[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:de:die-dsgvo-fuer-ein-softwareunternehmen-verantwortlicher-fuer-die-eigenen-daten-auftragsverarbeiter-fuer-die-kunden-und-die-fuenf-pflichten-die-von-groesse-und-daten-abhaengen":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"de","die-dsgvo-fuer-ein-softwareunternehmen-verantwortlicher-fuer-die-eigenen-daten-auftragsverarbeiter-fuer-die-kunden-und-die-fuenf-pflichten-die-von-groesse-und-daten-abhaengen","Die DSGVO für ein Softwareunternehmen: Verantwortlicher für die eigenen Daten, Auftragsverarbeiter für die Kunden, und die fünf Pflichten, die von Größe und Daten abhängen","Die Verordnung (EU) 2016\u002F679 erreicht jedes Softwareunternehmen, die Frage ist also, welche Pflichten greifen. Die zwei Rollen je Verarbeitung (Artikel 4), das Verzeichnis der Verarbeitungstätigkeiten, von dem die 250-Personen-Ausnahme ein Produkt im Einsatz nie befreit (Artikel 30), der Beauftragte (Artikel 37), die Folgenabschätzung (Artikel 35), der Vertreter für ein Unternehmen außerhalb der Union (Artikel 27), die Übermittlungsgrundlagen (Kapitel V), die Fristen von 72 Stunden und einem Monat, und was ISO 27701 für jede davon erzeugt. Aus dem Amtsblatt gelesen, mit der kostenlosen Bestimmung, die es aufschreibt.","2026-09-12",{"who":10,"when":11,"do":12},"Jedes Softwareunternehmen, das in der Union personenbezogene Daten verarbeitet oder sein Produkt Personen in der Union anbietet: Verantwortlicher für die eigenen Kunden-, Interessenten- und Mitarbeiterdaten und, bei einem SaaS, Auftragsverarbeiter für die Daten, die seine Kunden in das Produkt geben.","Anwendbar seit dem 25. Mai 2018; die Frist bei einer Verletzung beträgt 72 Stunden ab Kenntnis, der Antrag einer betroffenen Person wird innerhalb eines Monats beantwortet, und das Verzeichnis, der Beauftragte, die Folgenabschätzung und der Vertreter greifen an dem Tag, an dem sich die auslösende Antwort ändert.","Führen Sie die kostenlose Bestimmung durch: neun Antworten ergeben die Pflichten als Tabelle mit der Vorschrift hinter jeder, dann führen Sie das Verzeichnis der Verarbeitungstätigkeiten, es ist das Dokument, auf dem jede andere Pflicht aufbaut.","\nJede Erklärung der Datenschutz-Grundverordnung beginnt bei der betroffenen Person. Ein Softwareunternehmen begegnet ihr von der anderen Seite: als die Partei, die die Daten anderer Leute hält, in zwei Rollen zugleich, mit einem Satz Pflichten, der sich mit der Größe des Unternehmens und der Art der Daten ein- und ausschaltet. Dies ist die Lesart von dieser Seite, Vorschrift für Vorschrift, für ein Unternehmen, das in der Union Software ausliefert oder betreibt. Die [kostenlose Bestimmung](\u002Fgdpr\u002Fduties) stellt neun Fragen und schreibt dieselbe Lesart für Ihren Fall auf.\n\n## Zwei Rollen, je Verarbeitung, nicht je Unternehmen\n\nArtikel 4 Nummer 7 macht Sie zum Verantwortlichen jeder Verarbeitung, über deren Zwecke und Mittel Sie entscheiden. Ihre Kundenbeziehungsdaten, Ihre Interessentenliste, Ihre Personalakten, die Analytik auf Ihrer eigenen Website: Sie entscheiden, warum und wie, also sind Sie der Verantwortliche, was auch immer Ihr Produkt tut.\n\nArtikel 4 Nummer 8 macht Sie zum Auftragsverarbeiter für die Verarbeitung, die Sie im Auftrag eines Verantwortlichen durchführen. Ein SaaS, das die Endnutzerdaten seiner Kunden speichert, eine gehostete API, die personenbezogene Daten entgegennimmt, um ein Ergebnis zurückzugeben, ein Managed Service, der die Systeme eines Kunden verwaltet: für diese Daten entscheidet der Kunde, und Sie verarbeiten auf seine Weisung. Die meisten Softwareunternehmen sind daher beides, und die Rollen hängen an der Verarbeitung, nicht am Unternehmen. Der Katalog hinter der [DSGVO-Übersicht](\u002Fgdpr) führt die Zeilen für jede Rolle, und die Bestimmung listet die Zeilen des Auftragsverarbeiters gesondert.\n\nDie Rolle des Auftragsverarbeiters bringt einen Vertrag mit sich. Artikel 28 Absatz 3 verlangt, dass die Verarbeitung auf Grundlage eines Vertrags erfolgt, der Gegenstand, Dauer, Art und Zweck, die Art der Daten und die Kategorien betroffener Personen festlegt, und acht Bedingungen: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit der befugten Personen, die Sicherheitsmaßnahmen des Artikels 32, die Bedingungen für die Einschaltung eines weiteren Auftragsverarbeiters, Unterstützung bei den Rechten der betroffenen Personen, Unterstützung bei den Artikeln 32 bis 36, Löschung oder Rückgabe am Ende und die Informationen, die zum Nachweis der Einhaltung nötig sind, Überprüfungen eingeschlossen. Ein Bankkunde unter DORA schickt [seine eigenen Klauseln obendrauf](\u002Farticles\u002Fdora-for-a-software-vendor-the-article-30-contract-clauses-your-bank-customer-will-send-the-register-of-information-and-what-iso-27001-already-answers); die beiden Sätze stehen nebeneinander in derselben Vereinbarung.\n\n## Das Verzeichnis der Verarbeitungstätigkeiten, und warum die 250-Personen-Ausnahme ein Produkt im Einsatz nie befreit\n\nArtikel 30 Absatz 1 verlangt von jedem Verantwortlichen ein Verzeichnis der Verarbeitungstätigkeiten: Name und Kontaktdaten des Verantwortlichen, des gemeinsam Verantwortlichen, des Vertreters und des Beauftragten, soweit vorhanden; die Zwecke; die Kategorien betroffener Personen und personenbezogener Daten; die Kategorien von Empfängern; Übermittlungen an Drittländer mit der Dokumentation der Garantien, wo auf Artikel 49 Absatz 1 gestützt wird; wenn möglich die Fristen für die Löschung; und wenn möglich eine allgemeine Beschreibung der Sicherheitsmaßnahmen des Artikels 32 Absatz 1. Artikel 30 Absatz 2 verlangt von jedem Auftragsverarbeiter das spiegelbildliche Verzeichnis der Verarbeitungen, die er für jeden Verantwortlichen durchführt.\n\nArtikel 30 Absatz 5 sagt, die Pflicht gelte nicht für ein Unternehmen, das weniger als 250 Personen beschäftigt, und nimmt es im selben Satz zurück: es sei denn, die Verarbeitung birgt voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich, oder die Verarbeitung schließt besondere Datenkategorien oder Daten über strafrechtliche Verurteilungen ein. Ein Produkt im Einsatz verarbeitet an jedem Tag des Jahres personenbezogene Daten. Diese Verarbeitung erfolgt nicht nur gelegentlich, die Ausnahme ist also weg, bevor die Größe des Unternehmens gezählt wird. Das Verzeichnis ist eine Pflicht in jeder Größe für jedes Softwareunternehmen mit einem laufenden Produkt, und es ist das Dokument, auf das jede andere Pflicht in diesem Artikel zurückverweist.\n\n## Der Datenschutzbeauftragte\n\nArtikel 37 Absatz 1 verlangt einen Datenschutzbeauftragten in drei Fällen, von denen zwei ein privates Unternehmen erreichen: wenn die Kerntätigkeit in Verarbeitungsvorgängen besteht, die aufgrund ihrer Art, ihres Umfangs oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erforderlich machen (Buchstabe b), und wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien nach Artikel 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 besteht (Buchstabe c).\n\n„Kerntätigkeit“ ist der Test, der die meisten Fälle entscheidet. Ein Unternehmen, dessen Produkt Verhaltensanalytik, Ad-Tech, Standortverfolgung oder Mitarbeiterüberwachung ist, überwacht Menschen als Geschäft; ein Unternehmen, das ein Rechnungsprodukt betreibt, tut das nicht, wie viele Datensätze es auch hält. Der Beauftragte kann Beschäftigter oder externer Dienstleister sein (Artikel 37 Absatz 6), wird auf Grundlage seiner beruflichen Qualifikation und seines Fachwissens im Datenschutzrecht benannt (Artikel 37 Absatz 5), und die Kontaktdaten werden veröffentlicht und der Aufsichtsbehörde mitgeteilt (Artikel 37 Absatz 7).\n\nWo Artikel 37 Absatz 1 keinen verlangt, kann das Recht des Mitgliedstaats es tun (Artikel 37 Absatz 4). Deutschland tut es: § 38 BDSG verlangt einen Beauftragten ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ein Unternehmen, das von anderswo nach Deutschland verkauft, wird von dieser Regel nicht erfasst; ein dort niedergelassenes Unternehmen schon.\n\n## Die Folgenabschätzung\n\nArtikel 35 Absatz 1 verlangt eine Datenschutz-Folgenabschätzung vor jeder Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, insbesondere bei Verwendung neuer Technologien. Artikel 35 Absatz 3 nennt drei Fälle, in denen sie in jedem Fall erforderlich ist: eine systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung, einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung dient; die umfangreiche Verarbeitung besonderer Kategorien oder strafrechtlicher Daten; und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Die Aufsichtsbehörden veröffentlichen weitere Listen nach Artikel 35 Absatz 4.\n\nDer Inhalt ist Artikel 35 Absatz 7: eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken und die zur Bewältigung geplanten Maßnahmen. Bleibt das Restrisiko hoch, verlangt Artikel 36 Absatz 1 die vorherige Konsultation der Aufsichtsbehörde, bevor die Verarbeitung beginnt. Für ein Softwareunternehmen ist der erste Fall der, auf den zu achten ist: eine Scoring-, Ranking- oder Screening-Funktion, die Entscheidungen über Menschen hervorbringt, ist eine systematische und umfassende Bewertung, ob jemand sie Profiling nennt oder nicht.\n\n## Der Vertreter, für ein Unternehmen außerhalb der Union\n\nArtikel 3 Absatz 2 wendet die Verordnung auf einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter an, wenn die Verarbeitung damit zusammenhängt, betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten oder ihr Verhalten dort zu beobachten. Wo er gilt, verlangt Artikel 27 Absatz 1 einen schriftlich benannten Vertreter in der Union. Artikel 27 Absatz 2 Buchstabe a nimmt eine Verarbeitung aus, die gelegentlich erfolgt, keine umfangreichen besonderen Kategorien einschließt und voraussichtlich nicht zu einem Risiko führt. Ein Produkt, das Personen in der Union angeboten wird, ist keine gelegentliche Verarbeitung, ein Unternehmen außerhalb der Union mit Kunden darin braucht den Vertreter also normalerweise; die Ausnahme ist für das Unternehmen geschrieben, das der Verordnung zufällig begegnet, nicht für eines, das in die Union verkauft.\n\n## Übermittlungen, und die Grundlagen, die ein Cloud-Vertrag nennen muss\n\nArtikel 44 erlaubt eine Übermittlung an ein Drittland nur unter den Bedingungen des Kapitels V, Weiterübermittlungen eingeschlossen. Die Grundlagen sind drei: ein Angemessenheitsbeschluss der Kommission nach Artikel 45, für die Vereinigten Staaten der Beschluss zum Data Privacy Framework vom 10. Juli 2023, der nur die darunter zertifizierten Unternehmen erfasst; geeignete Garantien nach Artikel 46, in der Praxis die Standardvertragsklauseln, die die Kommission am 4. Juni 2021 angenommen hat; und die Ausnahmen des Artikels 49 für bestimmte Fälle, die keine Grundlage für einen laufenden Dienst sind. Ein Cloud-Anbieter mit europäischen Regionen ist an dem Tag trotzdem eine Übermittlungsfrage, an dem Support, Backups oder Telemetrie nach außerhalb des EWR reichen, und das Verzeichnis nach Artikel 30 ist der Ort, an dem die Grundlage für jede Übermittlung festgehalten wird.\n\n## Die zwei Fristen\n\nArtikel 33 Absatz 1 verlangt vom Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der Aufsichtsbehörde zu melden; eine spätere Meldung trägt die Gründe für die Verzögerung. Artikel 33 Absatz 2 verlangt vom Auftragsverarbeiter, den Verantwortlichen unverzüglich nach Bekanntwerden zu benachrichtigen, was für ein SaaS heißt, dass die Frist des Kunden mit Ihrer Nachricht beginnt. Artikel 34 Absatz 1 fügt die Benachrichtigung der betroffenen Personen hinzu, wenn die Verletzung voraussichtlich ein hohes Risiko für sie zur Folge hat.\n\nArtikel 12 Absatz 3 setzt die andere Frist: Informationen über die auf Antrag einer betroffenen Person ergriffenen Maßnahmen werden unverzüglich und in jedem Fall innerhalb eines Monats nach Eingang bereitgestellt, verlängerbar um zwei weitere Monate, wenn dies unter Berücksichtigung der Komplexität und der Zahl der Anträge erforderlich ist. Beide Fristen laufen ab einem Ereignis, nicht ab einem Datum, weshalb sie in die Vorfall- und Antragsaufzeichnungen gehören und nicht in einen Kalender; [NIS2 und der CRA lassen ihre auf dieselbe Weise laufen](\u002Farticles\u002Fnis2-or-cra-which-incident-clock-runs-for-a-software-company-and-what-makes-an-incident-significant), ab Kenntniserlangung.\n\n## Was ISO 27701 Ihnen gibt, und was nicht\n\nISO\u002FIEC 27701 erweitert ein ISO-27001-Managementsystem um den Datenschutz: Anhang A führt die Maßnahmen für einen Verantwortlichen, Anhang B die für einen Auftragsverarbeiter, und der Katalog hinter der Bestimmung nennt für jede Pflicht die Maßnahme, deren Aufzeichnung in der Lesart von StandardOS der Nachweis ist. Das Verzeichnis der Verarbeitungstätigkeiten, die Vertragsbedingungen für die Auftragsverarbeitung, das Verfahren bei Verletzungen, das Übermittlungsregister und die Bearbeitung von Anträgen betroffener Personen haben alle eine Maßnahme hinter sich. Die Verordnung nennt keine Norm und gewährt keine Konformitätsvermutung: ein Zertifikat ist Nachweis, dass der Prozess existiert, und die Aufsichtsbehörde liest den Prozess gegen den Text. Artikel 83 setzt die Obergrenzen für Fehler auf EUR 10 Millionen oder 2 % des weltweiten Jahresumsatzes für die Pflichten der Artikel 25 bis 39 und EUR 20 Millionen oder 4 % für die Grundsätze, die Rechtsgrundlagen, die Rechte der betroffenen Personen und die Übermittlungen.\n\nNeun Antworten entscheiden, welche dieser Pflichten für Ihr Unternehmen greifen. Die [Bestimmung](\u002Fgdpr\u002Fduties) schreibt sie mit der Vorschrift hinter jeder Zeile auf, in Ihrer Sprache, zum Kopieren oder Herunterladen.\n",1789383970892]