Wichtigste Erkenntnisse
- Die DSGVO gilt für jedes Unternehmen, das Daten von Personen in der EU verarbeitet - unabhängig vom Sitz
- Höchststrafen: 20 Mio. € oder 4 % des weltweiten Jahresumsatzes - je nachdem, welcher Wert höher ist
- Allein 2023 verhängten EU-Aufsichtsbehörden 2,1 Mrd. € Bußgelder (CMS Law)
- Die häufigste Verletzung: unzureichende technische Sicherheitsmaßnahmen - adressierbar durch kontinuierliches Security-Scanning
- 72 Stunden zur Meldung an die Aufsichtsbehörde nach Kenntnis einer personenbezogenen Datenpanne - der Countdown beginnt sofort
Inhaltsverzeichnis
- Einleitung: Wenn ein falsch konfigurierter Bucket 1,2 Mrd. € kostet
- Was ist die DSGVO und für wen gilt sie?
- Die 7 DSGVO-Grundsätze für jedes SaaS-Unternehmen
- Zentrale Artikel der DSGVO für SaaS
- Verantwortlicher vs. Auftragsverarbeiter
- DSGVO-Checkliste für SaaS
- Wie hoch sind DSGVO-Bußgelder?
- Meldung von Datenpannen: die 72-Stunden-Regel
- DSGVO vs. andere Frameworks
- Nachweisbare Compliance
- FAQ
- Fazit
Einführung: Wenn ein falsch konfigurierter Eimer 1,2 Milliarden Euro kostet
Im Mai 2023 verhängte die irische Datenschutzkommission gegen Meta eine Geldstrafe von 1,2 Milliarden Euro – die höchste DSGVO-Strafe, die zu diesem Zeitpunkt jemals verhängt wurde. Das Kernergebnis: Meta hatte EU-Benutzerdaten ohne angemessene Schutzmaßnahmen gemäß Kapitel V der DSGVO an US-Server übertragen.
Meta ist ein Extremfall. Aber das Muster, das es darstellt, ist es nicht. Im selben Jahr verhängten Regulierungsbehörden in der gesamten EU Geldbußen in Höhe von insgesamt 2,1 Milliarden Euro gegen Organisationen jeder Größe. Viele dieser Bußgelder richteten sich gegen mittelständische SaaS-Unternehmen – nicht nur gegen die Giganten – wegen vermeidbarer Verstöße wie falsch konfigurierter Speicher-Buckets, unzureichender Verschlüsselung und fehlenden Verfahren zur Erkennung von Verstößen.
Wenn Ihr SaaS-Produkt Daten von EU-Bürgern verarbeitet – sogar von einem einzelnen Benutzer mit einer deutschen E-Mail-Adresse – gilt die DSGVO für Sie. Im Augenblick. Unabhängig davon, ob Ihr Unternehmen seinen Sitz in Dubai, Austin oder Singapur hat.
Dieser Leitfaden räumt mit dem rechtlichen Lärm auf. Sie erhalten eine praktische Aufschlüsselung dessen, was die DSGVO im Jahr 2026 tatsächlich von SaaS-Unternehmen verlangt: die wichtigsten Artikel, eine umfassende Compliance-Checkliste, wirklich gute Beispiele und konkrete Schritte, die Sie heute unternehmen können, um Ihr Risiko zu reduzieren.
Was ist die DSGVO und für wen gilt sie?
Die Datenschutz-Grundverordnung (DSGVO) ist das wichtigste Datenschutzgesetz der EU. Sie trat am 25. Mai 2018 in Kraft und ersetzte die Datenschutzrichtlinie von 1995. Ziel ist es, EU-Bürgern die Kontrolle über ihre personenbezogenen Daten zu geben und einheitliche Datenschutzstandards im gesamten Block durchzusetzen.
Wer muss einhalten:
Die DSGVO hat extraterritoriale Reichweite (Artikel 3). Dies gilt für Ihre Organisation, wenn:
- Sie sind in der EU niedergelassen und verarbeiten personenbezogene Daten im Rahmen der Aktivitäten dieser Niederlassung, oder
- Sie sind außerhalb der EU niedergelassen, bieten aber Waren oder Dienstleistungen für EU-Bürger an oder überwachen das Verhalten von EU-Bürgern
Dies bedeutet ein SaaS-Startup in Dubai, eine B2B-Plattform in Singapur oder ein Gründer in Austin – wenn einer Ihrer Benutzer in der EU ansässig ist, gilt die DSGVO für Sie. Es gibt keine Umsatzschwelle. Es gibt keine Ausnahmeregelung für die Unternehmensgröße.
Was als personenbezogene Daten gilt:
Im Sinne der DSGVO sind personenbezogene Daten im weitesten Sinne alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Namen, E-Mail-Adressen, IP-Adressen, Gerätekennungen, Cookie-Werte, Verhaltensdaten und berufliche Informationen wie Berufsbezeichnungen oder Arbeitgebernamen – im Wesentlichen alle Datenfelder, die Ihr SaaS-Produkt wahrscheinlich erfassen wird.
Die 7 DSGVO-Grundsätze, die jedes SaaS-Unternehmen kennen muss
Artikel 5 der DSGVO legt sieben Grundprinzipien fest, die die gesamte Verarbeitung personenbezogener Daten regeln. Hierbei handelt es sich nicht um erstrebenswerte Richtlinien, sondern um gesetzliche Anforderungen, deren Nichteinhaltung zu Durchsetzungsmaßnahmen führen kann.
Der siebte Grundsatz – Verantwortlichkeit – unterscheidet Unternehmen, die sich wirklich an die Vorschriften halten, von denen, die lediglich ein Cookie-Banner haben. Aufsichtsbehörden erwarten dokumentierte Beweise, keine Selbsterklärungen.
GDPR Key Articles for SaaS Companies
Während der vollständige DSGVO-Text 99 Artikel umfasst, müssen SaaS-Unternehmen einer bestimmten Teilmenge besondere Aufmerksamkeit schenken. Dies sind die Artikel, die bei Durchsetzungsmaßnahmen am häufigsten zitiert werden und die in unmittelbarem Zusammenhang mit Produkt- und technischen Entscheidungen stehen.
Artikel 32 verdient besondere Aufmerksamkeit. Er verlangt von Organisationen, „geeignete technische und organisatorische Maßnahmen“ zu ergreifen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Die Verordnung nennt explizit Pseudonymisierung, Verschlüsselung, laufende Vertraulichkeits- und Integritätssicherung sowie einen Prozess zur regelmäßigen Prüfung und Bewertung dieser Maßnahmen. Dies ist keine optionale Formulierung – „regelmäßig testen“ bedeutet, dass Sie eine kontinuierliche oder regelmäßige Sicherheitsüberprüfung benötigen, keine einmalige Prüfung.
GDPR Data Processing: Controller vs Processor
Das Verständnis Ihrer Rolle in der Datenverarbeitungskette bestimmt Ihre Pflichten.
Datenverantwortlicher: Das Unternehmen, das die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt. Wenn Sie ein SaaS-Produkt betreiben und entscheiden, welche Benutzerdaten Sie sammeln und warum, sind Sie der Verantwortliche. Verantwortliche tragen die primären Compliance-Verpflichtungen gemäß DSGVO.
Datenverarbeiter: Ein Unternehmen, das personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Ihre Infrastrukturanbieter (AWS, GCP, Azure), E-Mail-Plattformen, Analysetools und Zahlungsabwickler sind in der Regel Auftragsverarbeiter bei der Verarbeitung der Daten Ihrer Benutzer.
Warum das für SaaS wichtig ist:
Als SaaS-Unternehmen sind Sie fast immer ein Verantwortlicher in Bezug auf die Daten Ihrer eigenen Benutzer. Sie können jedoch gleichzeitig ein Verarbeiter sein, wenn Ihr Produkt Daten im Namen Ihrer Unternehmenskunden verarbeitet (z. B. wenn Sie eine Datenanalyse- oder CRM-Plattform bereitstellen, die die Kundendaten Ihrer Kunden speichert).
Wenn Sie als Auftragsverarbeiter tätig werden, benötigen Sie:
- Eine unterzeichnete Datenverarbeitungsvereinbarung (DPA) mit jedem Verantwortlichen, dem Sie dienen
- Dokumentierte Unterauftragsverarbeiterlisten und Änderungsbenachrichtigungsverfahren
- Die Verarbeitungstätigkeiten beschränken sich strikt auf dokumentierte Anweisungen des Verantwortlichen
Wenn Sie als Verantwortlicher fungieren, benötigen Sie unterzeichnete DPAs von jedem Anbieter (Auftragsverarbeiter), der die Daten Ihrer Benutzer verarbeitet. Dazu gehören Ihr Cloud-Hosting-Anbieter, Ihr E-Mail-Zustellungsdienst, Ihr Fehlerverfolgungstool und alle Analyseplattformen von Drittanbietern.
DSGVO-Compliance-Checkliste für SaaS
Verwenden Sie diese gruppierte Checkliste, um Ihre aktuelle DSGVO-Haltung zu beurteilen. Jedes Element ist bestimmten DSGVO-Artikeln zugeordnet.
Dateninventar (Artikel 30)
- Führen Sie ein Verzeichnis der Verarbeitungsaktivitäten (ROPA), das alle Datenflüsse dokumentiert
- Ordnen Sie jede von Ihnen erfasste Datenkategorie, ihre Quelle, Rechtsgrundlage und Aufbewahrungsfrist zu
- Identifizieren Sie alle Drittsysteme, die personenbezogene Daten erhalten
- Dokumentieren Sie grenzüberschreitende Datenübermittlungen und die vorhandenen Sicherheitsmaßnahmen
Privacy by Design (Artikel 25)
- Standardeinstellungen minimieren die Datenerfassung – keine vorab aktivierten Einwilligungsfelder
- Benutzer können die Datenfreigabe einschränken, ohne die Kernfunktionalität des Produkts zu verlieren
- Neue Funktionen durchlaufen vor der Bereitstellung eine Datenschutzprüfung
- Die Datenaufbewahrung erfolgt automatisiert – Daten werden nach festgelegten Zeiträumen gelöscht und nicht auf unbestimmte Zeit gespeichert
Sicherheitsmaßnahmen (Artikel 32)
- Alle personenbezogenen Daten im Ruhezustand und während der Übertragung verschlüsselt (mindestens TLS 1.2+)
- Zugriffskontrollen durchgesetzt – geringste Rechte auf allen internen Systemen
- MFA für alle Administrator- und privilegierten Konten aktiviert
- Kontinuierliche oder regelmäßige Sicherheitsüberprüfung der gesamten nach außen gerichteten Infrastruktur
- Schwachstellenmanagementprozess mit definierten SLAs zur Behebung
- Penetrationstests werden mindestens einmal jährlich durchgeführt
- Protokollierung von Sicherheitsereignissen mit Überwachung und Warnung
Einwilligung und Rechte der betroffenen Person (Artikel 6, 7, 15–22)
- Gültige Rechtsgrundlage für jede Verarbeitungstätigkeit dokumentiert
- Einwilligungsmechanismen sind granular, widerrufbar und werden mit Zeitstempeln protokolliert
- Benutzer können über ein Self-Service-Portal oder einen formellen Anfrageprozess auf ihre Daten zugreifen
- Anträge auf Löschung werden innerhalb von 30 Tagen erfüllt
- Datenportabilität: Benutzer können Daten im CSV- oder JSON-Format exportieren
- Die Datenschutzrichtlinie ist aktuell, verständlich und von jeder Seite aus zugänglich
Reaktion auf Verstöße (Artikel 33–34)
- Vorfallreaktionsplan dokumentiert und getestet
- Interner Eskalationspfad definiert: Wer entscheidet, ob ein Verstoß eine Benachrichtigung gemäß Artikel 33 auslöst?
- 72-Stunden-Meldeverfahren für Meldungen an die Aufsichtsbehörde eingerichtet
- Musterbenachrichtigung für Verstöße mit hohem Risiko vorbereitet, die eine individuelle Benachrichtigung erfordern
- Es wird ein Sicherheitsprotokoll für alle Sicherheitsvorfälle geführt, auch für solche, die unter dem Benachrichtigungsschwellenwert liegen
Lieferantenmanagement (Artikel 28)
- DPAs, die mit jedem Datenverarbeiter unterzeichnet wurden (Cloud, E-Mail, Analyse, Support-Tools)
- Liste der Unterauftragsverarbeiter dokumentiert und den Unternehmenskunden mitgeteilt, wenn Sie ein Auftragsverarbeiter sind
- Sicherheitsbewertungen der Anbieter wurden vor der Einbindung neuer Datenverarbeiter abgeschlossen
- Internationale Transfermechanismen (SCCs, Angemessenheitsentscheidungen) für Nicht-EU-Transfers vorhanden
Wie viel kosten DSGVO-Bußgelder?
DSGVO-Bußgelder basieren auf einer zweistufigen Struktur:
- Stufe 1 (weniger schwerwiegende Verstöße): Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
- Stufe 2 (schwerwiegendste Verstöße): Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes
Aufsichtsbehörden beurteilen Bußgelder unter anderem anhand der Art und Dauer des Verstoßes, der Anzahl der betroffenen Personen, dem Grad der Zusammenarbeit und der Frage, ob das Unternehmen in der Vergangenheit Compliance-Probleme hatte.
Das Bußgeld gegen British Airways ist besonders aufschlussreich für SaaS-Unternehmen: Der Verstoß wurde durch ein bösartiges Skript verursacht, das in ihre Website eingeschleust wurde – die Art von Schwachstelle, die durch kontinuierliche Sicherheitsscans erkannt würde. Als Hauptgrund für die Strafe nannte das ICO unzureichende Sicherheitsvorkehrungen.
GDPR Breach Notification: The 72-Hour Rule
Artikel 33 schreibt vor, dass die für die Verarbeitung Verantwortlichen ihre zuständige Aufsichtsbehörde über eine Verletzung des Schutzes personenbezogener Daten „unverzüglich und, soweit möglich, spätestens 72 Stunden, nachdem sie davon Kenntnis erlangt haben“, informieren müssen.
72 Stunden sind nicht viel Zeit, wenn man Folgendes berücksichtigt:
- Zeit, um festzustellen, ob ein Sicherheitsvorfall eine Verletzung des Schutzes personenbezogener Daten darstellt
- Zeit für die Festlegung, welche Datenkategorien und wie viele Personen betroffen sind
- Zeit zum Verfassen, Überprüfen und Einreichen der Meldung
Was die Meldung enthalten muss:
- Die Art des Verstoßes, einschließlich der Kategorien und der ungefähren Anzahl der betroffenen Personen
- Kontaktdaten Ihres Datenschutzbeauftragten oder Ihres zuständigen Ansprechpartners
- Wahrscheinliche Folgen des Verstoßes
- Maßnahmen, die ergriffen oder vorgeschlagen wurden, um den Verstoß zu beheben und seine Auswirkungen abzumildern
Wenn Sie nicht alle Informationen innerhalb von 72 Stunden bereitstellen können, können Sie eine Teilmeldung einreichen und nachfassen – Sie müssen die Meldung jedoch innerhalb des Zeitfensters vornehmen. Eine verspätete Benachrichtigung stellt selbst einen Verstoß gegen die DSGVO dar und hat zu zusätzlichen Bußgeldern geführt.
Artikel 34 fügt eine weitere Verpflichtung hinzu: Wenn der Verstoß voraussichtlich ein hohes Risiko für Einzelpersonen mit sich bringt (Identitätsdiebstahl, finanzieller Schaden, Diskriminierung), müssen Sie diese Personen auch direkt und ohne unangemessene Verzögerung benachrichtigen.
Die praktische Konsequenz: Ihr Incident-Response-Plan muss fertig sein, bevor es zu einem Verstoß kommt. Wenn Sie einen Verstoß entdecken und dann mit dem Aufbau eines Reaktionsprozesses beginnen, werden Sie garantiert das 72-Stunden-Fenster verpassen.
DSGVO im Vergleich zu anderen Rahmenwerken: Wie sie sich überschneiden
Viele SaaS-Unternehmen, die DSGVO-Konformität anstreben, arbeiten gleichzeitig auf SOC 2 Typ II oder ISO 27001 hin. Es gibt erhebliche Überschneidungen zwischen diesen Frameworks – für das eine Framework implementierte Kontrollen erfüllen oft die Anforderungen eines anderen.
Wenn Sie bereits SOC 2-zertifiziert sind, entspricht ein großer Teil Ihrer technischen Kontrollen bereits Artikel 32. Die DSGVO-spezifischen Lücken liegen typischerweise in der Einwilligungsverwaltung, den Rechten betroffener Personen, Verfahren zur Meldung von Verstößen und der Ebene der Dokumentation der Rechtsgrundlagen – Bereiche, die SOC 2 nicht berücksichtigt.
How to Demonstrate GDPR Compliance
Der Grundsatz der Rechenschaftspflicht (Artikel 5 Absatz 2) verlangt von Organisationen, dass sie die DSGVO nicht nur einhalten, sondern auch die Einhaltung nachweisen können. Dies bedeutet Dokumentation, Beweisführung und die Möglichkeit, auf Anfrage einer Aufsichtsbehörde Aufzeichnungen vorzulegen.
Praktische Schritte zum Aufbau einer nachweisbaren Compliance-Haltung:
- Pflege deines ROPA – Aktualisierte Aufzeichnungen aller Verarbeitungsaktivitäten unter Angabe der Rechtsgrundlagen
- Zustimmung protokollieren und mit Zeitstempel versehen – Jede Einwilligung muss mit einem Zeitstempel mit der spezifischen Version der angezeigten Datenschutzerklärung versehen werden
- Führen Sie DPIAs für die Verarbeitung mit hohem Risiko durch – Dokumentieren Sie die Bewertung, die identifizierten Risiken und die angewendeten Abhilfemaßnahmen
- Prüfungsnachweise erstellen – Sicherheitsscanberichte, Ergebnisse von Penetrationstests, Protokolle zur Behebung von Schwachstellen
- Testen Sie Ihren Prozess zur Reaktion auf Verstöße – Führen Sie mindestens einmal jährlich Tabletop-Übungen durch; die Ergebnisse dokumentieren
Wie Ainex die Einhaltung der DSGVO unterstützt
Ainex ist die KI-gestützte Sicherheitsintelligenz- und Compliance-Plattform von Aratech, die speziell für SaaS-Unternehmen entwickelt wurde, die sich mit Frameworks wie DSGVO, SOC 2, ISO 27001, HIPAA und PCI-DSS auseinandersetzen.
Hier entspricht Ainex direkt den DSGVO-Anforderungen:
Artikel 32 – Sicherheit der Verarbeitung: Ainex führt kontinuierliche Scans Ihrer nach außen gerichteten Infrastruktur durch und erkennt Fehlkonfigurationen, offengelegte Dienste und Schwachstellen in Echtzeit. Dies erfüllt direkt die Anforderung der „regelmäßigen Prüfung und Bewertung“, die Artikel 32 ausdrücklich vorschreibt. Wenn eine Aufsichtsbehörde fragt, welche technischen Maßnahmen Sie ergriffen haben, geben Sie ihr einen Scan-Verlauf – keine mündliche Erklärung.
Artikel 33/34 – Erkennung und Benachrichtigung von Sicherheitsverletzungen: Der KI-Analyst von Ainex, Astra-naut, selektiert Sicherheitssignale und eskaliert mögliche Indikatoren für Sicherheitsverletzungen. Eine schnellere Erkennung bedeutet mehr Zeit innerhalb Ihres 72-Stunden-Benachrichtigungsfensters. Die Plattform verwaltet Ereignisprotokolle, die Sie als Audit-Nachweis exportieren können, um Benachrichtigungen über Verstöße zu begleiten.
Artikel 25 – Datenschutz durch Technikgestaltung: Die Live-Kontrollzuordnung von Ainex zeigt Ihnen, wo Ihre Sicherheitslage von den DSGVO-relevanten Kontrollen abweicht, sodass Probleme erkannt werden, bevor sie zu Vorfällen werden, und nicht erst danach.
Artikel 35 – DPIA-Unterstützung: Der Compliance Vault bietet DSGVO-spezifische Bereitschaftsbewertung und kontinuierliche Risikobewertungsausgabe, die direkt in die DPIA-Dokumentation einfließt – wodurch der Aufwand für die Erstellung und Pflege dieser Bewertungen reduziert wird.
Ainex-Preise: Kostenloser Plan (1 Endpunkt), Core für 199 $/Monat, Pro für 599 $/Monat.
Führen Sie einen kostenlosen Sicherheitsscan für Ihre Domain durch und erhalten Sie einen sofortigen Überblick über Ihre Gefährdung durch Artikel 32: https://ainex.aratech.ae/register
FAQ
Gilt die DSGVO für Unternehmen außerhalb der EU?
Ja. Der extraterritoriale Geltungsbereich der DSGVO (Artikel 3) bedeutet, dass jedes Unternehmen – unabhängig davon, wo es eingetragen oder ansässig ist – die Vorschriften einhalten muss, wenn es personenbezogene Daten von EU-Bürgern verarbeitet, um ihnen Waren oder Dienstleistungen anzubieten oder ihr Verhalten zu überwachen. Ein SaaS-Unternehmen in den Vereinigten Arabischen Emiraten, den USA, Singapur oder anderswo, das europäische Kunden hat, unterliegt der DSGVO.
Wie hoch ist die DSGVO-Bußgeldstrafe bei einem Datenschutzverstoß?
Es gibt kein festes Bußgeld für einen Datenschutzverstoß. Die Aufsichtsbehörden beurteilen die Strafen anhand der Umstände: Schwere des Verstoßes, Anzahl der betroffenen Personen, ob die Organisation über angemessene Sicherheitsmaßnahmen verfügt, wie schnell sie die Behörden benachrichtigt hat und wie gut sie kooperiert. Bei schwersten Verstößen können Geldstrafen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängt werden. British Airways wurde wegen eines Verstoßes, der 400.000 Kunden betraf, mit einer Geldstrafe von 22 Millionen Euro belegt.
Was ist die 72-Stunden-Regel der DSGVO?
Artikel 33 verpflichtet die für die Datenverarbeitung Verantwortlichen, ihre zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme einer Verletzung des Schutzes personenbezogener Daten zu benachrichtigen. Die Uhr beginnt, wenn Sie hinreichend sicher sind, dass ein Verstoß vorliegt – und nicht, wenn Sie Ihre Untersuchung abgeschlossen haben. Wenn Sie nicht alle erforderlichen Angaben innerhalb von 72 Stunden bereitstellen können, können Sie eine Erstmeldung einreichen und eine Nachverfolgung durchführen, die Erstmeldung muss jedoch innerhalb des Zeitfensters erfolgen.
Brauche ich einen Datenschutzbeauftragten (DPO)?
Ein Datenschutzbeauftragter ist obligatorisch, wenn Sie eine Behörde sind, wenn Ihre Kerntätigkeiten eine groß angelegte, regelmäßige und systematische Überwachung von Einzelpersonen erfordern oder wenn Sie Daten besonderer Kategorien (Gesundheit, biometrische Daten, religiöse Überzeugungen usw.) in großem Umfang verarbeiten. Viele SaaS-Unternehmen erfüllen diese Schwellenwerte nicht, ernennen aber dennoch als Best Practice einen Datenschutzbeauftragten. Wenn ein Datenschutzbeauftragter nicht obligatorisch ist, sollten Sie einen internen Verantwortlichen für die Einhaltung der DSGVO benennen.
Was ist eine Datenverarbeitungsvereinbarung (DPA)?
Ein DPA ist ein rechtsverbindlicher Vertrag zwischen einem Datenverantwortlichen und einem Datenverarbeiter gemäß Artikel 28. Er legt fest, welche Daten zu welchem Zweck und wie lange verarbeitet werden, welche Sicherheitsmaßnahmen gelten und was im Falle eines Verstoßes geschieht. Sie benötigen DPAs mit jedem Anbieter, der die personenbezogenen Daten Ihrer Benutzer in Ihrem Namen verarbeitet – einschließlich Ihres Cloud-Hosting-Anbieters, Ihrer E-Mail-Plattform, Analysetools und Kundensupport-Software.
Wie unterscheidet sich die DSGVO von einer Datenschutzrichtlinie?
Eine Datenschutzrichtlinie ist ein von der DSGVO (Artikel 13/14) gefordertes Artefakt – es handelt sich um die Mitteilung, die Sie Einzelpersonen darüber geben, wie Sie ihre Daten verwenden. Die Einhaltung der DSGVO umfasst den gesamten Datenverarbeitungsvorgang: Rechtsgrundlagen für jede Datenaktivität, technische Sicherheitsmaßnahmen, Mechanismen für die Rechte betroffener Personen, Lieferantenverträge, Verfahren zur Reaktion auf Verstöße und Dokumentation der Rechenschaftspflicht. Eine Datenschutzerklärung allein macht Sie noch nicht DSGVO-konform.
Was ist der häufigste Verstoß gegen die DSGVO?
Unzureichende technische und organisatorische Sicherheitsmaßnahmen sind durchweg die am häufigsten genannte Kategorie von DSGVO-Verstößen bei Durchsetzungsmaßnahmen. Dazu gehören unzureichende Verschlüsselung, schlechte Zugriffskontrollen, das Versäumnis, bekannte Schwachstellen zu beheben und das Fehlen regelmäßiger Sicherheitstests – all dies kann direkt durch ein strukturiertes Sicherheitsscan- und Compliance-Programm behoben werden.
Fazit
Die Einhaltung der DSGVO ist keine rechtliche Angelegenheit, die einmal durchgeführt wird und dann in der Schublade liegt. Dabei handelt es sich um eine fortlaufende Betriebssituation, die sich auf Ihre Produktarchitektur, Ihre Lieferantenbeziehungen, Ihre Sicherheitskontrollen und Ihre Fähigkeit zur Reaktion auf Vorfälle auswirkt.
Die Unternehmen, die mit einer Geldstrafe belegt werden, sind nicht immer diejenigen, die beim Datenschutz nachlässig waren. Bei vielen handelt es sich um Unternehmen, die über eine Datenschutzrichtlinie und gute Absichten verfügten, denen aber die technische Infrastruktur fehlte, um sie zu untermauern – keine kontinuierlichen Scans, keine dokumentierte Reaktion auf Verstöße, keine Beweisspur für Aufsichtsbehörden.
Beginnen Sie mit der Checkliste in diesem Leitfaden. Identifizieren Sie Ihre Lücken bei Sicherheitsmaßnahmen, Einwilligungsmanagement und Reaktion auf Verstöße. Bauen Sie dann auf eine nachweisbare Compliance auf – die Art, bei der Sie auf eine behördliche Anfrage mit Dokumentation und nicht nur mit Behauptungen reagieren können.
Wenn Ihre Sicherheitslage das Erste ist, was Sie angehen möchten – da es sich sowohl um die häufigste Verstoßkategorie als auch um die Kategorie handelt, die am unmittelbarsten mit Bußgeldrisiken zusammenhängt –, führen Sie noch heute einen kostenlosen Scan Ihrer Domain durch.
Holen Sie sich Ihren kostenlosen Sicherheitsscan auf Ainex
Weiterlesen: