Datenschutz
GDPR
GDPR (Datenschutz-Grundverordnung)
Die DSGVO ist die EU-Verordnung, die den Umgang mit personenbezogenen Daten regelt. Wir helfen Ihnen, Ihre Pflichten zu verstehen, die richtigen Kontrollen und Nachweise einzuführen und Rechenschaftspflicht zu belegen.
Was GDPR ist
Die Datenschutz-Grundverordnung ist EU-Recht, das die Verarbeitung personenbezogener Daten von Personen in der EU regelt. Sie beruht auf Grundsätzen wie Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung und Rechenschaftspflicht und gewährt Einzelpersonen Rechte an ihren Daten, darunter Auskunft, Berichtigung und Löschung.
Die DSGVO ist eine Verordnung, deren Einhaltung Sie nachweisen, kein Standard, nach dem Sie zertifiziert werden. Sie gilt auch für Organisationen außerhalb der EU, wenn diese Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Die Rechenschaftspflicht steht im Mittelpunkt: Von Ihnen wird erwartet, dass Sie anhand von Aufzeichnungen und dokumentierten Entscheidungen belegen können, dass Ihre Verarbeitung rechtmäßig ist und dass Sie angemessene Sicherheitsmaßnahmen getroffen haben.
Der Aufbau der Verordnung
Artikel 5 · Grundsätze
Sieben Grundsätze regeln jede Verarbeitung, darunter Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit.
Rechenschaftspflicht
Die Verordnung verlangt nicht nur, dass Sie konform handeln, sondern dass Sie die Einhaltung anhand von Aufzeichnungen, dokumentierten Entscheidungen und Governance nachweisen können.
Artikel 6 · Rechtsgrundlagen
Jede Verarbeitungstätigkeit muss sich auf eine von sechs Rechtsgrundlagen stützen, von Einwilligung und Vertrag über rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe bis hin zu berechtigten Interessen.
Artikel 15 bis 22 · Rechte der betroffenen Personen
Einzelpersonen haben das Recht, informiert zu werden, auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie auf Schutz im Zusammenhang mit automatisierten Entscheidungen.
Artikel 24 bis 32 · Pflichten von Verantwortlichen und Auftragsverarbeitern
Pflichten zu Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen, Verzeichnisse von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge sowie angemessene technische und organisatorische Sicherheitsmaßnahmen.
Artikel 33 und 34 · Meldung von Verletzungen
Verletzungen des Schutzes personenbezogener Daten müssen der Aufsichtsbehörde gemeldet werden, in der Regel innerhalb von zweiundsiebzig Stunden, und den betroffenen Personen, wenn das Risiko hoch ist.
Artikel 35 · Datenschutz-Folgenabschätzungen
Verarbeitungen mit hohem Risiko erfordern vor Beginn der Verarbeitung eine dokumentierte Bewertung der Risiken für die betroffenen Personen und der Maßnahmen, die ihnen begegnen.
Kapitel V · Internationale Datenübermittlungen
Übermittlungen personenbezogener Daten in Länder außerhalb der EU müssen sich auf einen Angemessenheitsbeschluss oder auf Garantien wie Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften stützen.
Wer es braucht
- Jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet, unabhängig von ihrem Sitz
- SaaS- und B2B-Unternehmen, die als Auftragsverarbeiter für EU-Kunden tätig sind
- Teams, die in den EU-Markt expandieren oder Daten von EU-Kunden oder -Mitarbeitenden verarbeiten
Was Sie erhalten
- Eine Datenerfassung und ein Verzeichnis von Verarbeitungstätigkeiten
- Rechtsgrundlagen, Datenschutzhinweise, Auftragsverarbeitungsverträge und zentrale Datenschutzprozesse
- Datenschutz-Folgenabschätzungen, wo erforderlich
- Technische und organisatorische Sicherheitsmaßnahmen mit Nachweisen aus Penetrationstests
Die Zeitpläne hängen vom Umfang und der Sensibilität der von Ihnen verarbeiteten Daten und von Ihrem aktuellen Reifegrad ab. Wir bestimmen den Umfang ehrlich im Voraus, statt eine feste Zahl an Wochen zu versprechen.
Aktuelle Version
Die DSGVO, Verordnung (EU) 2016/679, gilt seit dem 25. Mai 2018 und ist nach wie vor geltendes Recht; ihr Text wurde seit ihrem Inkrafttreten nicht wesentlich überarbeitet. Häufiger ändern sich die begleitenden Leitlinien, darunter Stellungnahmen des Europäischen Datenschutzausschusses und Positionen nationaler Aufsichtsbehörden, sowie die Mechanismen für internationale Datenübermittlungen. Es gibt keine neue Fassung, auf die umzustellen wäre, daher ist die Aufrechterhaltung der Konformität eine Frage, Ihre Aufzeichnungen, Rechtsgrundlagen und Übermittlungsregelungen im Einklang mit den aktuellen Leitlinien zu halten, statt auf eine neue Version zu migrieren.
Was es kostet
Die DSGVO ist ein Gesetz, dessen Einhaltung Sie nachweisen, kein Standard, nach dem Sie zertifiziert werden, daher gibt es kein Zertifikat zu kaufen, und tr3labs ist niemals Zertifizierer, Prüfer oder Regulierungsbehörde. Die Kosten sind unser Beratungs- und Umsetzungshonorar, das wir im Voraus angeben, sobald wir Ihre Größe und Ihren Ausgangspunkt kennen, zuzüglich jeglicher unabhängiger Leistungen, die Sie hinzunehmen möchten, etwa eines externen Audits, einer juristischen Fachprüfung oder eines Datenschutzbeauftragten, wo ein solcher erforderlich oder sinnvoll ist. Diese externen Parteien rechnen gesondert nach ihrem eigenen Tarif ab und bleiben von uns unabhängig. Wir geben keine Angebote ins Blaue ab; wir bestimmen den Umfang zuerst gemeinsam mit Ihnen.
Wie tr3labs Sie dorthin bringt
Umfang und Lückenanalyse
Wir erfassen Ihre Verarbeitung personenbezogener Daten, bestimmen Ihre Rolle als Verantwortlicher oder Auftragsverarbeiter, erstellen das Verzeichnis von Verarbeitungstätigkeiten und messen Ihren aktuellen Stand an den Anforderungen der DSGVO.
Kontrollen und Nachweise aufbauen
Wir helfen Ihnen, Rechtsgrundlagen festzulegen, Datenschutzhinweise und Verträge zu aktualisieren, Prozesse für die Rechte der betroffenen Personen und für Meldungen von Datenschutzverletzungen einzurichten und bei Bedarf Datenschutz-Folgenabschätzungen durchzuführen.
Die Daten absichern
Wir bewerten und stärken die technischen und organisatorischen Sicherheitsmaßnahmen, die die DSGVO erwartet, und nutzen Penetrationstests, um zu belegen, dass personenbezogene Daten angemessen geschützt sind.
Rechenschaftspflicht und laufende Unterstützung
Wir stellen die Dokumentation zusammen, die die Rechenschaftspflicht belegt, und halten Sie bereit, gegenüber Kunden, Partnern und Aufsichtsbehörden zu reagieren.
GDPR oder ISO 27701?
Beide befassen sich mit personenbezogenen Daten, weshalb Käufer sie manchmal gleichsetzen, doch das eine ist ein Gesetz und das andere ein zertifizierbares Managementsystem, das Ihnen hilft, es einzuhalten.
| GDPR | ISO 27701 | |
|---|---|---|
| Abdeckung | Eine rechtliche Pflicht in Bezug auf personenbezogene Daten von Personen in der EU | Ein Datenschutz-Informationsmanagementsystem, das Sie betreiben und zertifizieren |
| Wer es verlangt | Aufsichtsbehörden, Kunden und Partner | Unternehmenskunden und Beschaffung, die Sicherheit suchen |
| Grundgedanke | Rechtmäßige, rechenschaftsfähige Verarbeitung nachweisen | Datenschutzkontrollen betreiben, die ISO 27001 erweitern |
| Prüfmodell | Kein Zertifikat; Konformität wird durch Aufzeichnungen und Nachweise belegt | Zweistufige Zertifizierung durch eine akkreditierte Stelle, anschließend Überwachung |
| Oft gehalten mit | ISO 27001 und branchenspezifischen Datenschutzregeln | ISO 27001 und SOC 2 |
GDPR FAQ
- Kann man als DSGVO-konform zertifiziert werden?
- Die DSGVO ist eine Verordnung, deren Einhaltung Sie nachweisen, kein Standard, nach dem Sie eine akkreditierte Stelle zertifiziert. Genehmigte Zertifizierungsmechanismen gibt es im Grundsatz, in der Praxis belegen Organisationen die Einhaltung jedoch durch Aufzeichnungen, dokumentierte Entscheidungen und angemessene Sicherheit. Wir helfen Ihnen, diese Nachweise aufzubauen und zu pflegen.
- Gilt die DSGVO für uns, wenn wir nicht in der EU sind?
- Das kann sein. Die DSGVO gilt für Organisationen außerhalb der EU, wenn diese Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Wir helfen Ihnen im Rahmen der Umfangsbestimmung zu klären, ob und wie sie für Sie gilt.
- Was ist der Unterschied zwischen einem Verantwortlichen und einem Auftragsverarbeiter?
- Ein Verantwortlicher entscheidet, warum und wie personenbezogene Daten verarbeitet werden, während ein Auftragsverarbeiter auf Weisung des Verantwortlichen handelt. Ihre Pflichten unterscheiden sich je nach Rolle, daher gehört es zu den ersten Schritten, festzustellen, welche Rolle Sie für welche Daten innehaben.
Die Leistungen, die Sie dorthin bringen
Verwandte Standards
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit