Passgenaue Lösungen für B2C-Unternehmen
Wer an Endkunden verkauft, verarbeitet viele personenbezogene Daten: Bestellungen, Konten, Zahlungen, Newsletter. Fragen von Kunden, Aufsicht und Presse kommen oft ohne Vorwarnung. Sightadel hilft, die Pflichten der DSGVO zu belegen, Fristen einzuhalten und im Trust Center offen zu zeigen, wie Sie mit Daten umgehen.
Ausgangslage
Im Endkundengeschäft entscheidet Vertrauen über den Kauf. Kunden geben Adresse, Zahlungsdaten und manchmal sehr persönliche Angaben preis. Sie erwarten, dass das Unternehmen damit sorgfältig umgeht, und sie haben Rechte, die sie zunehmend nutzen: Auskunft, Löschung, Widerspruch gegen Werbung.
Hinter einem Shop oder einer App steht meist eine ganze Reihe von Dienstleistern. Hosting, Zahlungsanbieter, Versand, Newsletter, Analyse, Kundenservice. Jeder davon verarbeitet Daten in Ihrem Auftrag und braucht einen Vertrag und eine Bewertung. Ein Vorfall bei einem dieser Dienstleister ist rechtlich auch Ihr Vorfall.
Eine Datenpanne trifft B2C-Unternehmen besonders hart. Neben der Meldung an die Aufsicht kann die Benachrichtigung vieler Kunden nötig sein, und das Thema landet schnell in den Medien. Wer vorher geübt hat, wer was entscheidet und wie gemeldet wird, verliert in diesem Moment keine Zeit.
Warum jetzt
Für Auskünfte gilt grundsätzlich eine Frist von einem Monat. Ohne festen Ablauf wird jede Anfrage zur Suche in mehreren Systemen.
Meldepflichtige Verletzungen gehen möglichst binnen 72 Stunden an die Aufsicht. Bei hohem Risiko müssen auch die Betroffenen informiert werden.
Ein neues Newsletter-Werkzeug, ein Chat im Kundenservice, ein KI-Dienst. Jeder braucht einen Vertrag zur Auftragsverarbeitung und eine Prüfung, wo die Daten liegen.
Nach einer Beschwerde verlangt die Datenschutzaufsicht Unterlagen, etwa das Verzeichnis von Verarbeitungstätigkeiten oder den Nachweis einer Einwilligung.
Zahlungsanbieter, Marktplätze und große Handelspartner fragen nach Sicherheitsmaßnahmen und Zertifikaten, bevor sie zusammenarbeiten.
Mit neuen Märkten kommen weitere Dienstleister, Sprachen und manchmal Datenübermittlungen in Drittländer. Die Dokumentation muss mitwachsen.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Im Endkundengeschäft der wichtigste Rahmen. Dazu gehören Informationen nach Art. 13 DSGVO, eine Rechtsgrundlage für jede Verarbeitung, Verträge mit Auftragsverarbeitern, Fristen für Betroffenenrechte und die Meldung von Datenpannen. Für Cookies und ähnliche Techniken gilt zusätzlich § 25 TDDDG.
Zum Framework →Gibt den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO eine geprüfte Struktur. Ein Zertifikat zeigt Partnern und Kunden, dass eine unabhängige Stelle die Maßnahmen geprüft hat.
Zum Framework →Online-Marktplätze sind als Anbieter digitaler Dienste in Anlage 2 des BSIG genannt, ebenso etwa Post- und Kurierdienste. Ab mittlerer Größe gelten dann Registrierung, Risikomanagement und Meldepflichten. Ein klassischer Onlineshop ist kein Marktplatz im Sinne des Gesetzes.
Zum Framework →Setzen Sie KI im Kontakt mit Kunden ein, etwa einen Chatbot, gelten Transparenzpflichten: Menschen müssen erkennen können, dass sie mit einem KI-System sprechen. Die Pflichten hängen von Rolle und Einsatz ab.
Zum Framework →Empfohlene Reihenfolge
Welche Daten erheben Sie wo, wofür und auf welcher Rechtsgrundlage? Das Verzeichnis von Verarbeitungstätigkeiten ist die Grundlage für alles Weitere.
Für jeden Dienstleister, der Kundendaten verarbeitet: Vertrag nach Art. 28 DSGVO, Standort der Daten, Unterauftragnehmer und eine Bewertung des Risikos.
Wer nimmt Auskunfts- und Löschanfragen an, wer entscheidet über eine Meldung an die Aufsicht? Fristen und Zuständigkeiten stehen fest, bevor etwas passiert.
Zugriffe, Verschlüsselung, Datensicherung und Schulungen bekommen Nachweise mit Datum. Mit ISO 27001 als Gerüst entsteht daraus ein prüfbares System.
Im Trust Center sehen Kunden und Partner, welche Maßnahmen Sie getroffen haben und welche Dienstleister beteiligt sind. Die Datenschutzerklärung bleibt Pflicht, das Trust Center ergänzt sie.
Schwerpunkt
Endkunden lesen selten Richtlinien. Sie merken aber, ob ein Unternehmen auf Fragen schnell und klar antwortet.
Auskunfts- und Löschanfragen werden mit Eingang, Bearbeitung und Antwort festgehalten. Aufgaben mit Frist sorgen dafür, dass nichts liegen bleibt.
Wer entscheidet, wer meldet, wer informiert die Kunden? Ist der Ablauf vorher festgelegt und geübt, bleibt in den ersten Stunden Zeit für die Sache selbst.
Alle Auftragsverarbeiter stehen in einer Liste mit Vertrag, Standort und Risiko. Fehlende Verträge und abgelaufene Nachweise fallen auf.
Das Trust Center zeigt Maßnahmen, Zertifikate und Dienstleister auf einer eigenen Seite. Partner, Presse und interessierte Kunden finden dort Antworten.
So hilft Sightadel
Die Pflichten der DSGVO sind als geführte Fragen aufbereitet, von den Grundsätzen über die Betroffenenrechte bis zur Meldepflicht. Zu jeder Frage gehören Erklärung, Antwort und Beleg.
Mehr erfahren →Hosting, Zahlung, Versand, Newsletter und Analyse stehen mit Land, Vertrag, Unterauftragnehmern und Nachweisen in einer Liste. Aus den verarbeiteten Daten ergibt sich die Risikobewertung.
Mehr erfahren →Vorlagen für Verarbeitungsverzeichnis, Datenschutzhinweise, Löschkonzept und Antworten auf Betroffenenanfragen. Die KI hilft beim Formulieren, die rechtliche Bewertung bleibt bei Ihnen.
Mehr erfahren →Offene Anfragen, fehlende Verträge und Maßnahmen nach einer Datenpanne werden zu Aufgaben mit Frist und verantwortlicher Person.
Mehr erfahren →Eine öffentliche Seite mit Sicherheitsmaßnahmen, Zertifikaten, freigegebenen Dokumenten und Unterauftragnehmern. Das Sightadel-Siegel verlinkt auf Ihre Scorecard.
Mehr erfahren →Sightadel prüft, wie Shop, Website und Mailserver von außen aussehen, und zeigt jedes Problem mit Anleitung zur Behebung.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben die Zahl der Dienstleister, die Zahl der Länder und wie viele Systeme Kundendaten enthalten.
Was Sie lizenzieren · typisch Professional
Ein typisches B2C-Unternehmen mit Shop oder App führt die DSGVO in der Edition Professional, weil hinter dem Geschäft viele Dienstleister stehen. Sie umfasst zehn Nutzer und 25 Lieferanten. Lizenz für die DSGVO: ab 200 € im Monat. Kommt ISO 27001 hinzu, gibt es auf die DSGVO einen dauerhaften Nachlass. Mit wenigen Dienstleistern reicht oft Basic.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
In Deutschland nach § 38 BDSG in der Regel, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl kann die Pflicht bestehen, etwa wenn eine Datenschutz-Folgenabschätzung nötig ist. Die Einordnung im Einzelfall klären Sie mit Ihrer Rechtsberatung.
Grundsätzlich ein Monat ab Eingang. Bei komplexen oder zahlreichen Anfragen lässt sich die Frist um zwei weitere Monate verlängern. Die betroffene Person muss darüber innerhalb des ersten Monats informiert werden.
Meldepflichtige Verletzungen gehen ohne unangemessene Verzögerung und möglichst binnen 72 Stunden an die Aufsichtsbehörde. Besteht ein hohes Risiko für die Betroffenen, werden auch sie benachrichtigt. Dokumentiert wird jede Panne, auch ohne Meldung.
Nein. Die Informationen nach Art. 13 DSGVO bleiben Pflicht. Das Trust Center ergänzt sie um Sicherheitsmaßnahmen, Zertifikate und die Liste der Dienstleister.
Ein Shop, der eigene Waren verkauft, ist in der Regel kein Online-Marktplatz im Sinne des BSIG. Betreiben Sie eine Plattform, auf der Dritte verkaufen, kann das anders sein. Die Einordnung klären Sie mit Ihrer Beratung.
Sightadel stellt keine Cookie-Banner bereit. Sie halten fest, welche Techniken Sie einsetzen, auf welcher Grundlage und mit welchem Dienstleister, und verknüpfen die Dokumentation als Nachweis.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
