Datenschutz
DSGVO-konforme Software & Hosting in Deutschland: Checkliste
Wer Software einsetzt, die personenbezogene Daten verarbeitet, ist für deren datenschutzkonformen Einsatz mitverantwortlich. Diese Checkliste fasst die wichtigsten Punkte zusammen, an denen sich eine DSGVO-konforme Lösung messen lässt — unabhängig vom Anbieter.
Hosting-Standort und Drittlandtransfer
Ein Hosting innerhalb der EU — idealerweise in Deutschland — vermeidet die rechtliche Komplexität von Drittlandtransfers (etwa in die USA), die zusätzliche Garantien erfordern. Klären Sie, wo die Daten physisch liegen und wer Zugriff hat.
Auftragsverarbeitungsvertrag (AVV)
Verarbeitet ein Anbieter Daten in Ihrem Auftrag, ist ein AVV nach Art. 28 DSGVO Pflicht. Er sollte verfügbar, verständlich und unterschriftsbereit sein — und die technisch-organisatorischen Maßnahmen (TOM) konkret benennen.
Technische und organisatorische Maßnahmen
Achten Sie auf nachweisbare Schutzmaßnahmen, insbesondere:
- Verschlüsselung sensibler Felder (Passwörter, Tokens, API-Schlüssel) und Transportverschlüsselung (TLS).
- Rollen- und Rechtekonzept mit feingranularer Zugriffskontrolle.
- Zwei-Faktor-Authentifizierung und/oder Single Sign-On (SSO).
- Protokollierung sicherheitsrelevanter Ereignisse (Audit-Log).
- Ein dokumentiertes Lösch- und Aufbewahrungskonzept.
Betroffenenrechte und Datenexport
Die DSGVO gibt Betroffenen Rechte auf Auskunft, Berichtigung und Löschung. Praktisch wichtig ist, dass sich Daten exportieren lassen — sowohl für Auskünfte als auch für einen späteren Anbieterwechsel ohne Lock-in.
Häufige Fragen
Reicht ein deutscher Hosting-Standort für DSGVO-Konformität aus?
Der Standort ist ein wichtiger Baustein, aber nicht der einzige. Hinzu kommen AVV, technische und organisatorische Maßnahmen, ein Lösch-/Aufbewahrungskonzept und die Wahrung der Betroffenenrechte.
Was ist ein AVV und wann brauche ich ihn?
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt, wie ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Er ist immer dann erforderlich, wenn ein Anbieter solche Daten für Sie verarbeitet — etwa bei SaaS.
Muss Software Daten verschlüsseln?
Sensible Daten wie Passwörter, Tokens und API-Schlüssel sollten verschlüsselt gespeichert und grundsätzlich per TLS übertragen werden. Das gehört zu den erwarteten technischen Maßnahmen.
Wie wichtig ist der Datenexport?
Sehr wichtig — sowohl für die Auskunfts- und Löschpflichten gegenüber Betroffenen als auch, um bei einem Anbieterwechsel nicht in einen Lock-in zu geraten.
Passend dazu in IDA
IDA 30 Tage kostenlos testen
Ohne Kreditkarte, in Minuten startklar — in Deutschland gehostet.