EU-Organisationen
Alle Unternehmen/Behörden innerhalb der EU
Sobald personenbezogene Daten verarbeitet werden – unabhängig von Größe, Sektor oder Art der Verarbeitung. Von Kleinstunternehmen bis Konzerne. Keine Schwellenwerte.
GDPR / DSGVO
Datenschutz als Grundrecht
Die EU-Datenschutz-Grundverordnung schützt die Grundrechte natürlicher Personen beim Umgang mit personenbezogenen Daten. Seit 25. Mai 2018 unmittelbar geltend in allen EU-Mitgliedstaaten – mit einheitlichen Standards für Datenschutz, Transparenz und individuelle Kontrolle.
Made in Germany
ISO 27001
ISO 9001
DSGVO-konform
DORA Compliant
24/7 Support
Was ist die GDPR?
Die Verordnung (EU) 2016/679 (General Data Protection Regulation / Datenschutz-Grundverordnung) ist das zentrale Datenschutzgesetz der EU. Ziel: Schutz der Grundrechte natürlicher Personen und freier Datenverkehr innerhalb der EU. Unmittelbar geltend seit 25. Mai 2018.
Geltungsbereich & Anwendung
Die GDPR gilt territorial und extraterritorial – für alle Organisationen innerhalb der EU und für Nicht-EU-Organisationen, die Daten von EU-Bürgern verarbeiten oder deren Verhalten beobachten.
Extraterritoriale Anwendung
Nicht-EU-Organisationen, die EU-Daten verarbeiten
Auch außerhalb der EU ansässige Unternehmen unterliegen der GDPR, wenn sie Waren/Services für EU-Bürger anbieten oder deren Verhalten beobachten (z.B. Tracking, Profiling).
Ausnahmen
Rein persönliche Tätigkeiten ausgenommen
Private Nutzung sozialer Medien, Haushaltskorrespondenz. Strafverfolgung fällt unter Richtlinie (EU) 2016/680. Nationale Sicherheit ebenfalls ausgenommen.
Personenbezogene Daten
Alle Informationen über identifizierte/identifizierbare Person
Name, E-Mail, IP-Adresse, Cookie-IDs, biometrische Daten, Standortdaten, Online-Kennungen. Auch indirekt identifizierbare Daten (Pseudonyme mit Referenz).
Die 7 Grundprinzipien (Art. 5)
Die GDPR verankert sieben fundamentale Prinzipien für jede Datenverarbeitung. Diese bilden die Grundlage aller Anforderungen und müssen jederzeit nachweisbar eingehalten werden.
Rechtmäßigkeit, Fairness, Transparenz
Daten nur auf rechtmäßiger Grundlage
- Einwilligung, Vertrag, gesetzliche Pflicht, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse
- Verarbeitung fair und transparent gegenüber Betroffenen
- Klare Information über Zwecke
Zweckbindung
Nutzung nur für definierte Zwecke
- Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben
- Weiterverarbeitung nur, wenn kompatibel mit ursprünglichem Zweck
- Zweckänderung erfordert neue Rechtsgrundlage oder Einwilligung
Datenminimierung
Nur notwendige Daten erheben
- Daten müssen dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein
- Keine "Sammlung auf Vorrat"
- Was nicht gebraucht wird, wird nicht erhoben
Richtigkeit
Daten aktuell und korrekt halten
- Alle angemessenen Maßnahmen, um ungenaue Daten zu löschen oder zu berichtigen
- Betroffene können Berichtigung verlangen
- Systeme für Data-Quality-Management erforderlich
Speicherbegrenzung
Nur so lange speichern wie nötig
- Identifizierbare Form nur solange, wie für Zwecke erforderlich
- Danach: Anonymisierung, Pseudonymisierung oder Löschung
- Löschkonzepte und Aufbewahrungsfristen dokumentieren
Integrität & Vertraulichkeit
Technische/organisatorische Maßnahmen
- Schutz vor unbefugter/unrechtmäßiger Verarbeitung, Verlust, Zerstörung, Schädigung
- Verschlüsselung, Zugriffskontrollen, Backup, Monitoring
- Angemessenheit zum Risiko
Rechenschaftspflicht (Accountability)
Nachweispflicht für Einhaltung
- Verantwortlicher muss jederzeit belegen können, dass alle Prinzipien eingehalten werden
- Dokumentation, Policies, Audits, Reviews
- Burden of Proof beim Verantwortlichen
Rechte der betroffenen Personen
Die GDPR stärkt individuelle Kontrollrechte über personenbezogene Daten. Betroffene können Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen – Organisationen müssen diese Rechte aktiv ermöglichen.
Auskunftsrecht (Art. 15)
Recht zu wissen, welche Daten gespeichert sind
- Betroffene dürfen Auskunft über: welche Kategorien von Daten, zu welchen Zwecken, an welche Empfänger, Speicherdauer, Herkunft der Daten
- Kostenlose Kopie der Daten
- Antwort binnen 1 Monat
Recht auf Berichtigung (Art. 16)
Korrektur unrichtiger Daten
- Betroffene können unverzüglich Berichtigung unrichtiger personenbezogener Daten verlangen
- Vervollständigung unvollständiger Daten
- Benachrichtigung aller Empfänger über Berichtigung
Recht auf Löschung (Art. 17)
"Recht auf Vergessenwerden"
- Löschung wenn: Zweck erfüllt, Einwilligung widerrufen, Widerspruch eingelegt, unrechtmäßige Verarbeitung, gesetzliche Löschpflicht
- Ausnahmen: gesetzliche Aufbewahrungspflichten, Verteidigungsrechte, öffentliches Interesse
Recht auf Einschränkung (Art. 18)
Verarbeitung einfrieren statt löschen
- Bei Bestreitung der Richtigkeit, unrechtmäßiger Verarbeitung (aber Betroffener lehnt Löschung ab), oder während Prüfung eines Widerspruchs
- Daten dürfen nur noch gespeichert, nicht aktiv verarbeitet werden
Recht auf Datenübertragbarkeit (Art. 20)
Export in maschinenlesbarem Format
- Betroffene können ihre Daten in strukturiertem, gängigem, maschinenlesbarem Format erhalten
- Direktübertragung an anderen Verantwortlichen, soweit technisch machbar
- Gilt für automatisiert verarbeitete Daten auf Basis Einwilligung/Vertrag
Widerspruchsrecht (Art. 21)
Widerspruch aus besonderer Situation
- Gegen Verarbeitung auf Basis berechtigten Interesses oder öffentlicher Aufgabe
- Gegen Direktwerbung (absolutes Widerspruchsrecht)
- Verantwortlicher muss Verarbeitung einstellen, außer zwingende schutzwürdige Gründe überwiegen
Automatisierte Entscheidungen (Art. 22)
Schutz vor reinen Algorithmus-Entscheidungen
- Recht, nicht ausschließlich automatisierter Entscheidung (inkl. Profiling) unterworfen zu sein, die rechtliche Wirkung entfaltet oder erheblich beeinträchtigt
- Ausnahmen: Vertrag, Gesetz, explizite Einwilligung
- Menschliche Überprüfung
Pflichten der Verantwortlichen
Organisationen, die personenbezogene Daten verarbeiten, tragen umfassende Verantwortung. Von Privacy by Design über Sicherheitsmaßnahmen bis zu Dokumentationspflichten – die GDPR verlangt proaktive Compliance.
Privacy by Design & Default (Art. 25)
Datenschutz eingebaut, nicht aufgesetzt
- Technische/organisatorische Maßnahmen bereits bei Design/Entwicklung
- Datenminimierung, Pseudonymisierung, Verschlüsselung als Standard
- Privacy-by-Default: standardmäßig nur nötige Daten, minimale Speicherdauer, begrenzte Zugänglichkeit
Sicherheit der Verarbeitung (Art. 32)
State-of-the-Art technische/organisatorische Maßnahmen
- Verschlüsselung (at rest, in transit), Pseudonymisierung, Zugriffskontrollen
- Verfügbarkeit/Belastbarkeit, Wiederherstellbarkeit
- Regelmäßige Tests/Audits
- Angemessenheit: Risiko, Stand der Technik, Kosten
Verzeichnis der Verarbeitungstätigkeiten (Art. 30)
Dokumentation aller Verarbeitungen
- Name/Kontakt Verantwortlicher, Zwecke, Kategorien Betroffener/Daten, Empfänger
- Drittlandübermittlungen, Löschfristen, Sicherheitsmaßnahmen
- Ausnahme: <250 Mitarbeiter (mit Einschränkungen)
- Auf Anfrage Aufsicht vorlegen
Datenschutz-Folgenabschätzung (Art. 35)
DPIA bei hohem Risiko verpflichtend
- Systematische Bewertung, umfangreiche Verarbeitung besonderer Kategorien, öffentliche Überwachung
- Automatisierte Entscheidungen mit Rechtswirkung, neue Technologien
- Inhalt: Beschreibung, Notwendigkeit/Verhältnismäßigkeit, Risikobewertung, Abhilfemaßnahmen
- Vorab-Konsultation Aufsicht bei Restrisiko
Meldung Datenschutzverletzungen (Art. 33/34)
72-Stunden-Meldepflicht an Aufsicht
- Bei Verletzung Vertraulichkeit, Integrität, Verfügbarkeit personenbezogener Daten
- Beschreibung, Kategorien/Anzahl Betroffener, Folgen, Maßnahmen
- Benachrichtigung Betroffener bei hohem Risiko (unverzüglich)
- Ausnahmen: Verschlüsselung, nachträgliche Maßnahmen
Auftragsverarbeitung (Art. 28)
DPA/AVV bei Datenverarbeitung durch Dritte
- Processor nur auf dokumentierte Weisung
- Vertrag mit: Gegenstand, Dauer, Art/Zweck, Daten-Kategorien, Pflichten/Rechte Controller
- Sicherheitsmaßnahmen, Sub-Processors, Unterstützungspflichten
- Löschung/Rückgabe nach Ende
Datenschutzbeauftragter (Art. 37-39)
DSB-Pflicht bei umfangreicher Verarbeitung
- Öffentliche Stellen (außer Gerichte), Kerntätigkeit: umfangreiche regelmäßige systematische Überwachung oder besondere Datenkategorien/Strafdaten
- DSB: Expertise, Unabhängigkeit, ausreichende Ressourcen
- Aufgaben: Beratung, Überwachung, Schulung, Behördenkontakt
Internationale Datenübermittlungen (Kapitel V)
Transfer personenbezogener Daten außerhalb der EU/EWR unterliegt strengen Anforderungen. Ziel: gleichwertiges Datenschutzniveau auch in Drittländern sicherstellen.
Angemessenheitsbeschluss
EU-Kommission bestätigt Schutzniveau
- Für bestimmte Länder (z.B. UK, Schweiz, Japan, Israel) hat Kommission angemessenes Datenschutzniveau festgestellt
- Transfer wie innerhalb EU möglich
- Regelmäßige Überprüfung
- EU-US Data Privacy Framework seit Juli 2023
Standardvertragsklauseln (SCCs)
Von EU-Kommission genehmigte Vertragsklauseln
- Standard Contractual Clauses (2021/914) als Transferinstrument
- Controller-to-Processor, Controller-to-Controller, Processor-to-Processor
- Transfer Impact Assessment (TIA) zusätzlich erforderlich
- Zusätzliche Maßnahmen bei Drittlandzugriff
Binding Corporate Rules (BCRs)
Konzern-interne Datenschutzregeln
- Für multinationale Unternehmensgruppen
- Genehmigung durch Lead-Aufsichtsbehörde erforderlich
- Verbindliche Regeln für gesamte Gruppe
- Durchsetzbare Rechte für Betroffene
- Aufwändiges Genehmigungsverfahren
Weitere Garantien & Ausnahmen
Spezifische Situationen
- Ausnahmen: explizite Einwilligung, Vertragserfüllung, rechtliche Ansprüche, lebenswichtige Interessen, öffentliches Interesse, öffentliche Register
- Code of Conduct, Zertifizierung als Garantien möglich
- Ad-hoc-Genehmigung durch Aufsicht
ayedo und GDPR
Unsere Software Delivery Plattform ist GDPR-native designed – von Privacy by Design über EU-Datenhaltung bis zu umfassenden Betroffenenrechte-Mechanismen. Datenschutz ist nicht Compliance-Checkbox, sondern Architektur-Prinzip.
Privacy by Design & Default
Datenschutz eingebaut
- Modulare, datenminimierte Architekturen
- Logische Isolierung personenbezogener Daten
- Pseudonymisierung/Anonymisierung wo möglich
- Privacy-by-Default-Konfigurationen
- Infrastructure-as-Code mit Privacy-Patterns
- Keine "Datensammlung auf Vorrat"
EU-Datenhaltung & Souveränität
Ausschließlich EU-Rechenzentren
- Deutschland als primäre Region
- EU-basierte Infrastruktur-Provider
- Keine Drittland-Übermittlungen im Standard-Setup
- GDPR Art. 44-50 konform
- EU-Jurisdiktion, EU-Recht, EU-Aufsicht
- Vollständige Kontrolle über Datenflüsse
State-of-the-Art Sicherheit (Art. 32)
Verschlüsselung durchgehend
- TLS 1.3+ für Daten in Transit, Verschlüsselung at Rest
- Customer-Managed Keys (BYOK/BYOHSM)
- Zugriffskontrollen (RBAC/ABAC), MFA, PAM
- Regelmäßige Vulnerability-Scans
- ISO 27001-zertifizierte Prozesse
- Audit-Logs für alle Zugriffe
Standard-DPA/AVV
GDPR-konforme Auftragsverarbeitung
- Standardisierte Data Processing Agreements
- Klare Rollentrennung (Controller/Processor)
- Dokumentierte Weisungen, Sub-Processor-Listen, Sicherheitsmaßnahmen
- Unterstützung bei Betroffenenrechten
- Löschung/Rückgabe nach Vertragsende
- EU-SCCs wo erforderlich
Verzeichnis der Verarbeitungstätigkeiten
Art. 30-konforme Dokumentation
- Vollständiges Verarbeitungsverzeichnis intern
- Kundenspezifische Verarbeitungs-Dokumentation auf Anfrage
- Kategorien: Daten, Betroffene, Zwecke, Empfänger, Speicherfristen, Sicherheitsmaßnahmen
- Audit-ready
Betroffenenrechte-Unterstützung
APIs & Prozesse für Auskunft/Löschung/Export
- Self-Service-Portale für Datenexport (Art. 20 Datenübertragbarkeit)
- Strukturierte, maschinenlesbare Formate
- Lösch-/Sperr-Mechanismen
- Antwort binnen GDPR-Fristen (1 Monat)
- Technische Unterstützung für Kunden bei Betroffenenanfragen
Incident-Response & Breach-Notification
72h-Meldeprozess etabliert
- Strukturierte Incident-Response-Playbooks
- Breach-Detection-Mechanismen
- Forensische Analyse-Fähigkeit
- Koordination mit Kunden (Controller) bei Data Breaches
- Template-Meldungen für Aufsichtsbehörden
- Post-Incident-Reviews, Lessons-Learned
Datenschutzbeauftragter & Governance
Dedicated DSB & Privacy-Team
- Interner Datenschutzbeauftragter
- Datenschutz als Teil unseres Integrierten Management Systems (IMS)
- Regelmäßige Privacy-Audits, Schulungen
- Datenschutz-Folgenabschätzungen für neue Services
- Kontinuierliche Compliance-Überwachung
ISO-Zertifizierungen
Externe Audits & Nachweise
- ISO 9001 (Qualitätsmanagement) und ISO 27001 (Information Security Management) zertifiziert
- Regelmäßige externe Audits durch akkreditierte Zertifizierungsstellen
- Compliance-Attestierungen für Kunden
- Zertifikate auf Anfrage verfügbar
GDPR im regulatorischen Kontext
Die GDPR ist das Fundament der europäischen Digitalregulierung. Alle anderen EU-Verordnungen (Data Act, NIS-2, DORA, CRA) bauen darauf auf oder ergänzen sie für spezifische Bereiche.
GDPR & Data Act
Data Act baut auf GDPR auf
GDPR regelt Datenschutz, Data Act regelt Datenzugang/Nutzung. Beide zusammen: Schutz UND Verfügbarkeit. Data Act-Datenzugang darf GDPR nicht verletzen – Rechtsgrundlagen, DPIAs erforderlich. Anonymisierung/Pseudonymisierung als Brücke.
GDPR & NIS-2
Komplementär: Datenschutz & Cybersecurity
GDPR schützt personenbezogene Daten, NIS-2 schützt Netz-/Informationssysteme. Überschneidungen: Art. 32 GDPR (Sicherheit) ↔ NIS-2 Risikomanagement. Incident-Meldung parallel (GDPR → DPA, NIS-2 → CSIRT). Integrierte Compliance erforderlich.
GDPR & DORA
GDPR als Basis für Finanzsektor
DORA präzisiert IKT-Resilienz, GDPR bleibt für Datenschutz anwendbar. DORA-IKT-Drittparteirisiko umfasst GDPR-Auftragsverarbeitung. Incident-Meldung koordiniert (DORA → Finanzaufsicht, GDPR → DPA). DORA-Konformität erfordert GDPR-Konformität.
GDPR & Cyber Resilience Act
Produktsicherheit trifft Datenschutz
CRA fordert sichere Produkte (Software, Hardware), GDPR fordert Datenschutz bei deren Nutzung. Privacy by Design (GDPR Art. 25) ↔ Security by Design (CRA). Vulnerability-Management (CRA) unterstützt Art. 32 GDPR.
GDPR & Cloud Sovereignty
Datenschutz als Souveränitäts-Enabler
EU-Datenhaltung, Kundenschlüssel-Hoheit, Exit-Fähigkeit adressieren GDPR-Anforderungen (Art. 32, Art. 44-50). Cloud Sovereignty Framework bewertet GDPR-Compliance als Kernfaktor. EU-only-Stacks = GDPR-native.
ayedo Compliance-Übersicht
Comprehensive Compliance-Ansatz
Wie ayedo GDPR, Data Act, NIS-2, DORA, CRA systematisch adressiert. Zertifizierungen, Prozesse, technische Maßnahmen. Integrierte Compliance-Roadmap. Audit-Bereitschaft. Vollständige Dokumentation.
Sanktionen & Durchsetzung
Die GDPR ermöglicht empfindliche Geldbußen und stärkt Aufsichtsbehörden mit umfassenden Befugnissen. Non-Compliance kann existenzbedrohend sein – von finanziellen Strafen bis zu Reputationsschäden.
Bußgeld-Stufen
Zwei Sanktionsstufen. Tier 1 (bis €10M oder 2% weltweiter Jahresumsatz): formelle Verstöße (fehlende Dokumentation, kein DSB, keine DPIA). Tier 2 (bis €20M oder 4% Umsatz): inhaltliche Verstöße (Verletzung Betroffenenrechte, rechtswidrige Verarbeitung, fehlende Rechtsgrundlage).
Behördenbefugnisse
Umfassende Aufsichtsmacht. Untersuchungen, Zugang zu Räumen/Systemen, Dokumentenanforderungen, Interviews. Verwarnungen, Anordnungen, Verarbeitungsverbote, Zertifizierungs-Entzug. Dringlichkeitsverfahren bei schweren Verstößen. Öffentliche Bekanntmachung von Verstößen.
Zivilrechtliche Haftung
Schadensersatzansprüche Betroffener. Materieller UND immaterieller Schaden (Art. 82). Klagemöglichkeit für Betroffene. Sammelklagen durch Verbraucherorganisationen möglich. Beweislastumkehr: Verantwortlicher muss Schuldlosigkeit nachweisen. Versicherungen für GDPR-Verstöße etabliert.
One-Stop-Shop-Prinzip
Lead-Aufsichtsbehörde bei grenzüberschreitender Verarbeitung. Hauptniederlassung bestimmt federführende Aufsicht. Koordination über EDSA (Europäischer Datenschutzausschuss). Beschwerden bei jeder Aufsicht möglich. Konsistenzverfahren bei Meinungsverschiedenheiten. Vereinfachung für multinationale Unternehmen.