DSGVO-konformes Projektmanagement: fünf Fragen an jeden Anbieter

Der Moment kommt meistens spät. Ihr arbeitet seit zwei Jahren mit einem Werkzeug, in dem Kundenprojekte, Fehlermeldungen und Ansprechpartner mit Telefonnummer liegen. Dann fragt ein Neukunde – eine Klinik, eine Kanzlei, eine Stadtverwaltung – nach dem Auftragsverarbeitungsvertrag und einer Liste der eingesetzten Subunternehmer. Ihr schreibt den Anbieter an. Zurück kommt ein englisches PDF, das auf eine irische Tochtergesellschaft verweist, und ein Link zu einer Unterseite mit 40 Dienstleistern.

Jetzt ist es unangenehm. Nicht weil ihr etwas falsch gemacht hättet, sondern weil die Prüfung zwei Jahre zu spät stattfindet – und weil ein Wechsel inzwischen bedeutet, zwei Jahre Projekthistorie mitzunehmen. Der günstigste Zeitpunkt für diese fünf Fragen ist vor der Anmeldung.

Warum „DSGVO-konform“ kein Produktmerkmal ist

Auf Anbieterseiten steht der Satz wie eine Eigenschaft: DSGVO-konform, so wie „responsive“ oder „mit Dark Mode“. Das ist er nicht. Die Verordnung richtet sich zuerst an euch – ihr seid der Verantwortliche im Sinne von Art. 4, weil ihr entscheidet, welche Daten ihr in welches Werkzeug legt. Der Anbieter ist Auftragsverarbeiter und muss euch die Mittel geben, eure Pflichten zu erfüllen.

Daraus folgt etwas Praktisches: Ein Werkzeug kann euch die Arbeit leicht oder schwer machen, aber es kann sie euch nicht abnehmen. „Wir sind DSGVO-konform“ ohne Vertrag, ohne Subunternehmerliste und ohne Angabe zum Standort ist deshalb keine Aussage, sondern ein Werbespruch.

Fünf Fragen, die ein Anbieter beantworten können muss

Diese fünf reichen für eine erste Einschätzung. Sie sind bewusst so formuliert, dass eine ausweichende Antwort auffällt:

• Wo genau liegen die Daten – Land, und gehört der Betreiber zu einem Konzern außerhalb der EU?
• Bekomme ich einen Auftragsverarbeitungsvertrag nach Art. 28, und zwar vor Vertragsschluss zum Lesen?
• Welche Subunternehmer sind beteiligt, und werde ich informiert, wenn sich die Liste ändert?
• Wie komme ich wieder raus: Gibt es einen vollständigen Export in einem Format, das ohne euer Produkt lesbar ist?
• Was misst das Werkzeug über uns selbst – Tracking, Analyse, Auswertung unserer Inhalte für Produktverbesserung oder KI-Training?

Die letzte Frage stellen die wenigsten, und sie ist oft die aufschlussreichste. Ein Werkzeug, das eure Projektdaten zur Modellverbesserung auswertet, verarbeitet damit auch die Kundendaten, die ihr hineingelegt habt.

Der Serverstandort allein reicht nicht

„Rechenzentrum in Frankfurt“ klingt nach erledigt, ist es aber nicht. Der US CLOUD Act verpflichtet US-Unternehmen zur Herausgabe von Daten, auf die sie Zugriff haben – unabhängig davon, in welchem Land die Server stehen. Eine europäische Tochtergesellschaft eines amerikanischen Konzerns fällt darunter. Der Standort ist deshalb notwendig, aber nicht hinreichend; entscheidend ist zusätzlich, wer den Betreiber kontrolliert.

Das ist auch der Grund, warum die Frage nach der Konzernstruktur oben in derselben Zeile steht wie die nach dem Land. Getrennt gestellt bekommt man zwei richtige Antworten, die zusammen ein falsches Bild ergeben.

Der AVV gehört vor die Unterschrift, nicht danach

Art. 28 verlangt einen Vertrag zwischen Verantwortlichem und Auftragsverarbeiter, bevor die Verarbeitung beginnt. In der Praxis wird er oft nachgereicht – und dann liest ihn niemand mehr, weil das Werkzeug längst produktiv ist. Fragt ihn vorher an und lest die zwei Stellen, die wirklich zählen: die Liste der Subunternehmer und die Regelung zur Löschung nach Vertragsende.

Wie IssuePilot diese fünf Fragen beantwortet

Weil ein Prüfraster wenig wert ist, wenn der Anbieter, der es aufstellt, sich davor drückt, hier die Antworten für IssuePilot – einschließlich der Punkte, die noch offen sind.

• Standort: Server in Deutschland, betrieben von einem deutschen Unternehmen ohne Konzernmutter im Ausland. Der zweite Halbsatz ist der wichtigere.
• AVV: stellen wir auf Anfrage bereit – über die Kontaktseite. Er liegt noch nicht als Selbstbedienungs-Download vor; das ist ein offener Punkt und kein Geheimnis.
• Subunternehmer: nennen wir auf Anfrage. Öffentlich benannt ist bisher Stripe für die Zahlungsabwicklung; Kartendaten verarbeitet Stripe, IssuePilot speichert keine.
• Export: eure Daten lassen sich jederzeit exportieren, eine Löschung veranlassen wir auf Anfrage.
• Eigenmessung: in der Anwendung selbst gibt es kein Drittanbieter-Tracking. Auf dieser Marketing-Website laden Analyse- und Marketingdienste erst nach aktiver Einwilligung.

cockpit.issuepilot.app/issues

Zur Übertragung und Speicherung: Der Verkehr zwischen Browser und IssuePilot läuft verschlüsselt über HTTPS/TLS. Zugangsdaten im Passwort-Tresor liegen mit AES-256-GCM verschlüsselt, mit einem Zugriffsprotokoll, das festhält, wer wann was gesehen hat. Eure Daten werden regelmäßig gesichert.

Und was wir bewusst nicht behaupten: Es gibt keine ISO-27001- oder BSI-C5-Zertifizierung, wir nennen kein konkretes Rechenzentrum, und Angaben zu Backup-Turnus, Verschlüsselung ruhender Daten und TLS-Version stellen wir auf Anfrage bereit statt sie hier zu Marketingzwecken zu konkretisieren. Ein Anbieter, der bei diesen Punkten sofort eine glatte Zahl nennt, ohne sie belegen zu können, ist nicht sorgfältiger – nur mutiger.

cockpit.issuepilot.app/insights

Mehr Einzelheiten stehen auf der Seite zu Sicherheit und Datenschutz. Worauf es bei der Auswahl darüber hinaus ankommt, beschreibt der Beitrag zum Ticketsystem für kleine Unternehmen.

Wo dieses Raster aufhört

Fünf Fragen sind eine Vorauswahl, keine Rechtsberatung – und dieser Beitrag ist keine. Ob ihr für eine bestimmte Verarbeitung eine Datenschutz-Folgenabschätzung braucht, wie euer Verzeichnis von Verarbeitungstätigkeiten aussehen muss und was in eurem Fall besondere Kategorien personenbezogener Daten sind, hängt an eurem Geschäft und gehört mit jemandem besprochen, der dafür haftet.

Was das Raster leistet, ist etwas anderes: Es sortiert früh aus. Anbieter, die auf Frage eins und drei ausweichen, muss man nicht weiter prüfen. Das spart die Zeit für die Fälle, bei denen sich das genaue Hinsehen lohnt.

Häufige Fehler

• Erst prüfen, wenn ein Kunde fragt: Zu dem Zeitpunkt hängt bereits die Projekthistorie im Werkzeug, und der Wechsel kostet ein Vielfaches.
• Serverstandort mit Datensouveränität verwechseln: Das Land beantwortet die Frage nach dem Zugriff nur zusammen mit der Konzernstruktur.
• Den AVV ungelesen ablegen: Die beiden Stellen, die zählen – Subunternehmer und Löschung –, stehen selten auf Seite eins.
• Alles ins Werkzeug schreiben, was man weiß: Datensparsamkeit ist keine Anbietereigenschaft. Gesundheitsdaten oder Sozialversicherungsnummern gehören in kein Aufgabenfeld.
• Zertifikatslogos als Beleg nehmen: Ein Siegel sagt nichts darüber, welcher Geltungsbereich zertifiziert wurde – und ob eure Verarbeitung darin liegt.

Fazit

Die Frage ist nicht, ob ein Anbieter „DSGVO-konform“ auf seine Startseite schreibt. Die Frage ist, ob er fünf konkrete Auskünfte gibt, ohne auszuweichen: Land und Konzernstruktur, Vertrag vor Vertragsschluss, Subunternehmer mit Änderungsmitteilung, vollständiger Export, und was er über euch selbst misst.

Für Teams im DACH-Raum ist das inzwischen mehr als eine Pflichtübung. Wer selbst Kunden aus Gesundheitswesen, Verwaltung oder Beratung betreut, wird die Antworten weiterreichen müssen – und kann dann nur weiterreichen, was er bekommen hat. Wie IssuePilot sich neben den großen Werkzeugen einordnet, zeigt der Vergleich als Jira-Alternative.