DSGVO-konform ist kein Siegel, sondern eine Bauweise
„DSGVO-konform" steht auf fast jeder Anbieterseite. Interessant wird es bei den Fragen dahinter: Wo liegen die Daten wirklich, gibt es einen Auftragsverarbeitungsvertrag, was passiert bei einem Auskunftsersuchen, und wie werden Daten gelöscht, wenn die Frist abgelaufen ist.
Kurz gesagt
DSGVO-konforme Software heißt konkret: eine Rechtsgrundlage für jede Verarbeitung, Datensparsamkeit bei den erhobenen Feldern, ein Auftragsverarbeitungsvertrag mit dem Betreiber, ein umsetzbares Löschkonzept und die Fähigkeit, Auskunftsersuchen zu beantworten. Bei Chattee liegen die Daten in Deutschland, und diese Anforderungen lassen sich als Regeln in der Anwendung abbilden.
Was Datenschutz in einer Anwendung ausmacht
Nur erheben, was gebraucht wird
Zugriff auf das Erforderliche begrenzen
Löschfristen und Auskunft technisch abbilden
Was hinter dem Wort steht
"DSGVO-konform" ist keine Eigenschaft, die man kaufen kann
Es gibt keine Zertifizierung, die eine Software allgemein konform macht. Konformität entsteht aus dem Zusammenspiel von Verarbeitung, Rechtsgrundlage, Vertrag und Umsetzung — und die Verantwortung dafür bleibt bei euch als Verantwortlichem nach Art. 4 Nr. 7 DSGVO, nicht beim Anbieter.
Das ist kein juristisches Detail. Es bedeutet, dass ein Anbietersiegel eure Prüfpflicht nicht ersetzt, und dass die richtige Frage nicht "ist das konform?" lautet, sondern "welche dieser fünf Anforderungen erfüllt es, und wie weise ich das nach?".
Die fünf Anforderungen, die praktisch zählen
Erstens eine Rechtsgrundlage je Verarbeitung — bei Beschäftigtendaten meist § 26 BDSG oder Art. 6 Abs. 1 lit. b DSGVO, nicht Einwilligung, die im Arbeitsverhältnis selten freiwillig ist. Zweitens Datensparsamkeit: jedes Feld, das ihr nicht erhebt, ist eines weniger zu schützen und zu löschen.
Drittens ein Auftragsverarbeitungsvertrag nach Art. 28 mit jedem, der Daten für euch verarbeitet. Viertens ein Löschkonzept, das technisch umgesetzt und nicht nur beschrieben ist. Fünftens die Fähigkeit, ein Auskunftsersuchen nach Art. 15 innerhalb eines Monats vollständig zu beantworten — das ist die Anforderung, an der verteilte Ablagen scheitern.
Serverstandort ist notwendig, aber nicht hinreichend
Ein Rechenzentrum in Deutschland löst die Übermittlungsfrage in ein Drittland — mehr nicht. Entscheidend ist zusätzlich, wer Zugriff hat: Ein deutscher Standort unter Kontrolle eines Konzerns, der einer Herausgabepflicht nach ausländischem Recht unterliegt, verlagert das Problem, statt es zu lösen.
Praktisch prüfbar sind drei Dinge: der tatsächliche Speicherort, die Liste der Unterauftragsverarbeiter im AV-Vertrag, und ob Support-Zugriffe protokolliert werden. Die dritte Frage stellt fast niemand, und sie ist die aufschlussreichste.
Wann eine Datenschutz-Folgenabschätzung nötig wird
Art. 35 DSGVO verlangt sie bei voraussichtlich hohem Risiko — etwa bei umfangreicher Verarbeitung besonderer Kategorien nach Art. 9 oder systematischer Überwachung. Die Aufsichtsbehörden führen dazu Listen; für Betriebe relevant sind vor allem Beschäftigtenüberwachung, Gesundheitsdaten und umfangreiches Profiling.
Eine Zeiterfassung allein löst sie in der Regel nicht aus, eine Zeiterfassung mit Standortverfolgung sehr wohl. Das ist ein gutes Beispiel dafür, dass nicht die Software über die Pflicht entscheidet, sondern was ihr damit tut.
Datenschutz als Teil der Beschreibung
Löschkonzept und Auskunftsrecht sind Funktionen. Wer sie nicht beschreibt, baut sie auch nicht.
Baue eine Anwendung für unsere Bewerbungen und berücksichtige den Datenschutz. Bewerberdaten sollen sechs Monate nach Abschluss des Verfahrens automatisch gelöscht werden, außer die Person hat einer längeren Speicherung zugestimmt. Auf Anfrage soll sich für eine Person alles, was gespeichert ist, als Datei ausgeben lassen. Es soll protokolliert werden, wer welche Bewerbung geöffnet hat. Die Fachabteilung sieht keine Angaben zu Alter und Herkunft.
Das Datenmodell
bewerbungen
|
name,e_mail,stelle_id,eingang,status,abgeschlossen_am |
einwilligungen
|
bewerbung_id,zweck,erteilt_am,widerrufen_am |
regel: loeschfrist
|
loeschung 6 monate nach abschluss, ausser einwilligung liegt vor |
regel: auskunft
|
export aller daten zu einer person als datei |
zugriffsprotokoll
|
bewerbung_id,benutzer_id,geoeffnet_am |
recht: fachabteilung
|
sieht qualifikation, nicht alter oder herkunft |
Wo Datenschutz besonders zählt
Personalwesen
Bewerbungen, Krankmeldungen und Beurteilungen. Löschfristen sind hier nicht optional, und der Betriebsrat ist zu beteiligen.
Gesundheit und Pflege
Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt. Die Anforderungen an Zugriffsbeschränkung und Protokollierung sind entsprechend höher.
Vereine
Mitgliederdaten mit Geburtsdatum und Bankverbindung auf privaten Rechnern ehrenamtlicher Vorstände sind ein verbreiteter, realer Verstoß.
Handel und Onlineshop
Kundendaten mit Bestellhistorie und die Frage, wie lange sie nach dem letzten Kauf aufbewahrt werden dürfen.
Bildung
Daten von Schülerinnen und Schülern, oft minderjährig, mit besonderen Anforderungen an Einwilligung.
Dienstleister mit Auftragsverarbeitung
Wer für Kunden Daten verarbeitet, braucht selbst eine saubere Kette von Verträgen bis zum Betreiber.
Was „DSGVO-konform" in der Praxis unterscheidet
| US-Anbieter mit EU-Rechenzentrum | Deutscher Anbieter | Chattee | |
|---|---|---|---|
| Serverstandort | EU, Konzern in den USA | Deutschland | Deutschland |
| AV-Vertrag | Meist vorhanden | Ja | Ja |
| Löschkonzept | Selten technisch umgesetzt | Unterschiedlich | Als Regel abbildbar |
| Auskunftsersuchen | Oft manuell | Unterschiedlich | Als Funktion abbildbar |
| Zugriff auf das Erforderliche | Rollen grob | Unterschiedlich | Feldgenau |
Vergleichswerte aus öffentlich einsehbaren Anbieterpreisen und Chattee-Projekten. Stand: 29.08.2026.
Häufig gestellte Fragen
-
Was heißt „DSGVO-konform" konkret?
Dass für jede Verarbeitung eine Rechtsgrundlage besteht, nur erforderliche Daten erhoben werden, der Zugriff begrenzt ist, Betroffenenrechte erfüllt werden können und mit dem Betreiber ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.
- Reicht ein Serverstandort in der EU?
- Bekommen wir einen AV-Vertrag?
- Wie setzt man ein Löschkonzept technisch um?
- Was ist bei einem Auskunftsersuchen zu tun?
- Gilt das auch für Österreich und die Schweiz?
- Brauchen wir eine Datenschutz-Folgenabschätzung?
- Ist das hier eine Rechtsberatung?
Bau Datenschutz von Anfang an ein
Löschfristen, Auskunft und Zugriffsgrenzen als Teil der Anwendung.
