantwortlich ist.
Warum Gremienunterlagen ein eigenes Schutzniveau brauchen
Sitzungsunterlagen eines Aufsichtsrats oder Beirats unterscheiden sich von üblichen Geschäftsdokumenten in drei Punkten. Erstens enthalten sie häufig Informationen, deren Bekanntwerden dem Unternehmen unmittelbar schadet: Akquisitionspläne, Covenant-Themen, Konditionen mit Großkunden, Vergütungsfragen der Geschäftsführung. Zweitens ist der Empfängerkreis klein, aber nicht intern: Mitglieder sind oft externe Personen, Gesellschafter, Vertreter von Banken oder Familienmitglieder, die ihre eigene IT und ihre eigenen Gewohnheiten mitbringen. Drittens haben die Unterlagen Beweisfunktion. Was dem Gremium vorlag, wann es vorlag und was beschlossen wurde, kann später für die Frage der Sorgfalt entscheidend sein.
Daraus folgt: Der Weg der Dokumente ist Teil der Governance. Wer ihn dem Zufall überlässt, riskiert nicht nur ein Datenleck, sondern auch Unklarheit darüber, auf welcher Grundlage entschieden wurde.
Der rechtliche Rahmen in Kürze
Bevor es um Werkzeuge geht, lohnt ein nüchterner Blick auf zwei Pflichtenkreise. Dieser Abschnitt ersetzt keine Rechtsberatung, er soll Ihnen helfen, die richtigen Fragen an Ihre Berater zu stellen.
Verschwiegenheit. Bei der Aktiengesellschaft sind Aufsichtsratsmitglieder nach dem Aktiengesetz zur Verschwiegenheit über vertrauliche Angaben und Geheimnisse der Gesellschaft verpflichtet. Bei der GmbH mit obligatorischem oder fakultativem Aufsichtsrat verweist das Gesetz je nach Konstellation auf diese Regelungen oder lässt der Satzung Gestaltungsspielraum. Bei einem Beirat ohne gesetzliche Grundlage entsteht die Pflicht vor allem aus Satzung, Gesellschaftsvertrag, Geschäftsordnung oder einer gesonderten Vereinbarung. Gerade dort fehlt sie in der Praxis gelegentlich ganz. Prüfen Sie deshalb, ob eine ausdrückliche Verschwiegenheitsverpflichtung vorliegt, die auch den Umgang mit Unterlagen auf privaten Geräten abdeckt.
Datenschutz. Sitzungsunterlagen enthalten fast immer personenbezogene Daten: Namen von Führungskräften, Gehaltsstrukturen, Leistungsbeurteilungen, Angaben zu Gesellschaftern. Damit gelten die Grundsätze der DSGVO, insbesondere Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f) und die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen (Art. 32). Setzen Sie externe Dienstleister für Datenraum oder Videokonferenz ein, braucht es in aller Regel einen Auftragsverarbeitungsvertrag (Art. 28). Bei Anbietern außerhalb der EU kommt die Frage des Drittlandtransfers hinzu. Hier sollten Sie dokumentiert prüfen, auf welcher Grundlage übermittelt wird, etwa einem Angemessenheitsbeschluss oder Standardvertragsklauseln, und was das für Ihre Datenkategorien bedeutet.
Wer beides sauber aufsetzt, hat mehr als Compliance erreicht: Er hat eine Grundlage, auf der Gremienmitglieder wissen, was von ihnen erwartet wird.
Einladung und Unterlagen: Fristen, Rollen, Versandweg
Die Einladung ist der erste Kontrollpunkt. Sie sollte Termin, Ort oder Einwahlweg, Tagesordnung und, wo vorgesehen, die Beschlussgegenstände enthalten. Die Unterlagen selbst gehören nicht in die Einladungsmail, sondern in einen geschützten Bereich, auf den die Einladung nur verweist. Das hat einen praktischen Vorteil: Sie können Zugriffe steuern, Versionen sauber halten und im Zweifel nachvollziehen, wer wann was geöffnet hat.
Häufig bewährt haben sich folgende Grundsätze:
- Feste Vorlauffrist. Die Geschäftsordnung nennt eine Frist, etwa eine Woche. Kurzfristig nachgereichte Unterlagen werden als solche gekennzeichnet und im Protokoll vermerkt.
- Eine verantwortliche Person. Meist ist das die Gremienbetreuung, das Büro der Geschäftsführung oder die Rechtsabteilung. Sie veröffentlicht, entfernt und archiviert. Niemand sonst lädt Dokumente separat per Mail nach.
- Versionsdisziplin. Jede Unterlage trägt Stand, Version und Vertraulichkeitsvermerk. Überholte Fassungen werden ersetzt, nicht danebengelegt.
- Prägnanz statt Konvolut. Eine Beschlussvorlage mit Kurzfassung auf einer Seite und Anlagen für die Details dient der Entscheidungsqualität und dem Datenschutz zugleich: Je weniger unnötige Details im Umlauf sind, desto kleiner ist das Risiko.
Ein Punkt wird oft unterschätzt: Das Gremium entscheidet nur so gut, wie es informiert ist. Wenn Unterlagen zu spät kommen oder bewusst geschönt sind, entsteht eine Schieflage, die kein Tool beheben kann. Ehrliche, rechtzeitige Information ist eine Frage der Haltung, wie sie auch in der authentischen Führung im Kern steht.
Datenraum und Tools: Worauf es bei der Auswahl ankommt
Für die Ablage und Verteilung der Unterlagen gibt es drei übliche Wege: den Versand per E-Mail, die allgemeine Cloud-Freigabe (etwa über das ohnehin vorhandene Büro-Paket) und spezialisierte Gremien- oder Datenraum-Lösungen. E-Mail eignet sich für die Einladung, nicht für den Inhalt. Die Cloud-Freigabe kann ausreichen, wenn Rechte, Protokollierung und Verschlüsselung sauber konfiguriert sind. Spezialisierte Lösungen bieten diese Funktionen meist fertig, kosten aber Geld und Einführungsaufwand. Welche Variante passt, hängt von Größe, Sensibilität und Häufigkeit der Sitzungen ab.
Unabhängig vom Anbieter sollten Sie die folgenden Kriterien prüfen:
- Rechte und Rollen: Lässt sich pro Person und pro Dokument festlegen, wer lesen, herunterladen oder drucken darf?
- Zugriffsprotokoll: Ist nachvollziehbar, wer wann was geöffnet hat?
- Verschlüsselung und Anmeldung: Sind Daten bei Übertragung und Ablage verschlüsselt, und gibt es eine Zwei-Faktor-Anmeldung?
- Standort und Vertrag: Wo werden die Daten verarbeitet, und liegt ein Auftragsverarbeitungsvertrag vor?
- Löschkonzept: Können Dokumente nach Ablauf von Fristen zuverlässig entfernt und archiviert werden?
- Bedienbarkeit: Kommt auch das Mitglied damit zurecht, das selten mit Software arbeitet? Ein System, das niemand nutzt, wird umgangen.
Der letzte Punkt ist im Mittelstand entscheidend. Sicherheitsmaßnahmen, die im Alltag zu unbequem sind, führen zu Schattenwegen: Dokumente werden fotografiert, weitergeleitet oder ausgedruckt und im Auto liegen gelassen. Besser ist ein einfacher Standardweg, der konsequent genutzt wird, als ein perfektes System, das nur auf dem Papier existiert.
Ein eigener Punkt sind KI-Assistenten. Wer Sitzungsunterlagen zur Zusammenfassung in ein öffentliches Sprachmodell kopiert, gibt vertrauliche Inhalte aus der Hand. Welche Kosten- und Vertraulichkeitsfragen dabei zu klären sind, zeigt der Beitrag KI-Modelle: Kosten und Vertraulichkeit. Für Gremienunterlagen gilt als Faustregel: Ohne ausdrückliche, schriftlich geregelte Freigabe gehören sie nicht in externe KI-Dienste.
Videoschalte und Beschlussfassung
Hybride und virtuelle Sitzungen sind für viele Gremien Alltag geworden. Ob und wie Beschlüsse in dieser Form wirksam gefasst werden können, hängt von Rechtsform, Satzung und Geschäftsordnung ab. Das Aktiengesetz erlaubt Beschlussfassungen in fernmündlicher oder vergleichbarer Form unter bestimmten Voraussetzungen, bei anderen Rechtsformen und bei Beiräten entscheiden häufig die eigenen Regeln. Lassen Sie die Zulässigkeit einmal rechtlich prüfen und halten Sie das Ergebnis in der Geschäftsordnung fest, statt es von Sitzung zu Sitzung neu auszuhandeln.
Für die technische und organisatorische Seite haben sich einige Regeln als sinnvoll erwiesen:
- Ein freigegebenes System. Das Gremium nutzt eine vereinbarte Videolösung mit geprüftem Auftragsverarbeitungsvertrag, nicht den jeweils bequemsten Dienst.
- Teilnehmerkontrolle. Warteraum, persönliche Einladungslinks und eine Identitätsprüfung zu Beginn: Die Sitzungsleitung stellt fest, wer anwesend ist, und fragt aktiv, ob weitere Personen im Raum sind.
- Keine Aufzeichnung ohne Regelung. Aufzeichnungen und automatische Transkripte sind grundsätzlich auszuschalten, es sei denn, das Gremium hat bewusst und dokumentiert anders entschieden.
- Umgebung der Teilnehmer. Geschlossener Raum, keine öffentlichen Netze, keine Smart-Speaker in Hörweite. Das klingt selbstverständlich, wird aber selten ausdrücklich vereinbart.
- Eindeutige Abstimmung. Beschlüsse werden wörtlich formuliert verlesen, die Stimmabgabe wird namentlich erfasst, das Ergebnis wird laut festgestellt.
- Plan B. Fällt die Verbindung aus, ist klar, ob und wie weitergemacht wird, etwa per Telefonzuschaltung oder durch Vertagung.
Besondere Sorgfalt verdienen Themen mit Interessenkonflikten und Personalfragen. Hier lohnt es sich, einzelne Tagesordnungspunkte in kleinerem Kreis oder in Präsenz zu behandeln und das Verlassen der Sitzung durch betroffene Mitglieder ausdrücklich zu organisieren. In der Videoschalte heißt das: zurück in den Warteraum, nicht nur Kamera aus.
Das Protokoll: knapp, belastbar, vertraulich
Das Protokoll ist das Dokument, das am längsten lebt. Es sollte festhalten, wer teilgenommen hat, wie die Sitzung stattfand, welche Beschlüsse mit welchem Ergebnis gefasst wurden und welche Unterlagen vorlagen. Für die Aktiengesellschaft sieht das Gesetz eine Niederschrift vor, die vom Vorsitzenden zu unterzeichnen ist, bei anderen Gremien gelten die eigenen Regeln. Unabhängig davon gilt: Ein Ergebnisprotokoll ist in der Regel besser als ein Wortprotokoll. Es reduziert Konfliktstoff und begrenzt die Menge sensibler Inhalte.
Sinnvoll ist ein fester Ablauf: Entwurf zeitnah nach der Sitzung durch die Gremienbetreuung, Freigabe durch den Vorsitzenden, kurze Frist für Einwände, dann Genehmigung, spätestens in der nächsten Sitzung. Verteilt wird auch das Protokoll nicht per Mail, sondern im geschützten Bereich. Dort liegt es zusammen mit den Beschlussunterlagen in genau der Fassung, die der Entscheidung zugrunde lag.
Unterschätzt wird die Aufbewahrung. Legen Sie fest, wie lange Sitzungsunterlagen und Protokolle aufbewahrt werden, wer Zugriff hat und wann gelöscht wird. Persönliche Notizen von Mitgliedern gehören ebenfalls in diese Regel: Wer Handschriftliches oder Fotos von Folien aufbewahrt, schafft eine zweite, unkontrollierte Ablage.
Ein letzter Hinweis aus der Gremienpraxis: Beschlüsse, die zu lange nicht umgesetzt werden, sind oft das eigentliche Governance-Problem. Eine einfache Maßnahmenliste mit Verantwortlichen und Terminen im Protokoll hilft. Wer feststellt, dass schwierige Entscheidungen regelmäßig vertagt werden, findet in Aufschieben bei Führungsaufgaben einen Blick auf die Muster dahinter.
Checkliste: Einladung, Datenraum, Protokoll
Zum Abhaken vor jeder Sitzung. Passen Sie die Punkte an Ihre Rechtsform und Geschäftsordnung an.
Einladung
- Frist laut Satzung oder Geschäftsordnung eingehalten
- Tagesordnung und Beschlussgegenstände benannt
- Ort oder Einwahlweg angegeben, Sitzungsform (Präsenz, hybrid, virtuell) geklärt
- Keine Anhänge in der Einladungsmail, nur Verweis auf den Datenraum
- Hinweis auf Vertraulichkeit und geltende Verschwiegenheitspflicht
Datenraum
- Zugriffsrechte pro Person geprüft, ausgeschiedene Mitglieder entfernt
- Zwei-Faktor-Anmeldung aktiv, Zugriffsprotokoll eingeschaltet
- Auftragsverarbeitungsvertrag und Standort der Verarbeitung dokumentiert
- Unterlagen mit Stand, Version und Vertraulichkeitsvermerk versehen
- Download- und Druckrechte bewusst gesetzt
- Nachgereichtes als solches gekennzeichnet
Sitzung und Videoschalte
- Freigegebene Videolösung, Warteraum und persönliche Links
- Anwesenheit und Umgebung der Teilnehmer zu Beginn festgestellt
- Aufzeichnung und Transkription aus, sofern nicht anders beschlossen
- Beschlüsse wörtlich verlesen, Abstimmung und Ergebnis festgestellt
Protokoll und Nachbereitung
- Entwurf zeitnah, Freigabe durch den Vorsitzenden, Genehmigungsweg definiert
- Beschlüsse, Maßnahmen, Verantwortliche und Termine festgehalten
- Verteilung nur über den geschützten Bereich
- Aufbewahrungs- und Löschfristen festgelegt, private Notizen einbezogen
Ihr PCG-Vorsprung: Ich begleite Geschäftsführer und Gremien im Mittelstand dabei, Sitzungsabläufe so zu gestalten, dass sie im Alltag funktionieren: von der Geschäftsordnung über Informationsflüsse bis zur Frage, wie ein Gremium tatsächlich entscheidet. Mit über 15 Jahren Erfahrung in Geschäftsleitung und Unternehmensberatung und einem systemischen Blick auf Rollen und Dynamiken (Perspective · Change · Growth) sorge ich dafür, dass Struktur und Haltung zusammenpassen. Rechtliche und IT-sicherheitstechnische Fragen gehören dabei zu Ihren Fachberatern, ich helfe, die richtigen Fragen zu stellen.
Ihr nächster Schritt
Nehmen Sie sich vor Ihrer nächsten Sitzung eine halbe Stunde und gehen Sie den Weg einer einzigen Beschlussvorlage nach: Wer erstellt sie, wie wird sie verteilt, wo liegt sie danach, wer hat sie geöffnet, wann wird sie gelöscht? An den Stellen, an denen Sie zögern, liegt Ihr Handlungsbedarf. Wenn Sie dafür ein Gegenüber suchen, das Governance, Führung und Zusammenarbeit im Gremium zusammen betrachtet, melden Sie sich für ein kostenfreies Erstgespräch. Wir klären, wo Ihre Gremienarbeit steht und was ein pragmatischer erster Schritt wäre. Kein Verkaufsgespräch, nur Klarheit.
