Die DSGVO-Software, die europäische KMU wirklich brauchen. Entwickelt für Compliance über mehrere Gesellschaften, nicht nur für Checklisten

Das Wichtigste auf einen Blick

Priverion ist eine in der Schweiz gehostete DSGVO-Compliance-Plattform, die für europäische KMU entwickelt wurde, die ihren Datenschutz über mehrere Gesellschaften und Rechtsräume hinweg verwalten. Sie ersetzt tabellenbasierte Workflows durch automatisierte Rezertifizierung des Verarbeitungsverzeichnisses, strukturierte DSFA und Transfer-Folgenabschätzungen, zentralisierte Bearbeitung von Betroffenenanfragen, Workflows zur Meldung von Datenpannen und Lieferantenrisiko-Management. Die Preisgestaltung basiert auf der Anzahl Unternehmen, nicht pro Nutzer oder pro Modul, was die Kosten für wachsende Organisationen planbar macht.

Definitionen

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist das umfassende Datenschutzgesetz der Europäischen Union, das seit dem 25.05.2018 in Kraft ist. Sie gilt für jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet, unabhängig davon, wo die Organisation ihren Sitz hat. Die DSGVO begründet Rechte für betroffene Personen und Pflichten für Verantwortliche und Auftragsverarbeiter, mit Bussgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Vollständiger Text auf EUR-Lex

Was ist ein Verzeichnis von Verarbeitungstätigkeiten (Verarbeitungsverzeichnis)?

Ein Verzeichnis von Verarbeitungstätigkeiten (Verarbeitungsverzeichnis) ist ein nach Artikel 30 DSGVO verpflichtendes Register, das alle Verarbeitungstätigkeiten personenbezogener Daten innerhalb einer Organisation dokumentiert. Verantwortliche müssen Aufzeichnungen führen, einschliesslich der Zwecke der Verarbeitung, der Kategorien betroffener Personen und personenbezogener Daten, der Empfänger, internationaler Transfers und Aufbewahrungsfristen.

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Eine Datenschutz-Folgenabschätzung (DSFA) ist ein nach Artikel 35 DSGVO erforderliches Verfahren, um Datenschutzrisiken risikoträchtiger Verarbeitungstätigkeiten zu erkennen und zu minimieren. Die EDSA-Leitlinien 4/2017 liefern detaillierte Kriterien dafür, wann eine DSFA erforderlich ist.

Was ist das revidierte Datenschutzgesetz (revDSG)?

Das revidierte Datenschutzgesetz (revDSG / nDSG), revidiert und seit dem 01.09.2023 in Kraft, hat den Datenschutzrahmen der Schweiz modernisiert, um ihn enger an die DSGVO anzugleichen. Der vollständige Text ist verfügbar auf fedlex.admin.ch.

Statistiken und Branchenkontext

Laut dem IAPP-EY Annual Privacy Governance Report 2023 beschäftigt die durchschnittliche Organisation 5,4 Vollzeit-Datenschutzmitarbeitende, eine Zahl, die seit Beginn des DSGVO-Vollzugs stetig gewachsen ist. Für KMU ist dieses Personalniveau oft unerreichbar, weshalb Software-Automatisierung unverzichtbar wird.

Der Europäische Datenschutzausschuss berichtete in seinem Jahresbericht 2023, dass Aufsichtsbehörden im gesamten EWR über 140'000 Beschwerden bearbeitet und seit Beginn des DSGVO-Vollzugs Bussgelder in Höhe von insgesamt mehr als 2,1 Milliarden Euro verhängt haben. KMU sind vom Vollzug nicht ausgenommen: kleinere Organisationen haben Bussgelder für unzureichende Führung des Verarbeitungsverzeichnisses, verpasste Fristen zur Meldung von Datenpannen und mangelnde Lieferantenüberwachung erhalten.

Eine Gartner-Prognose ging davon aus, dass bis 2025 die personenbezogenen Daten von 75 % der Weltbevölkerung durch moderne Datenschutzvorschriften abgedeckt sein würden, was die Nachfrage nach Compliance-Automatisierung in Organisationen jeder Grösse antreibt.

Artikel 33 DSGVO verpflichtet Verantwortliche, die zuständige Aufsichtsbehörde innerhalb von 72 Stunden, nachdem ihnen eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, zu benachrichtigen (Vollständiger Text von Artikel 33). Für Konzerne mit mehreren Gesellschaften, die über Rechtsräume hinweg tätig sind, ist die Einhaltung dieser Frist ohne strukturierte Datenpannen-Workflows eine erhebliche operative Herausforderung.

Häufig gestellte Fragen

Was ist DSGVO-Software für KMU?

DSGVO-Software für KMU ist eine Compliance-Management-Plattform, die kleinen und mittleren Unternehmen hilft, ihre Pflichten aus der EU-Datenschutz-Grundverordnung zu erfüllen. Sie deckt in der Regel das Verzeichnis von Verarbeitungstätigkeiten (Verarbeitungsverzeichnis), Datenschutz-Folgenabschätzungen (DSFA), die Bearbeitung von Betroffenenanfragen, Workflows zur Meldung von Datenpannen sowie das Lieferantenrisiko-Management ab, alles in einer Grösse und zu Preisen, die auf mittelständische Unternehmen statt auf Fortune-500-Konzerne zugeschnitten sind.

Warum brauchen europäische KMU dedizierte DSGVO-Compliance-Software?

Europäische KMU, die über mehrere Tochtergesellschaften und Rechtsräume hinweg tätig sind, unterliegen denselben DSGVO-Pflichten wie Grossunternehmen, verfügen aber über kleinere Teams und Budgets. Tabellenbasierte Compliance stösst an ihre Grenzen, wenn es um grenzüberschreitende Datentransfers, Verarbeitungsverzeichnisse über mehrere Gesellschaften und die 72-Stunden-Meldefrist für Datenpannen nach Artikel 33 DSGVO geht. Dedizierte Software automatisiert die Rezertifizierung, zentralisiert das Tracking von Betroffenenanfragen und liefert prüfungssichere Dokumentation.

Wie unterstützt das Hosting in der Schweiz die DSGVO-Compliance?

Die Europäische Kommission hat der Schweiz nach Artikel 45 DSGVO ein angemessenes Datenschutzniveau anerkannt. Das Hosting in der Schweiz gewährleistet die Datenhaltung in einem Rechtsraum mit starkem Datenschutz und vereinfacht die Compliance bei grenzüberschreitenden Transfers, besonders relevant, seit das Schrems-II-Urteil des Gerichtshofs der Europäischen Union im Juli 2020 den EU-US-Privacy-Shield für ungültig erklärt hat.

Was ist der Unterschied zwischen Priverion und Enterprise-GRC-Plattformen?

Priverion ist speziell für das Management von Datenschutzprogrammen über mehrere Gesellschaften hinweg konzipiert, mit planbaren Preisen auf Basis der Anzahl Unternehmen statt nach Nutzer- oder Modulgebühren. Enterprise-GRC-Plattformen decken typischerweise breitere Governance-Bereiche ab (ESG, Ethik, Cookie-Einwilligung), erfordern aber 6 bis 12-monatige Einführungszyklen und höhere Budgets. Priverion konzentriert sich auf Datenschutz über mehrere Gesellschaften mit einer Inbetriebnahme in Wochen statt in Quartalen.

Welche DSGVO-Module umfasst Priverion?

Priverion umfasst das Management des Verarbeitungsverzeichnisses mit automatisierter Rezertifizierung, DSFA und Transfer-Folgenabschätzungen mit KI-gestützter Erstellung, das Management von Betroffenenanfragen, Workflows für Datenpannen-Management und Behördenmeldungen, das Management von Konzernstrukturen über mehrere Gesellschaften und Grenzen hinweg sowie Lieferantenrisiko-Bewertungen mit Drittparteien-Monitoring, alles innerhalb einer einzigen Plattform.

Wie lange dauert die Einführung von Priverion?

Priverion ist auf eine Inbetriebnahme in Wochen statt in Monaten ausgelegt. So gelangte beispielsweise ein Flugzeughersteller in weniger als 6 Monaten vom Onboarding zur automatisierten Rezertifizierung und erreichte in diesem Zeitraum eine Reduktion des Verwaltungsaufwands für Compliance um 60 %.

Unterstützt Priverion Frameworks über die DSGVO hinaus?

Ja. Priverion unterstützt zusätzlich zur DSGVO das revidierte Datenschutzgesetz (revDSG / nDSG) und die Ausrichtung an ISO 27001. Die Framework-Abdeckung der Plattform ist in ihre Kernarchitektur integriert und wird nicht als Zusatzmodul angeboten.

Wie geht Priverion mit KI-gestützten Funktionen um?

Priverion nutzt KI zur Unterstützung bei der DSFA-Erstellung und Risikobewertung, doch jedes KI-Ergebnis wird von menschlichen Nutzern geprüft und genehmigt, bevor es zu einem Compliance-Dokument wird. Es werden keine Kundendaten für das Modelltraining verwendet. Dieser Ansatz steht im Einklang mit dem Grundsatz der menschlichen Aufsicht, der im EU-KI-Gesetz (Verordnung 2024/1689) betont wird.

Vergleich: DSGVO-Compliance-Ansätze für KMU