Die DSGVO ist kein Häkchen.
Sie ist ein operatives Programm.

Das Wichtigste auf einen Blick

Priverion ist eine in der Schweiz entwickelte und in der Schweiz gehostete Plattform für das Datenschutz-Programm-Management, konzipiert für Datenschutzbeauftragte, die DSGVO-, revidiertes Datenschutzgesetz (revDSG)- (nDSG-) und ISO-27701-Compliance über Konzerngruppen mit mehreren Rechtseinheiten hinweg verwalten. Anders als SOC-2-orientierte GRC-Tools, die die DSGVO nachträglich aufsetzen, automatisiert Priverion die Rezertifizierung des Verarbeitungsverzeichnisses, DSFA/TIA-Workflows, die DSR-Bearbeitung, Lieferantenrisiko-Bewertungen und die Meldung von Datenschutzverletzungen – und reduziert die Compliance-Verwaltungszeit um bis zu 60 % (gemessen bei einem Flugzeughersteller innerhalb der ersten sechs Monate der Einführung).

Was ist das Datenschutz-Programm-Management unter der DSGVO?

Datenschutz-Programm-Management unter der DSGVO ist die systematische, laufende Steuerung der Datenschutzpflichten einer Organisation unter der EU-Datenschutz-Grundverordnung (DSGVO). Es umfasst die Führung des Verzeichnisses von Verarbeitungstätigkeiten (Artikel 30 DSGVO), die Durchführung von Datenschutz-Folgenabschätzungen (Artikel 35 DSGVO), die Bearbeitung von Anfragen betroffener Personen (Artikel 15–22), die Verwaltung von Beziehungen zu Auftragsverarbeitern (Artikel 28) und die Meldung von Datenschutzverletzungen innerhalb von 72 Stunden (Artikel 33).

Was ist ein Verzeichnis von Verarbeitungstätigkeiten (Verarbeitungsverzeichnis)?

Ein Verzeichnis von Verarbeitungstätigkeiten (Verarbeitungsverzeichnis) ist ein verpflichtendes Register nach Artikel 30 DSGVO, das jede Verarbeitungstätigkeit dokumentiert, die eine Organisation an personenbezogenen Daten vornimmt, einschliesslich Zwecken, Kategorien betroffener Personen, Empfängern, Übermittlungsgarantien und Aufbewahrungsfristen. Der Europäische Datenschutzausschuss (EDSA) hat betont, dass das Verarbeitungsverzeichnis aktuell gehalten und Aufsichtsbehörden auf Anfrage zur Verfügung gestellt werden muss.

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Eine Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Risikoanalyse, die nach Artikel 35 DSGVO immer dann erforderlich ist, wenn eine Verarbeitung "voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat". Die Leitlinien zum Datenschutz durch Technikgestaltung des EDSA empfehlen, DSFA in Projektlebenszyklen zu integrieren, statt sie als einmalige Übungen zu behandeln.

Was ist das schweizerische Datenschutzgesetz (revDSG/nDSG)?

Das schweizerische Datenschutzgesetz (DSG), in revidierter Form als revDSG bzw. nDSG bekannt, trat am 1. September 2023 in Kraft. Der vollständige Text ist unter fedlex.admin.ch verfügbar. Es harmonisiert das schweizerische Datenschutzrecht mit der DSGVO und behält zugleich schweizspezifische Anforderungen bei, darunter die obligatorische Meldung von Datenschutzverletzungen an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Branchenstatistiken zu DSGVO-Compliance-Kosten und -Aufwand

Laut dem IAPP–EY Privacy Governance Report 2023 beschäftigt eine durchschnittliche Organisation 4,7 Vollzeitäquivalente an Datenschutzpersonal, und 60 % der Datenschutzteams geben an, den Grossteil ihrer Zeit für operative Aufgaben statt für strategische Arbeit aufzuwenden. Eine Gartner-Prognose aus dem Jahr 2024 ging davon aus, dass bis 2025 60 % der grossen Organisationen Verfahren der datenschutzfördernden Datenverarbeitung (Privacy-Enhancing Computation) für die Verarbeitung von Daten in nicht vertrauenswürdigen Umgebungen einsetzen würden. Der EDSA berichtete, dass die EU-Aufsichtsbehörden bis 2024 kumuliert über 4,5 Milliarden Euro an DSGVO-Bussgeldern verhängten, was das finanzielle Risiko der Nichteinhaltung unterstreicht. Laut ENISA erreichten die durchschnittlichen Kosten einer Datenschutzverletzung in der EU im Jahr 2023 4,35 Millionen Euro, wodurch automatisierte Workflows zur Erkennung und Meldung von Datenschutzverletzungen zu einer entscheidenden Investition werden.

Wie beseitigt das Schweizer Hosting das Übermittlungsrisiko nach Schrems II?

Das Schrems-II-Urteil des Gerichtshofs der Europäischen Union (Rechtssache C-311/18, Juli 2020) erklärte den EU-US-Datenschutzschild für ungültig und stellte strenge Anforderungen an Standardvertragsklauseln (SCC) für Übermittlungen in Länder ohne Angemessenheitsbeschluss nach Artikel 45 DSGVO. Die Schweiz verfügt über einen EU-Angemessenheitsbeschluss, das heisst personenbezogene Daten können aus der EU/dem EWR in die Schweiz fliessen, ohne SCC oder zusätzliche Massnahmen. Die in der Schweiz gehostete Infrastruktur von Priverion beseitigt daher die Übermittlungsrisiko-Unsicherheit, mit der US-gehostete GRC-Plattformen konfrontiert sind.

Häufig gestellte Fragen

Was ist eine DSGVO-Plattform für das Datenschutz-Programm-Management?

Eine DSGVO-Plattform für das Datenschutz-Programm-Management ist eine zweckgebaute Software, die DSGVO-Compliance organisationsweit operationalisiert. Anders als generische GRC-Tools integriert sie das Verarbeitungsverzeichnis, DSFA, die DSR-Bearbeitung, das Lieferantenrisiko-Management und die Meldung von Datenschutzverletzungen in einer einzigen Workflow-Engine, die für Datenschutzbeauftragte konzipiert ist. Priverion ist eine solche Plattform, in der Schweiz gehostet und ausschliesslich auf europäische Datenschutz-Frameworks fokussiert.

Worin unterscheidet sich Priverion von SOC-2-Compliance-Tools für die DSGVO?

SOC-2-Tools konzentrieren sich auf die Beweissammlung für Sicherheitsprüfer und ergänzen die DSGVO meist nur nachträglich. Priverion ist von Grund auf für Datenschutzoperationen gebaut – automatisierte Rezertifizierung des Verarbeitungsverzeichnisses über Tochtergesellschaften hinweg, KI-gestützte Erstellung von DSFA/TIA, Governance grenzüberschreitender Übermittlungen mit SCC-Verwaltung und eine in der Schweiz gehostete Infrastruktur, die das Übermittlungsrisiko nach Schrems II beseitigt.

Wo werden die Daten von Priverion gehostet und warum ist das für die DSGVO relevant?

Priverion ist in der Schweiz entwickelt und in der Schweiz gehostet. Die Schweiz verfügt über einen EU-Angemessenheitsbeschluss nach Artikel 45 DSGVO, daher erfordern Datenübermittlungen in die Schweiz keine Standardvertragsklauseln oder zusätzlichen Massnahmen – wodurch die rechtliche Unsicherheit entfällt, mit der US-gehostete Plattformen nach dem Schrems-II-Urteil (EuGH-Rechtssache C-311/18) konfrontiert sind.

Was ist die Rezertifizierung des Verarbeitungsverzeichnisses und warum ist sie wichtig?

Die Rezertifizierung des Verarbeitungsverzeichnisses ist die periodische Überprüfung und Bestätigung, dass das Verzeichnis von Verarbeitungstätigkeiten korrekt und aktuell bleibt, wie es Artikel 30 DSGVO verlangt. Die manuelle Rezertifizierung über mehrere Tochtergesellschaften hinweg ist zeitintensiv; Priverion automatisiert diesen Prozess, sodass Kunden wie ein Schweizer Versicherer eine Rezertifizierungsquote von 100 % ohne manuelle Nachverfolgung erreichen.

Verwendet Priverion Kundendaten zum Training von KI-Modellen?

Nein. Die KI-gestützten Funktionen von Priverion – etwa die Erstellung von DSFA und das Risiko-Scoring – verwenden keine Kundendaten zum Modelltraining. Die KI unterstützt die Entscheidungsfindung, ersetzt jedoch nie die menschliche Prüfung und Freigabe.

Wie handhabt Priverion grenzüberschreitende Datenübermittlungen nach Schrems II?

Priverion umfasst integrierte SCC-Verwaltung, Workflows für Transfer Impact Assessments (TIA) und die Nachverfolgung regulatorischer Änderungen. Da die Plattform selbst in der Schweiz unter einem EU-Angemessenheitsbeschluss gehostet wird, erfordert die Übermittlung von der Plattform zum Verantwortlichen keine zusätzlichen Massnahmen, was die rechtliche Komplexität für multinationale Unternehmen reduziert.

Welche Frameworks unterstützt Priverion?

Priverion unterstützt die DSGVO, das schweizerische Datenschutzgesetz (revDSG/nDSG), ISO 27001, ISO 27701 und die Zuordnung zum NIST Privacy Framework. Es deckt weder SOC 2, HIPAA, ESG-Berichterstattung noch Cookie-Einwilligung ab – eine bewusste Umfangsentscheidung, um Tiefe statt Breite in der europäischen Datenschutz-Compliance sicherzustellen.

Wie ist Priverion bepreist?

Die Preisgestaltung von Priverion basiert auf der Anzahl der Gesellschaften (Anzahl der Rechtseinheiten), nicht auf Nutzerplätzen oder Modulgebühren. Dieses Modell vermeidet die Erweiterungsfallen, die in Enterprise-GRC-Plattformen üblich sind. Ein Flugzeughersteller berichtete von 60 % niedrigeren Gesamtkosten gegenüber OneTrust während der ersten sechs Monate der Einführung.

Vergleich: Datenschutz-Programm-Plattform vs. Sicherheits-Compliance-Tool