EU-Verordnung · Datenschutz
Sightadel führt Sie durch die Pflichten der DSGVO – vom Verarbeitungsverzeichnis über Auftragsverarbeitung und technische Maßnahmen bis zur Meldung von Datenpannen. Mit Branchenvorlagen aus langjähriger Beratungspraxis, einer KI als Formulierungshilfe und echten Beratern für die schwierigen Stellen.
Worum es geht
Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 unmittelbar in der gesamten EU. In Deutschland ergänzt sie das Bundesdatenschutzgesetz. Sie regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen und welche Rechte die betroffenen Personen haben.
Im Zentrum stehen die Grundsätze aus Art. 5: Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Dazu kommt die Rechenschaftspflicht. Sie müssen die Einhaltung nicht nur sicherstellen, sondern belegen können.
Die Frage lautet deshalb selten, ob die DSGVO gilt, sondern in welchem Umfang. Die meisten Organisationen haben Verzeichnis, Verträge und Maßnahmen irgendwo liegen. Das Problem ist der Zustand: verstreut, veraltet und bei einer Anfrage der Aufsicht nur mühsam zusammenzutragen.
Das Verarbeitungsverzeichnis stammt aus 2018, die Dienstleisterliste stimmt nicht mehr. Sightadel macht daraus einen gepflegten Stand mit Wiedervorlage.
Als Auftragsverarbeiter beantworten Sie laufend Fragebögen zu technischen Maßnahmen und Unterauftragnehmern. Das Trust Center beantwortet die üblichen Fragen einmal für alle.
Die technischen und organisatorischen Maßnahmen werden doppelt gepflegt, einmal für den Datenschutz, einmal für das ISMS. Ein Nachweis kann beides belegen.
Anforderungen
In eigenen Worten zusammengefasst. Maßgeblich ist immer der Originaltext in der geltenden Fassung.
Jede Verarbeitung braucht eine Rechtsgrundlage und folgt den Grundsätzen. Der Verantwortliche setzt geeignete Maßnahmen um und kann ihre Einhaltung nachweisen.
In SightadelGeführte Fragen zu Grundsätzen und Rechtsgrundlagen. Die Bewertung im Einzelfall bleibt bei Ihnen und Ihrem Datenschutzbeauftragten, Sightadel hält sie mit Begründung fest.
Information, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch – fristgerecht und nachvollziehbar.
In SightadelPrüfpunkte zu Datenschutzhinweisen, Prozess und Fristen für Anfragen. Vorlagen für Antworten liegen bereit, die Bearbeitung wird als Nachweis abgelegt.
Datenschutz wird schon bei Planung und Auswahl von Systemen berücksichtigt, Voreinstellungen erheben nur das Nötige.
In SightadelPrüfpunkte für Beschaffung und Entwicklung, verknüpft mit Ihren Freigabeprozessen. Entscheidungen werden mit Datum und Verantwortlichem dokumentiert.
Dienstleister, die Daten im Auftrag verarbeiten, werden sorgfältig ausgewählt und vertraglich gebunden, Unterauftragnehmer sind bekannt.
In SightadelIm Modul Anbieter erfassen Sie Dienstleister mit Vertrag, Unterauftragnehmern und Nachweisen samt Gültigkeitsdatum. Fehlende Verträge werden zu Aktionspunkten.
Ein Verzeichnis aller Verarbeitungen mit Zweck, Kategorien von Daten und Personen, Empfängern, Übermittlungen, Löschfristen und Maßnahmen.
In SightadelDie Branchenvorlage schlägt typische Verarbeitungen vor, Sie bestätigen, ergänzen oder streichen. Wiedervorlagen halten das Verzeichnis aktuell.
Technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, mit regelmäßiger Überprüfung ihrer Wirksamkeit.
In SightadelMaßnahmen als geführte Fragen mit Nachweis-Verknüpfung. Ein Nachweis zur Zugriffskontrolle oder zum Backup belegt zugleich Anforderungen aus ISO 27001 oder NIS2.
Meldepflichtige Verletzungen gehen grundsätzlich binnen 72 Stunden an die Aufsichtsbehörde. Bei hohem Risiko werden auch die Betroffenen benachrichtigt. Jede Panne wird dokumentiert.
In SightadelMeldeweg, Zuständige und Bewertungskriterien sind vorab hinterlegt. Pannen werden mit Zeitpunkt, Bewertung und Maßnahmen erfasst, auch wenn keine Meldung nötig war.
Für Verarbeitungen mit voraussichtlich hohem Risiko werden Risiken und Abhilfemaßnahmen vorab bewertet.
In SightadelLeitfragen helfen zu erkennen, wo eine Folgenabschätzung nötig ist. Die Bewertung selbst führen Sie, Sightadel gibt Struktur und hält das Ergebnis fest.
Wo erforderlich, wird ein Datenschutzbeauftragter benannt, der Aufsichtsbehörde mitgeteilt und frühzeitig eingebunden.
In SightadelBenennung, Meldung und Beteiligung werden als Nachweis geführt. Interne oder externe Datenschutzbeauftragte arbeiten mit eigener Rolle in Sightadel mit.
Ablauf
Zwei bis vier Monate für eine belastbare Grunddokumentation, wenn jemand im Haus die Sache betreibt. Danach ist Datenschutz ein laufender Zustand, kein Projekt mit Ende.
Verantwortliche festlegen, vorhandene Dokumente hochladen und den 45 Prüfpunkten zuordnen. Am Ende steht, was belegt ist und was fehlt.
Verarbeitungen mit Zweck, Rechtsgrundlage, Empfängern und Löschfristen erfassen. Die Fachbereiche liefern zu, die Struktur kommt aus der Vorlage.
Auftragsverarbeiter erfassen, Verträge und Unterauftragnehmer prüfen, Lücken als Aktionspunkte anlegen.
Technische und organisatorische Maßnahmen belegen, risikoreiche Verarbeitungen bewerten, wo nötig eine Folgenabschätzung durchführen.
Abläufe für Betroffenenanfragen und Datenpannen festlegen, Zuständige benennen, einmal durchspielen.
Wiedervorlagen für Verzeichnis, Verträge und Maßnahmen. Neue Verarbeitungen und Dienstleister kommen dazu, bevor sie in Betrieb gehen.
Startklar
Wer diese Fragen früh klärt, spart später Wochen. In Sightadel sind sie als erste Aufgaben angelegt.
Arbeitsteilung
Würde eine Software alles ausfüllen, erfüllte die Norm ihren Zweck nicht – und der Auditor würde es merken. Deshalb ist klar geregelt, was bei Ihnen bleibt.
Aus der Praxis
Aus langjähriger Beratungs- und Zertifizierungspraxis: Diese Stellen kosten die meiste Zeit oder führen zu Abweichungen im Audit.
Neue Werkzeuge und Prozesse fehlen nach kurzer Zeit. Legen Sie eine Wiedervorlage fest und machen Sie das Verzeichnis zur Station jeder Beschaffung.
Kleine Werkzeuge und Testzugänge werden oft übersehen. Gleichen Sie die Liste der Dienstleister regelmäßig mit Einkauf und IT ab.
Eine Einwilligung ist widerruflich und oft nicht die passende Rechtsgrundlage. Prüfen Sie je Verarbeitung, welche Grundlage trägt, und dokumentieren Sie das.
Ein Löschkonzept, das nie umgesetzt wird, ist ein Befund. Planen Sie Löschläufe und halten Sie fest, dass sie stattgefunden haben.
Auch Pannen ohne Meldepflicht müssen dokumentiert werden. Erfassen Sie jede mit Zeitpunkt, Bewertung und Maßnahmen.
Wer erst bei der ersten Anfrage klärt, wo Daten liegen, verpasst die Monatsfrist. Legen Sie Zuständigkeit, Identitätsprüfung und Freigabe vorher fest.
Ein Nachweis, mehrere Frameworks
Eine Prozentzahl nennen wir bewusst nicht – sie hängt von Ihrem Geltungsbereich ab. Wo sich Anforderungen decken, hängt ein Nachweis an allen.
Die technischen und organisatorischen Maßnahmen nach Art. 32 lassen sich mit denselben Nachweisen belegen wie viele Controls aus Anhang A. Rechtsgrundlagen und Betroffenenrechte haben dort keine Entsprechung.
NIS2Vorfallprozess, Zugriffskontrolle und Lieferantensteuerung dienen beiden. Ein Sicherheitsvorfall kann zugleich Meldepflichten an das BSI und an die Datenschutzaufsicht auslösen.
SOC 2Die Kriterien zu Vertraulichkeit und Datenschutz greifen auf dieselben Maßnahmen und Dienstleisterdaten zurück. Hilfreich, wenn Sie auch an US-Kunden liefern.
ISO 42001Wer KI mit personenbezogenen Daten einsetzt, bewertet Risiken für Betroffene in beiden Regelwerken. Folgenabschätzung und KI-Risikobewertung lassen sich gemeinsam führen.
Prüfung und Nachweis
Zuständig sind die Datenschutzaufsichtsbehörden der Länder, für bestimmte Bereiche der Bundesbeauftragte. Sie gehen Beschwerden nach, fordern Unterlagen an und können Bußgelder verhängen. Dazu kommen Kunden, die Sie als Auftragsverarbeiter prüfen, und interne oder externe Datenschutzbeauftragte. Sightadel zertifiziert nicht und gibt keine Rechtsberatung.
Wer prüft, erhält in Sightadel einen eigenen Zugang: Er liest, kommentiert und legt nach Ihrer Freigabe Einträge an oder bearbeitet sie, löschen kann er nichts. Das Aktivitätsprotokoll zeigt lückenlos, wer was wann erledigt hat, und im Trust Center zeigen Sie Kunden Maßnahmen, Dokumente und Unterauftragsverarbeiter. ISO 27001 ist eine bewährte, strukturierte Grundlage für die technischen Maßnahmen, aber keine Pflicht. Für externe Prüfungen wählen Sie einen Prüfer aus unserem unabhängigen Partnernetz oder einen eigenen. Für Audits fließt keine Provision – weder an uns noch an die Partner.
Zum unabhängigen AuditorennetzDatenschutz verursacht laufende Kosten, keine einmaligen. Für das Werkzeug wird die Sightadel-Lizenz für die DSGVO je Edition monatlich berechnet, mit einem Jahr Mindestlaufzeit. Ist ISO 27001 oder ISO 9001 in Ihrer Sightadel-Lizenz, erhalten Sie auf die DSGVO einen dauerhaften Nachlass. Alle Preise und einen Rechner finden Sie auf unserer Preisseite.
Dazu kommt der Datenschutzbeauftragte, sofern Sie einen benennen müssen oder wollen. Er kann intern oder extern sein. Ein interner Beauftragter braucht Zeit, Fortbildung und einen Kündigungsschutz, der bei der Personalplanung zu beachten ist. Ein externer rechnet nach eigenem Modell ab. Beides ist unabhängig von Sightadel.
Der größte Posten ist der interne Aufwand für die Grunddokumentation: Verarbeitungsverzeichnis, Verträge mit Dienstleistern, technische und organisatorische Maßnahmen, Prozesse für Betroffenenanfragen und Datenpannen. Zwei bis vier Monate sind realistisch, wenn eine Person regelmäßig daran arbeitet und die Fachbereiche zuarbeiten. Danach geht es um Pflege: neue Verarbeitungen eintragen, Verträge prüfen, Löschfristen umsetzen, Beschäftigte schulen. Wer für Fragen im Einzelfall Unterstützung braucht, bucht Beratung als Paket in der App dazu. Eine Rechtsberatung ersetzt Sightadel nicht.
Die DSGVO kennt zwei Bußgeldrahmen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, etwa bei Verstößen gegen Pflichten zu Sicherheit, Verzeichnis oder Auftragsverarbeitung, und bis zu 20 Mio. Euro oder 4 % bei Verstößen gegen Grundsätze, Rechtsgrundlagen oder Betroffenenrechte, jeweils der höhere Betrag. Die Aufsichtsbehörden bemessen Bußgelder im Einzelfall und berücksichtigen dabei auch, wie kooperativ und gut vorbereitet ein Unternehmen ist.
Mindestens ebenso relevant sind Schadensersatzansprüche betroffener Personen. Sie können auch für immaterielle Schäden geltend gemacht werden, etwa nach einer Datenpanne oder einer verspäteten Auskunft. Dazu kommen Anordnungen der Aufsicht, die eine Verarbeitung einschränken oder untersagen können, und Abmahnungen durch Wettbewerber, deren Zulässigkeit im Einzelfall umstritten ist.
Der Kern ist die Rechenschaftspflicht. Sie müssen nicht nur datenschutzkonform arbeiten, sondern es belegen können. Bei einer Beschwerde fragt die Aufsicht nach Verzeichnis, Rechtsgrundlage, Verträgen und Maßnahmen. Wer diese Unterlagen schnell und stimmig vorlegt, steht deutlich besser da. Genau dafür ist der Nachweisstand in Sightadel gedacht.
Einige Dokumente verlangt die DSGVO ausdrücklich: das Verzeichnis von Verarbeitungstätigkeiten, Verträge zur Auftragsverarbeitung, die Dokumentation von Datenpannen, Datenschutz-Folgenabschätzungen für Verarbeitungen mit voraussichtlich hohem Risiko und, wo nötig, die Benennung des Datenschutzbeauftragten. Andere ergeben sich aus der Rechenschaftspflicht: Beschreibung der technischen und organisatorischen Maßnahmen, Datenschutzhinweise, Löschkonzept, Nachweise zu Einwilligungen, Abwägungen bei berechtigtem Interesse und Schulungsnachweise.
Das Verzeichnis ist das Rückgrat. Es beschreibt je Verarbeitung Zweck, Kategorien von Daten und Personen, Empfänger, Übermittlungen in Drittländer, Löschfristen und Maßnahmen. Wird es gut gepflegt, lassen sich Datenschutzhinweise, Löschkonzept und Auskünfte daraus ableiten. Wird es einmal erstellt und dann vergessen, beschreibt es nach zwei Jahren eine andere Organisation.
In Sightadel schlägt die Branchenvorlage typische Verarbeitungen vor, Sie bestätigen, ergänzen oder streichen. Verträge und Unterauftragnehmer pflegen Sie im Modul Anbieter, Maßnahmen als geführte Fragen mit Nachweis. Wiedervorlagen sorgen dafür, dass das Verzeichnis regelmäßig überprüft wird.
Zwei Prozesse entscheiden im Alltag, ob Datenschutz funktioniert: der Umgang mit Anfragen betroffener Personen und mit Datenpannen. Auf eine Auskunftsanfrage müssen Sie grundsätzlich innerhalb eines Monats antworten. Bei komplexen oder vielen Anfragen ist eine Verlängerung um bis zu zwei weitere Monate möglich, wenn Sie das innerhalb der ersten Frist mitteilen und begründen. Die Auskunft umfasst die Daten selbst, Zwecke, Empfänger, Speicherdauer und Herkunft sowie eine Kopie.
Damit das klappt, muss klar sein, wer Anfragen entgegennimmt, wie die Identität geprüft wird, wo überall Daten liegen und wer die Antwort freigibt. Anfragen kommen oft über unerwartete Wege: an den Vertrieb, über ein Kontaktformular, als Teil eines Arbeitsrechtsstreits.
Bei Datenpannen beginnt die 72-Stunden-Frist mit dem Bekanntwerden. Legen Sie fest, wer bewertet, ob ein Risiko für Betroffene besteht, wer meldet und wer die Betroffenen informiert. Ist zugleich ein NIS2-Vorfall gegeben, laufen beide Meldewege parallel. In Sightadel sind Zuständige und Vorlagen hinterlegt, Anfragen und Pannen werden mit Zeitpunkt und Bewertung als Nachweis erfasst.
Kaum eine Organisation verarbeitet Daten nur selbst. Lohnabrechnung, E-Mail, CRM, Ticketsystem, Webanalyse und Hosting laufen bei Dienstleistern. Jeder davon, der Daten in Ihrem Auftrag verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung, und Sie müssen ihn sorgfältig ausgewählt haben. Dazu gehört, seine Maßnahmen und Unterauftragnehmer zu kennen.
Besondere Aufmerksamkeit verdienen Übermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums. Sie brauchen eine Grundlage, etwa einen Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln mit einer Bewertung der Lage im Zielland. Auch wenn ein Anbieter in der EU hostet, kann ein Zugriff aus einem Drittland möglich sein, etwa durch Support oder Konzernmutter.
Im Modul Anbieter erfassen Sie Dienstleister mit Vertrag, Unterauftragnehmern, Übermittlungen und Nachweisen samt Gültigkeitsdatum. Fehlende Verträge werden zu Aktionspunkten. Sightadel selbst ist in Deutschland entwickelt und gehostet, und jeder Kunde erhält einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Die DSGVO verlangt Sicherheit der Verarbeitung, sagt aber nicht im Detail, wie. Hier hilft ein ISMS nach ISO 27001: Zugriffskontrolle, Verschlüsselung, Datensicherung, Protokollierung und Vorfallbehandlung sind dort systematisch geregelt. Die technischen und organisatorischen Maßnahmen nach Art. 32 lassen sich mit denselben Nachweisen belegen. Was ISO 27001 nicht abdeckt, sind Rechtsgrundlagen, Zweckbindung, Betroffenenrechte und Verarbeitungsverzeichnis.
Unter NIS2 fallende Einrichtungen nutzen Vorfallprozess, Lieferantensteuerung und Schulungen für beide Regelwerke. Wer KI mit personenbezogenen Daten einsetzt, bewertet Risiken für Betroffene in der Datenschutz-Folgenabschätzung und, falls eingeführt, in der Folgenabschätzung nach ISO 42001. Beide lassen sich gemeinsam führen, ersetzen sich aber nicht.
In Sightadel verknüpfen Sie einen Nachweis einmal mit allen passenden Anforderungen. Ihr interner oder externer Datenschutzbeauftragter arbeitet mit eigener Rolle mit. Im Trust Center zeigen Sie Kunden Maßnahmen, Dokumente und Unterauftragsverarbeiter, statt für jede Anfrage einen neuen Fragebogen auszufüllen.
Was es kostet
Sie zahlen nur für die Frameworks, die Sie wirklich brauchen. Die Editionen unterscheiden sich in Kapazität und Reaktionszeit, nicht im fachlichen Umfang. Wer mehrere Frameworks führt, spart dauerhaft. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite.
Die Kosten der Zertifizierungs- oder Prüfstelle rechnet diese direkt mit Ihnen ab. Beratung buchen Sie bei Bedarf als Paket in der App dazu.
Arbeitsmaterial
Checklisten und Vorlagen zu weiteren Frameworks finden Sie unter Ressourcen.
Arbeitshilfen, keine Rechtsberatung.
Begriffe
Fast immer, sobald Sie Daten von Kunden, Beschäftigten, Bewerbern, Lieferanten oder Website-Besuchern verarbeiten – unabhängig von der Größe. Ausgenommen ist nur die rein persönliche oder familiäre Nutzung. Einzelne Pflichten, etwa die Benennung eines Datenschutzbeauftragten, hängen von weiteren Voraussetzungen ab.
Je nach Verstoß bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, bei schweren Verstößen bis zu 20 Mio. Euro oder 4 %, jeweils der höhere Betrag. Dazu kommen Schadensersatzansprüche betroffener Personen und Anordnungen der Aufsicht.
Kein allgemeines. Die DSGVO sieht zwar Zertifizierungsverfahren vor, die von der Aufsicht genehmigt werden müssen, doch ein Zertifikat befreit nicht von der Verantwortung. Was zählt, ist Ihr dokumentierter Nachweisstand.
Eine meldepflichtige Verletzung geht grundsätzlich binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde. Besteht ein hohes Risiko für die Betroffenen, müssen auch sie benachrichtigt werden. Dokumentieren müssen Sie jede Panne, auch wenn Sie nicht melden.
Nein. Sightadel gibt Struktur, Vorlagen und Nachweisführung. Die rechtliche Bewertung im Einzelfall bleibt bei Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung. Beide können mit eigener Rolle direkt in Sightadel mitarbeiten.
Teilweise. Die technischen und organisatorischen Maßnahmen nach Art. 32 überschneiden sich stark mit Anhang A. Rechtsgrundlagen, Zweckbindung, Betroffenenrechte, Verarbeitungsverzeichnis und Folgenabschätzung finden in ISO 27001 keine Entsprechung.
Nur als Entwurf. Die KI schlägt typische Verarbeitungen Ihrer Branche vor und hilft beim Formulieren. Zwecke, Rechtsgrundlagen und Löschfristen entscheiden Sie selbst – sonst beschreibt das Verzeichnis eine andere Organisation als Ihre.
In Deutschland in der Regel dann, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl gilt die Pflicht etwa bei umfangreicher Verarbeitung besonderer Kategorien von Daten, bei systematischer Überwachung oder wenn eine Datenschutz-Folgenabschätzung nötig ist. Der Beauftragte kann intern oder extern sein.
Grundsätzlich einen Monat ab Eingang. Bei komplexen oder zahlreichen Anfragen ist eine Verlängerung um bis zu zwei weitere Monate möglich. Die betroffene Person müssen Sie darüber innerhalb des ersten Monats mit Begründung informieren.
Die Sightadel-Lizenz für die DSGVO wird je Edition monatlich berechnet; alle Preise finden Sie auf unserer Preisseite. Dazu kommen gegebenenfalls ein externer Datenschutzbeauftragter, der unabhängig abrechnet, und Ihr interner Aufwand für Grunddokumentation und Pflege. Ist ISO 27001 oder ISO 9001 in Ihrer Lizenz, erhalten Sie auf die DSGVO einen dauerhaften Nachlass.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
