DSGVO-Compliance-Implementierungsleitfaden
Die EU-Datenschutz-Grundverordnung ist das staerkste Datenschutzgesetz der Welt. Ob Sie Daten von EU-Einwohnern von ueberall auf der Welt verarbeiten - wir helfen Ihnen bei der Umsetzung von Betroffenenrechten, DSFAs, Meldepflichten bei Datenschutzverletzungen und Rechenschaftspflicht mit klaren Prozessen und Nachweisen.
Was ist die DSGVO?
Die Datenschutz-Grundverordnung (EU) 2016/679 ist ein umfassendes Datenschutzgesetz, das am 25. Mai 2018 in Kraft trat. Die DSGVO gilt fuer jede Organisation, die personenbezogene Daten von Personen in der Europaeischen Union verarbeitet, unabhaengig davon, wo die Organisation ihren Sitz hat.
Warum das wichtig ist: Die DSGVO hat einen extraterritorialen Geltungsbereich und durchsetzbare Bussgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Sie setzt den globalen Standard fuer Datenschutz und beeinflusst Datenschutzgesetze weltweit.
Durchsetzbar
Erhebliche Strafen bei Verstoessen
Extraterritorial
Gilt weltweit fuer EU-Datenverarbeitung
Ergaenzt die EU AI Act-Compliance und stimmt mit der ISO 42001-Datengovernance ueberein.
Wer benoetigt DSGVO-Compliance?
Jede Organisation, die EU-Personendaten verarbeitet
Gilt unabhaengig vom Standort, wenn Sie Daten von EU-Einwohnern verarbeiten
KI-Unternehmen, die Nutzerdaten verarbeiten
KI-Systeme, die personenbezogene Daten fuer Training oder Entscheidungsfindung nutzen
Cloud-Dienstleister
SaaS-, PaaS-, IaaS-Anbieter, die EU-Daten speichern oder verarbeiten
Marketing- & AdTech-Unternehmen
Organisationen, die personenbezogene Daten fuer Targeting oder Profiling nutzen
Gesundheits- & HR-Systeme
Verarbeitung besonderer Kategorien sensibler personenbezogener Daten
E-Commerce & Online-Plattformen
Erhebung von Kundendaten fuer Transaktionen oder Dienstleistungen
Wie VerifyWise die DSGVO-Compliance unterstuetzt
VerifyWise bietet ein DSGVO-Compliance-Preset, das Datenschutz- und Antidiskriminierungspflichten in einem einzigen strukturierten Workflow zusammenfasst
Weitere Compliance-Funktionen
Verarbeitungsverzeichnis und Aufzeichnungen
Fuehren Sie umfassende Aufzeichnungen aller Verarbeitungstaetigkeiten (Artikel 30). Dokumentieren Sie Rechtsgrundlage, Datenkategorien, Aufbewahrungsfristen und Uebermittlungen an Dritte fuer jeden Verarbeitungsvorgang. VerifyWise erstellt DSGVO-konforme Aufzeichnungen, die Pruefungen der Aufsichtsbehoerden standhalten.
Adressiert: Artikel 30: Verzeichnis von Verarbeitungstaetigkeiten
Datenschutz-Folgenabschaetzungen (DSFAs)
Fuehren Sie strukturierte DSFAs fuer risikoreiche Verarbeitungstaetigkeiten mit gefuehrten Workflows durch (Artikel 35). Bewerten Sie Notwendigkeit, Verhaeltnismaessigkeit, Risiken fuer betroffene Personen und Abhilfemassnahmen. Verfolgen Sie den DSFA-Status und Vorabkonsultationsanforderungen automatisch.
Adressiert: Artikel 35: Datenschutz-Folgenabschaetzung
Verwaltung der Betroffenenrechte
Bearbeiten Sie alle acht Betroffenenrechte mit strukturierten Workflows und Audit-Trails. Verfolgen Sie Anfragen auf Auskunft, Berichtigung, Loeschung, Einschraenkung, Datenportabilitaet und Widerspruch. Erstellen Sie konforme Antworten innerhalb der 30-Tage-Frist.
Adressiert: Artikel 15-22: Betroffenenrechte
Meldung von Datenschutzverletzungen und Reaktion auf Vorfaelle
Verwalten Sie Datenschutzverletzungen mit automatisierten Workflows fuer die 72-Stunden-Meldung an die Aufsichtsbehoerde (Artikel 33) und die Benachrichtigung betroffener Personen (Artikel 34). Dokumentieren Sie Bewertung der Verletzung, Auswirkungsanalyse und Abhilfemassnahmen.
Adressiert: Artikel 33-34: Meldepflichten bei Datenschutzverletzungen
Einwilligungsmanagement und Rechtsgrundlagenverfolgung
Dokumentieren Sie die Rechtsgrundlage fuer jede Verarbeitungstaetigkeit (Artikel 6). Bei einwilligungsbasierter Verarbeitung fuehren Sie Nachweise ueber freiwillig erteilte, spezifische, informierte und eindeutige Einwilligung. Verfolgen Sie Widerrufsanfragen und Verarbeitungseinstellungen.
Adressiert: Artikel 6: Rechtmaessigkeit der Verarbeitung, Artikel 7: Einwilligung
Governance fuer Auftragsverarbeiter und Datenuebermittlungen
Verwalten Sie Auftragsverarbeitervertraege mit DSGVO-erforderlichen Klauseln (Artikel 28). Verfolgen Sie internationale Uebermittlungen unter Verwendung von Standardvertragsklauseln, Angemessenheitsbeschluessen oder Ausnahmen (Kapitel V). Fuehren Sie Transfer-Folgenabschaetzungen fuer Drittlaender ohne Angemessenheitsbeschluss.
Adressiert: Artikel 28: Auftragsverarbeiteranforderungen, Artikel 44-50: Uebermittlungen
Alle DSGVO-Compliance-Aktivitaeten werden mit Zeitstempeln, zugewiesenen Verantwortlichen und Genehmigungsworkflows verfolgt. Dieser Audit-Trail demonstriert Rechenschaftspflicht und systematische Compliance statt nachtraeglich erstellter Dokumentation.
Vollstaendige DSGVO-Grundsaetze-Abdeckung
VerifyWise bietet spezielle Werkzeuge fuer alle DSGVO-Grundsaetze und -Anforderungen
DSGVO-Kerngrundsaetze
Zugehoerige Artikel mit speziellen Werkzeugen
Abdeckung aller Grundsaetze
Rechtsgrundlage, faire Verarbeitung, transparente Kommunikation
Festgelegte Zwecke, kompatible Nutzung, Dokumentation
Angemessene, relevante, begrenzte Datenerhebung
Korrekte Daten, zeitnahe Aktualisierung, Loeschung unrichtiger Daten
Aufbewahrungsfristen, Archivierungskriterien, Loeschung
Sicherheitsmassnahmen, Schutz vor unbefugtem Zugriff
Compliance nachweisen, Verarbeitungsverzeichnis, Governance
Von Grund auf fuer DSGVO-Compliance entwickelt
Automatisierung des Artikel-30-Verzeichnisses
Konforme Verzeichnisse von Verarbeitungstaetigkeiten erstellen
Betroffenenrechte-Workflows
Alle 8 Rechte mit 30-Tage-Fristenverfolgung bearbeiten
72-Stunden-Meldung bei Datenschutzverletzungen
Automatisierte Workflows fuer Artikel 33-34 Compliance
Multi-Framework-Zuordnung
Querverweise zum EU AI Act und ISO 42001-Anforderungen
Acht DSGVO-Grundsaetze
Kerngrundsaetze, die jede Verarbeitung personenbezogener Daten nach der DSGVO bestimmen
Rechtmaessigkeit, Fairness & Transparenz
Personenbezogene Daten rechtmaessig, fair und transparent verarbeiten. Rechtsgrundlage identifizieren und Verarbeitung den betroffenen Personen klar kommunizieren.
- Dokumentierte Rechtsgrundlage fuer jede Verarbeitungstaetigkeit
- Faire Verarbeitung ohne Taeuschung oder Zwang
- Transparente Datenschutzhinweise in klarer Sprache
- Zugaengliche Informationen ueber die Verarbeitung
- Kommunikation der Betroffenenrechte
Zweckbindung
Daten nur fuer festgelegte, eindeutige und legitime Zwecke erheben. Keine Verarbeitung fuer unvereinbare Zwecke ohne neue Einwilligung.
- Vor der Erhebung dokumentierte festgelegte Zwecke
- Ausdrueckliche Kommunikation der Zwecke
- Legitime Zwecke im Einklang mit Erwartungen
- Kompatibilitaetspruefung fuer neue Nutzungen
- Einschraenkungen bei Weiterverarbeitung
Datenminimierung
Nur Daten erheben, die angemessen, relevant und auf das fuer die genannten Zwecke Notwendige beschraenkt sind.
- Notwendigkeitspruefung fuer jedes Datenelement
- Angemessene Daten zur Zweckerreichung
- Relevante Daten ohne uebermassige Erhebung
- Regelmaessige Ueberpruefung der erhobenen Daten
- Minimierung durch Design
Richtigkeit
Korrekte und aktuelle personenbezogene Daten fuehren. Unrichtige Daten unverzueglich loeschen oder berichtigen.
- Regelmaessige Pruefungen der Datenrichtigkeit
- Zeitnahe Aktualisierung bei festgestellten Ungenauigkeiten
- Loeschung unrichtiger Daten
- Berichtigungsrecht der betroffenen Personen
- Verfahren zur Richtigkeitspruefung
Speicherbegrenzung
Personenbezogene Daten nur so lange aufbewahren, wie es fuer die festgelegten Zwecke erforderlich ist. Aufbewahrungsfristen und Loeschverfahren festlegen.
- Dokumentierte Aufbewahrungsfristen nach Datenkategorie
- Begruendete Aufbewahrung basierend auf dem Zweck
- Loeschung oder Anonymisierung nach Ablauf der Aufbewahrungsfrist
- Archivierungskriterien fuer laengere Aufbewahrung
- Regelmaessige Loeschungspruefungen
Integritaet & Vertraulichkeit
Daten sicher verarbeiten zum Schutz vor unbefugtem Zugriff, Verlust, Zerstoerung oder Schaedigung. Angemessene technische und organisatorische Massnahmen umsetzen.
- Dem Risiko angemessene Sicherheitsmassnahmen
- Schutz vor unbefugtem Zugriff
- Verhinderung von Datenverlust oder -schaeden
- Verschluesselung und Pseudonymisierung wo angemessen
- Regelmaessige Sicherheitstests und -bewertungen
Rechenschaftspflicht
Einhaltung aller DSGVO-Grundsaetze nachweisen. Dokumentation fuehren, Governance umsetzen und fortlaufende Compliance sicherstellen.
- Verzeichnis von Verarbeitungstaetigkeiten
- Datenschutzrichtlinien und -verfahren
- Mitarbeiterschulung und Sensibilisierung
- DSFAs fuer risikoreiche Verarbeitung
- Nachweise fuer Compliance-Massnahmen
Datenschutz durch Technikgestaltung & Voreinstellung
Datenschutz von der Systemgestaltung an umsetzen. Standardmaessig nur notwendige Daten verarbeiten. Datenschutz in alle Verarbeitungsvorgaenge einbauen.
- Datenschutz in die Systemgestaltung integriert
- Datenschutz als Standardeinstellung
- Minimale Datenverarbeitung als Standard
- Datenschutzfoerdernde Technologien
- Regelmaessige Datenschutzueberpruefungen
Acht Betroffenenrechte
Die DSGVO gewaehrt Einzelpersonen umfassende Rechte ueber ihre personenbezogenen Daten
Auskunftsrecht
Betroffene Personen koennen eine Bestaetigung der Verarbeitung verlangen und eine Kopie ihrer personenbezogenen Daten erhalten.
Anforderungen
- Bestaetigen, ob Daten verarbeitet werden
- Kopie der Daten bereitstellen
- Verarbeitungszwecke offenlegen
- Antwort innerhalb von 30 Tagen
Recht auf Berichtigung
Betroffene Personen koennen die Korrektur unrichtiger personenbezogener Daten und die Vervollstaendigung unvollstaendiger Daten verlangen.
Anforderungen
- Unrichtige Daten umgehend korrigieren
- Unvollstaendige Daten vervollstaendigen
- Empfaenger benachrichtigen
- Antwort innerhalb von 30 Tagen
Recht auf Loeschung
Betroffene Personen koennen unter bestimmten Umstaenden die Loeschung personenbezogener Daten verlangen (Recht auf Vergessenwerden).
Anforderungen
- Loeschung wenn nicht mehr erforderlich
- Einwilligung widerrufen
- Unrechtmaessige Verarbeitung
- Gesetzliche Loeschpflicht
Recht auf Einschraenkung
Betroffene Personen koennen unter bestimmten Umstaenden die Einschraenkung der Verarbeitung verlangen, waehrend die Richtigkeit oder Rechtmaessigkeit geprueft wird.
Anforderungen
- Einschraenkung waehrend Richtigkeitspruefung
- Einschraenkung bei unrechtmaessiger Verarbeitung
- Eingeschraenkte Daten kennzeichnen
- Einschraenkungen kommunizieren
Recht auf Datenportabilitaet
Betroffene Personen koennen ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten und an einen anderen Verantwortlichen uebermitteln.
Anforderungen
- Daten in maschinenlesbarem Format bereitstellen
- Direkte Uebermittlung ermoeglichen
- Gilt fuer automatisierte Verarbeitung
- Basiert auf Einwilligung oder Vertrag
Widerspruchsrecht
Betroffene Personen koennen der Verarbeitung aufgrund berechtigter Interessen, Direktwerbung oder Forschungszwecken widersprechen.
Anforderungen
- Verarbeitung bei Widerspruch einstellen
- Zwingende berechtigte Gruende nachweisen
- Werbeverarbeitung immer einstellen
- Ueber Widerspruchsrecht informieren
Rechte bei automatisierter Entscheidungsfindung
Betroffene Personen haben Rechte bezueglich ausschliesslich automatisierter Entscheidungen mit rechtlicher oder erheblicher Wirkung, einschliesslich Profiling.
Anforderungen
- Recht, keiner automatisierten Entscheidung unterworfen zu werden
- Moeglichkeit menschlichen Eingreifens bieten
- Logik automatisierter Entscheidungen erklaeren
- Stellungnahme ermoeglichen
Recht auf Widerruf der Einwilligung
Betroffene Personen koennen ihre Einwilligung jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung der Einwilligung.
Anforderungen
- Einfacher Widerrufsmechanismus
- Klare Widerrufsanweisungen
- Verarbeitung bei Widerruf einstellen
- Vor Einwilligung ueber Widerrufsrecht informieren
26-Wochen-Implementierungsfahrplan
Ein praktischer Weg zur DSGVO-Compliance mit klaren Meilensteinen
Grundlagen & Gap-Analyse
- Datenschutzbeauftragten ernennen (falls erforderlich)
- DSGVO-Bereitschaftsbewertung durchfuehren
- Verarbeitungsverzeichnis erstellen
- Risikoreiche Verarbeitungstaetigkeiten identifizieren
- Bestehende Datenschutzhinweise ueberpruefen
Dokumentation & Richtlinien
- Rechtsgrundlage fuer alle Verarbeitungen dokumentieren
- Datenschutzhinweise und -richtlinien aktualisieren
- Verzeichnis von Verarbeitungstaetigkeiten erstellen (Artikel 30)
- Betroffenenrechte-Verfahren umsetzen
- DSFA-Prozess und Vorlagen entwickeln
Technische & organisatorische Massnahmen
- Dem Risiko angemessene Sicherheitsmassnahmen umsetzen
- Datenschutz durch Technikgestaltung in neuen Systemen einsetzen
- Verfahren zur Meldung von Datenschutzverletzungen einrichten
- Auftragsverarbeitervertraege ueberpruefen
- DSFAs fuer risikoreiche Verarbeitung durchfuehren
Compliance & kontinuierliche Ueberwachung
- Mitarbeiterschulung zu DSGVO-Anforderungen
- Betroffenenrechte-Verfahren testen
- Fortlaufende Compliance-Ueberwachung umsetzen
- Regelmaessige DSGVO-Audits planen
- Rechenschaftspflicht und Governance etablieren
DSGVO-Strafen sind erheblich und werden durchgesetzt
DSGVO-Aufsichtsbehoerden setzen Verstoesse aktiv mit Bussgeldern durch, die Hunderte Millionen Euro erreichen koennen.
Verstoesse der unteren Stufe
Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
Beispiele fuer Verstoesse:
- Versaeumnis, Aufzeichnungen zu fuehren (Artikel 30)
- Unzureichende Sicherheitsmassnahmen (Artikel 32)
- Nichtbeachtung der Auftragsverarbeiteranforderungen (Artikel 28)
- Unzureichende Meldung von Datenschutzverletzungen an die Aufsichtsbehoerde (Artikel 33)
Verstoesse der hoeheren Stufe
Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes
Beispiele fuer Verstoesse:
- Unrechtmaessige Verarbeitung (Artikel 5, 6, 9)
- Verletzung der Betroffenenrechte (Artikel 12-22)
- Unautorisierte internationale Uebermittlungen (Kapitel V)
- Nichtbeachtung von Anordnungen der Aufsichtsbehoerde (Artikel 58)
Bemerkenswerte Durchsetzungsmassnahmen: Amazon (746 Mio. Euro), Meta/WhatsApp (225 Mio. Euro), Google Ireland (90 Mio. Euro), H&M (35 Mio. Euro). Aufsichtsbehoerden beruecksichtigen bei der Festlegung von Bussgeldern Schwere, Dauer, Vorsaetzlichkeit, Datenkategorien, Anzahl betroffener Personen und Kooperationsbereitschaft.
Durchsetzungstracker des Europaeischen Datenschutzausschusses ansehen →Vollstaendiges DSGVO-Richtlinienarchiv
Zugang zu 37 sofort einsetzbaren Datenschutzrichtlinienvorlagen, abgestimmt auf DSGVO-, EU AI Act- und ISO 42001-Anforderungen
DSGVO-Kernrichtlinien
- Datenschutzrichtlinie
- Datenschutzhinweis-Vorlagen
- Einwilligungsmanagement-Richtlinie
- Betroffenenrechte-Verfahren
- Verzeichnis von Verarbeitungstaetigkeiten
- DSFA-Richtlinie & Vorlagen
- + 6 weitere Richtlinien
Sicherheit & Datenschutzverletzungen
- Datensicherheitsrichtlinie
- Verfahren zur Meldung von Datenschutzverletzungen
- Incident-Response-Plan
- Datenaufbewahrungs- & Loeschrichtlinie
- Zugriffskontrollrichtlinie
- Verschluesselungsstandards
- + 5 weitere Richtlinien
Auftragsverarbeiter & Uebermittlungen
- Auftragsverarbeitungsvertrag
- Drittanbieter-Richtlinie
- Richtlinie fuer internationale Uebermittlungen
- Standardvertragsklauseln
- Transfer-Folgenabschaetzung
- Auftragsverarbeiterverwaltung
- + 4 weitere Richtlinien
Haeufig gestellte Fragen
Haeufige Fragen zur DSGVO-Compliance-Implementierung
Bereit fuer DSGVO-Compliance?
Starten Sie Ihre DSGVO-Compliance-Reise mit unserer gefuehrten Bewertung und Implementierungstools.