DSGVO-Ready

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist die europäische Verordnung zum Schutz personenbezogener Daten, die seit Mai 2018 in allen EU-Mitgliedstaaten unmittelbar gilt. Sie regelt, wie Unternehmen Daten von natürlichen Personen erheben, speichern, verarbeiten und weitergeben dürfen.

Für Unternehmen, die SaaS-Lösungen einsetzen, ist die DSGVO besonders relevant: Sobald ein Tool personenbezogene Daten verarbeitet — also z. B. Namen, E-Mail-Adressen, IP-Adressen oder Nutzungsverhalten — muss die Verarbeitung den Anforderungen der DSGVO entsprechen.

Was bedeutet „DSGVO-Ready“ bei einem SaaS-Tool?

Ein SaaS-Anbieter gilt als DSGVO-konform, wenn er folgende Voraussetzungen erfüllt:

• Abschluss eines Auftragsverarbeitungsvertrags (AVV / DPA) möglich
• Transparente Datenschutzerklärung mit Angabe aller Subauftragnehmer
• Datenverarbeitung ausschließlich auf Basis einer Rechtsgrundlage (Art. 6 DSGVO)
• Betroffenenrechte sind umsetzbar (Auskunft, Löschung, Portabilität)
• Technische und organisatorische Maßnahmen (TOMs) dokumentiert
• Keine unzulässige Drittlandübermittlung (insb. USA) ohne geeignete Garantien

Warum ist der AVV (Auftragsverarbeitungsvertrag) so wichtig?

Gemäß Art. 28 DSGVO müssen Unternehmen mit jedem Dienstleister, der in ihrem Auftrag personenbezogene Daten verarbeitet, einen Auftragsverarbeitungsvertrag (AVV) abschließen. Ohne diesen Vertrag ist der Einsatz des Tools rechtswidrig — unabhängig davon, wie sicher der Anbieter technisch ist.

Viele etablierte SaaS-Anbieter stellen einen standardisierten AVV zur Verfügung, der online unterzeichnet werden kann. SaaSVault prüft, ob dieser Vertrag verfügbar ist, und kennzeichnet entsprechende Tools mit dem Badge „DPA verfügbar“.

Drittlandübermittlung: Das US-Problem

Viele US-amerikanische SaaS-Anbieter speichern Daten auf Servern in den USA. Dies ist seit dem Schrems-II-Urteil des EuGH (2020) ohne geeignete Schutzmaßnahmen unzulässig. Seit 2023 gibt es mit dem EU-US Data Privacy Framework wieder eine Grundlage für zertifizierte US-Anbieter — jedoch bleibt das Risiko politischer Instabilität.

Empfehlenswert sind Anbieter mit EU-Hosting, d. h. Rechenzentren ausschließlich in der Europäischen Union. SaaSVault kennzeichnet solche Tools entsprechend.

Bußgelder und Risiken

Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden — je nachdem, welcher Betrag höher ist. Auch ohne Bußgeld drohen Abmahnungen, Schadensersatzansprüche und Reputationsschäden.

Weitere Standards

• ISO 27001
• BSI C5
• SOC 2
• Zertifizierungen im Vergleich