DSGVO-Software für Ihr
Datenschutzmanagement

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, englisch GDPR) ist das Datenschutzrecht der Europäischen Union. Sie gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten und regelt, unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen, welche Rechte die Betroffenen haben und welche Pflichten Verantwortliche und Auftragsverarbeiter treffen. In Deutschland ergänzt sie das Bundesdatenschutzgesetz (BDSG).

Ein Datenschutzmanagementsystem (DSMS, englisch Data Protection Management System) ist die Gesamtheit der Regelungen, Prozesse, Rollen und Nachweise, mit denen eine Organisation die DSGVO einhält und das belegen kann. Es umfasst das Verzeichnis der Verarbeitungstätigkeiten, die Rechtsgrundlagen, die technischen und organisatorischen Maßnahmen, die Behandlung von Anfragen und Vorfällen sowie die regelmäßige Überprüfung.

Eine DSGVO-Software bildet die Anforderungen der Verordnung als Katalog ab und verbindet sie mit dem, worauf sie sich beziehen — Verarbeitungstätigkeiten, Systeme, Datenkategorien, Dienstleister, Personen. Die wiederkehrenden Aktivitäten laufen als Vorgänge mit Workflow und Frist, und Verzeichnis, DSFA-Bericht und Vorfalldokumentation entstehen aus den Daten statt in Tabellen.

Das Data Protection Kit ist der vorbereitete Startbestand der Complaica DSMS-Software: typische Organisationsstruktur, Verzeichnisvorlage nach Art. 30, DSFA-Bewertung und -Bericht sowie Gefährdungs- und Maßnahmenkataloge. Diese Seite beschreibt die Funktionen und Abläufe der DSGVO-Software; die Inhalte des Kits stellt die Seite zur DSMS-Software vor.

Zehn Vorgangsarten mit eigenem Workflow: Verarbeitungstätigkeit (VT), Betroffenenanfrage (BANF), Beschwerde (BES), Datenschutzvorfall (DSVF), Schwellwertanalyse (SWA), Datenschutz-Folgenabschätzung (DSFA), Transfer-Impact-Assessment (TIA), Einwilligung (EINW), Interessenabwägung (IAB) und Verpflichtungserklärung (VE). Dazu Auftragsverarbeiter-Prüfung, Sicherheitsvorfall und Lesson Learned.

Nach Art. 12 Abs. 3 DSGVO unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Wenn es unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, kann die Frist um weitere zwei Monate verlängert werden; die betroffene Person ist innerhalb des ersten Monats darüber und über die Gründe zu unterrichten. In Complaica trägt jede Anfrage ihre Frist, und das Dashboard zeigt, was fällig ist.

Nach Art. 33 Abs. 1 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde — es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung nicht binnen 72 Stunden, ist eine Begründung für die Verzögerung beizufügen. Ein Auftragsverarbeiter meldet die Verletzung dem Verantwortlichen unverzüglich. Bei voraussichtlich hohem Risiko sind nach Art. 34 auch die Betroffenen unverzüglich zu benachrichtigen. Dokumentiert wird nach Art. 33 Abs. 5 jede Verletzung.

Nach Art. 35 DSGVO, wenn eine Verarbeitung — insbesondere bei neuen Technologien — voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 nennt insbesondere die systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling als Grundlage für Entscheidungen mit Rechtswirkung, die umfangreiche Verarbeitung besonderer Kategorien oder von Daten über Straftaten und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche; die Aufsichtsbehörden veröffentlichen Listen nach Art. 35 Abs. 4. Ob eine DSFA nötig ist, klärt in Complaica die Schwellwertanalyse je Verarbeitungstätigkeit.

Die Prüfung, ob eine Übermittlung personenbezogener Daten in ein Drittland zulässig ist: welches Instrument des Kapitels V greift — Angemessenheitsbeschluss, Standardvertragsklauseln, verbindliche interne Vorschriften —, ob das Recht des Ziellandes den Schutz beeinträchtigt und welche zusätzlichen Maßnahmen nötig sind. Der Europäische Gerichtshof hat diese Prüfung im Urteil Schrems II (C-311/18) verlangt. In Complaica ist das TIA eine Vorgangsart mit Wiedervorlage.

Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat. Nach Art. 7 Abs. 3 kann sie jederzeit widerrufen werden, und der Widerruf muss so einfach sein wie die Erteilung. Complaica führt Einwilligungen als Vorgänge mit den Status Aktiv, Widerrufen und Abgelaufen, verknüpft mit der Verarbeitungstätigkeit, die sich darauf stützt.

Die Prüfung, ob eine Verarbeitung auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann: Besteht ein berechtigtes Interesse, ist die Verarbeitung dafür erforderlich, und überwiegen nicht die Interessen oder Grundrechte der betroffenen Person? Das Ergebnis wird dokumentiert — in Complaica als Vorgang, der an der Verarbeitungstätigkeit hängt.

Personen, die dem Verantwortlichen oder dem Auftragsverarbeiter unterstellt sind und Zugang zu personenbezogenen Daten haben, dürfen diese nur auf Weisung verarbeiten (Art. 29, Art. 32 Abs. 4); Beschäftigte von Auftragsverarbeitern müssen nach Art. 28 Abs. 3 lit. b zur Vertraulichkeit verpflichtet sein. Die schriftliche Verpflichtungserklärung ist der übliche Nachweis dafür. Complaica führt sie pro Person: versandt, unterzeichnet, abgelaufen oder verweigert, mit Dokument und Datum.

Ein Löschkonzept legt fest, wann welche personenbezogenen Daten gelöscht werden und wie. Datenarten werden Löschregeln zugeordnet — mit Startzeitpunkt und Frist, abgeleitet aus dem Zweck und aus gesetzlichen Aufbewahrungspflichten —, und Löscheinheiten beschreiben, in welchem System und in welcher Granularität gelöscht wird. Die Methode beschreibt DIN EN ISO/IEC 27555:2025-09, die im September 2025 die DIN 66398 ersetzt hat. In der DSGVO stehen dahinter die Speicherbegrenzung (Art. 5 Abs. 1 lit. e), das Recht auf Löschung (Art. 17) und die Löschfristen im Verzeichnis (Art. 30 Abs. 1 lit. f).

Nach Art. 30 DSGVO jeder Verantwortliche und jeder Auftragsverarbeiter. Art. 30 Abs. 5 nimmt Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern aus — aber nicht, wenn ihre Verarbeitung ein Risiko für die Rechte und Freiheiten der Betroffenen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien nach Art. 9 Abs. 1 oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 einschließt. In Complaica entsteht das Verzeichnis aus den freigegebenen Verarbeitungstätigkeiten als Bericht.

Das Bundesdatenschutzgesetz nutzt die Öffnungsklauseln der DSGVO. Unter anderem verpflichtet § 38 BDSG zur Benennung eines Datenschutzbeauftragten, wenn in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung unterliegen. In Complaica wird das BDSG als eigener Anforderungskatalog neben der DSGVO bewertet.

Ja, als zusätzliche Leistung. Unsere Datenschutzexperten übernehmen die Rolle nach Art. 37 DSGVO und § 38 BDSG — als Ansprechpartner für Aufsichtsbehörde, Betroffene und Geschäftsleitung, mit Complaica als Arbeitsmittel. Daneben beraten wir bei Gap-Analyse, Verzeichnis, DSFA, Auftragsverarbeitung und Schulung.