Ein Kunde verlangt für den Vertrag «DSGVO-Konformität» — was müssen wir vorlegen können?

Besorgt euch als ersten Schritt die offizielle Vorlage für das Verarbeitungsverzeichnis (modèle de registre) von der CNIL. Tragt dort ein, welche Felder eure Software erfasst – Name, E-Mail, Telefon – und wie lange die Daten gespeichert werden. Da Compliance-Leute bei Großkunden meistens genau nach diesen Standardrastern vorgehen, schafft dieses Format direkt Vertrauen.

Die Unterlagen für den Kunden sollten diese 4 Punkte abdecken: 1) AVV-Vertragsanhang mit Rechten und Pflichten beider Seiten. 2) TOM-Liste zu Software-Architektur und Verschlüsselungsverfahren. 3) Bestätigung, dass die Daten in europäischen Rechenzentren gehostet werden. 4) Ein Incident-Response-Prozess mit der Zusage, den Kunden im Pannenfall binnen 48 Stunden zu informieren.

Eine Logistikfirma in Paris hatte das bei uns auch mal angefordert. Wir haben ohne externe Berater einfach ein 5-seitiges TOM-Dokument zu unserer Sicherheitsarchitektur und einen Standard-AVV mitgeschickt. Deren Rechtsabteilung hat das innerhalb von 4 Tagen durchgewinkt und den Hauptvertrag über 65.000 Euro unterschrieben. Die wollen kein offizielles Zertifikat sehen, sondern einfach saubere Dokumentation.

Großkunden haben fast immer ihre eigenen AVV-Vorlagen und Sicherheitsfragebögen. Verschwendet keine Zeit damit, das Rad neu zu erfinden. Sagt einfach: „Schicken Sie uns gerne Ihren Standard-Sicherheitsfragebogen für Lieferanten und Ihren AVV-Entwurf, unser Tech-Team füllt das direkt aus.“ Meistens schicken sie dann einfach ihre eigenen Formulare.

bei uns wollte das auch mal ne handelskette htaten erst voll panik aber im grunde wollen die sich nur absichern falls die cnil stress macht und also server in der eu daten verschlüsselt avv unterschreiben und das thema ist durch.

Werden über das Kundenbindungsprogramm Daten von Minderjährigen oder besonders sensible Daten verarbeitet? Wenn es nur um grundlegende Kontaktdaten und die Kaufhistorie geht, flutscht das Ganze recht schnell. Sobald aber Zahlungsdaten oder sensible Kategorien im Spiel sind, wird das Audit des Kunden deutlich ungemütlicher.

Fallt bloß nicht auf Berater rein, die kleinen Firmen für tausende Euro ein angebliches „offizielles DSGVO-Zertifikat“ verkaufen wollen. Es gibt in der EU aktuell kein allgemein akkreditiertes Unternehmenszertifikat für DSGVO. Verlangt werden schlicht ordentlich dokumentierte interne Prozesse und vertragliche Zusicherungen.

Ja, die Situation bei dsgvo-konformität ist genau so. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Man sollte der Reihe nach vorgehen. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Aus Erfahrung weiß ich das.

Danke genau die Antwort die ich gesucht habe.

Danke, genau die Antwort, die ich gesucht habe. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Korrigiert mich, falls ich falsch liege.

Gespeichert.

Ich schreibe kurz, wie das in der Praxis gemacht wird. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Wenn deine Situation anders ist, ändert sich das natürlich.

Letztes Jahr haben wir fast genau dasselbe erlebt. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Wenn es jemand anders macht würde mich das auch interessieren.

Bleibe dran.

Dieses Thema ist archiviert.

Bei dsgvo-konformität ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

An deiner Stelle würde ich so vorgehen.

ein Thema das gerade atuell ist.