Ist eure Toolchain DSGVO-fest?

1Habt ihr mit jedem Tool-Anbieter einen Auftragsverarbeitungsvertrag (AVV)?

Sobald ein Dienstleister personenbezogene Daten in eurem Auftrag verarbeitet – Kundennamen in Aufgaben genügen –, verlangt Art. 28 DSGVO einen Vertrag darüber. Ohne ihn fehlt die Rechtsgrundlage für die gesamte Verarbeitung.

2Wisst ihr, in welchem Land die Daten tatsächlich liegen?

Der Firmensitz sagt nichts über den Serverstandort. Entscheidend ist, wo verarbeitet und gesichert wird – inklusive der Backups.

3Ist geklärt, ob Daten in Drittländer (etwa die USA) übermittelt werden?

Bei US-Anbietern braucht die Übermittlung eine tragfähige Grundlage. Das ist kein Formfehler, sondern der Punkt, an dem Aufsichtsbehörden zuerst hinsehen.

4Habt ihr eine aktuelle Liste der Unterauftragnehmer?

Fast jedes SaaS-Tool nutzt weitere Dienste für Hosting, Mailversand oder Fehlerprotokolle. Diese Kette gehört dokumentiert, und Änderungen daran müssen euch mitgeteilt werden.

5Stehen alle eingesetzten Tools in eurem Verarbeitungsverzeichnis?

Art. 30 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten. In der Praxis fehlen dort genau die Werkzeuge, die sich einzelne Teams nebenbei zugelegt haben.

6Ist geregelt, wie lange Daten bleiben und wann sie gelöscht werden?

Ohne Löschkonzept sammeln sich Kundendaten aus abgeschlossenen Projekten unbegrenzt an. Das widerspricht dem Grundsatz der Speicherbegrenzung und vergrößert jeden Schadensfall.

7Könnt ihr Auskunft und Löschung für eine einzelne Person tatsächlich umsetzen?

Betroffenenrechte gelten unabhängig davon, ob euer Tool eine passende Funktion hat. Wenn ihr Daten nicht gezielt finden könnt, wird jede Anfrage zur Handarbeit – unter Frist.

8Ist geregelt, wer worauf zugreifen darf – und wird es protokolliert?

Freelancer, ehemalige Mitarbeiter, Praktikanten: Zugänge überleben oft die Zusammenarbeit. Rollen und ein Protokoll sind der Unterschied zwischen einem Vorfall und einem nachweisbaren Vorfall.

9Liegen Kundenzugangsdaten verschlüsselt – und nicht in Excel oder im Chat?

Für Agenturen ist das der heikelste Punkt: Wer Zugänge zu Kundensystemen verwaltet, haftet auch für deren Sicherheit. Eine Tabelle im geteilten Ordner erfüllt keine der Anforderungen.

10Ist der Kanal, über den Kunden euch Anliegen melden, datenschutzrechtlich sauber?

Widget, Portal oder Formular auf eurer Website erheben personenbezogene Daten. Sie brauchen einen Hinweis in der Datenschutzerklärung – und die eingesammelten Daten unterliegen denselben Regeln wie alles andere.