Der teure Irrglaube zur DSGVO ist, dass man sie „einmal erledigt", ein Projekt aus dem Jahr 2018, das mit einer Datenschutzerklärung, einem Cookie-Banner und einem Ordner irgendwo endet. Die Verordnung selbst ist deutlich schärfer formuliert: Datenschutz ist eine fortlaufende Pflicht, und jede relevante Produktänderung kann eine neue Runde an Arbeit auslösen.
Für ein KMU ohne Vollzeit-DSB entsteht ein bekanntes Muster. Das Projekt ist abgeschlossen. Sechs Monate vergehen. Ein neues Feature geht live. Ein neuer Unterauftragsverarbeiter wird hinzugefügt. Ein neuer Markt wird erschlossen. Und niemand prüft, ob das noch zur ursprünglichen Bewertung passt. Beim nächsten Blick stimmt die Dokumentation nicht mehr mit der Realität überein, und der Einzige, der das bemerkt, ist derjenige, der den Vorfall untersucht.
Die Bußgelder sind nicht mehr theoretisch
In den ersten drei Jahren nach Inkrafttreten der Verordnung konzentrierte sich die Durchsetzung auf die größten Technologieunternehmen. Dieses Muster hat sich umgekehrt. KMU machen heute die Mehrheit der Bußgelder nach Anzahl aus, auch wenn die größten Namen weiterhin die Schlagzeilen bestimmen.
| Unternehmen | Branche | Jahr | Bußgeld |
|---|---|---|---|
| Meta (Irland) | Soziale Netzwerke | 2023 | €1,2 Mrd. |
| Amazon (Luxemburg) | Einzelhandel | 2021 | €746 Mio. |
| TikTok (Irland) | Soziale Netzwerke | 2023 | €345 Mio. |
| Uber (Niederlande) | Mobilität | 2024 | €290 Mio. |
| Mittelständischer deutscher Verlag | Medien | 2024 | €8,2 Mio. |
| Spanischer Online-Händler (Kat. A) | Einzelhandel | 2025 | €2,4 Mio. |
| Französisches B2B-SaaS | Software | 2025 | €640k |
| Italienische Buchungsplattform | Reise | 2025 | €420k |
| Mediane Durchsetzungsmaßnahme bei KMU | Verschiedene | 2025 | €340k |
Das Muster in der unteren Tabellenhälfte ist konsistent: Die zugrunde liegende Verletzung ist selten technisch anspruchsvoll. Fehlende oder ungültige Einwilligung, Verarbeitung ohne Rechtsgrundlage, fehlende oder veraltete Unterauftragsverarbeiter-Dokumentation, unverschlüsselte personenbezogene Daten, verpasste Fristen für die Meldung von Datenschutzverletzungen. Das sind Dokumentationsfehler, keine technischen.
Warum der Workflow driftet
Das strukturelle Problem für KMU ist, dass die Arbeit, „konform zu bleiben", auf drei Personen verteilt ist, die nicht miteinander sprechen:
- Die Entwickler, die ein neues Feature ausliefern und einen neuen Anbieter integrieren.
- Die Operations- oder Rechtsverantwortliche, die das Verzeichnis der Verarbeitungstätigkeiten (Artikel 30) pflegen.
- Die Geschäftsführung, die die ursprünglichen AV-Verträge unterzeichnet hat.
Ohne einen Workflow, der diese Rollen verbindet, wird jedes Feature-Release zu einer stillen Abweichung von der dokumentierten Compliance. Wenn ein Auditor oder eine Aufsichtsbehörde fragt, ist die Lücke oft monatelang alt.
„Die Aufsichtsbehörde hat uns nicht gefragt, ob wir die DSGVO haben. Sie hat uns aufgefordert, die DSFA vorzulegen, die wir bei der Stripe-Integration im März aktualisiert haben. Die hatten wir nicht." CTO, deutsches B2B-SaaS, Vergleich €640.000 im Jahr 2025
So haben wir den Workflow neu aufgebaut
Der GDPR Companion in CyberDebunk basiert auf drei Beobachtungen.
Erstens wird jedes relevante Compliance-Ereignis durch eine Änderung im Code oder in der Infrastruktur ausgelöst. Ein neues Feature-Flag, ein neuer STRIPE_KEY, ein neuer Container mit einem neuen Image, eine neue Spalte in einer Datenbank. Das System, das Ihre Abhängigkeiten bereits überwacht, ist auch das System, das einen Compliance-Impact markieren kann.
Zweitens sind die Dokumente, die Auditoren und Aufsichtsbehörden tatsächlich prüfen, vorhersehbar. Verzeichnis der Verarbeitungstätigkeiten (Artikel 30), Datenschutz-Folgenabschätzung (Artikel 35), Liste der Unterauftragsverarbeiter, Verletzungsregister, technische und organisatorische Maßnahmen (Artikel 32). Sechs Artefakte. Sie aus dem live Systemzustand zu erzeugen ist zuverlässiger, als sie manuell zu pflegen.
Drittens ist der Teil, den niemand machen will, das Schreiben. Ein Sechs-Fragen-Intake plus das bestehende Inventar reichen aus, um einen brauchbaren Erstentwurf für jedes dieser Dokumente zu erstellen. Die Iteration mit einem menschlichen Prüfer ist schneller als bei einer leeren Seite zu beginnen.
Vom Feature-Release zur dokumentierten DSFA in einem Workflow
Die sechs Fragen im Überblick
- Welche neuen Daten werden verarbeitet? Personenbezogen? Besondere Kategorien? Kinder?
- Was ist die Rechtsgrundlage? Einwilligung, Vertrag, berechtigtes Interesse, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe.
- Wer hat Zugriff? Interne Rollen, externe Auftragsverarbeiter, Empfänger in Drittländern.
- Wie lange werden die Daten aufbewahrt? Konkreter Zeitraum oder Auslöser.
- Welche Sicherheitsmaßnahmen gelten? Verschlüsselung, Zugriffskontrolle, Audit-Logging.
- Wie läuft der Workflow für Betroffenenrechte? Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch.
Die meisten Antworten stammen automatisch aus dem vorhandenen Wissen des Scanners über Ihre Codebasis. Der DSB oder die Geschäftsführung bestätigt oder korrigiert. Das Ergebnis ist ein versioniertes, audit-trail-gestütztes Dokument, das sich bei jeder Änderung des zugrunde liegenden Systems aktualisiert.
Das Verzeichnis nach Artikel 30, fortlaufend neu erzeugt
Die meisten KMU, mit denen wir arbeiten, haben ein Artikel-30-Verzeichnis, das zuletzt 2019 bearbeitet wurde. Die Versionskontrolle lautet „die Datei in jemandes Dropbox". Wenn sie es für ein Audit vorlegen sollen, liefern sie etwas, das nicht zu ihrem Stack passt.
Der Companion hält das Verzeichnis aktuell. Jede Verarbeitungstätigkeit ist eine Zeile. Jede Zeile ordnet sich zu (a) der Datenkategorie, (b) der Rechtsgrundlage, (c) den beteiligten Unterauftragsverarbeitern, (d) der Aufbewahrungsrichtlinie und (e) den technischen Maßnahmen. Wenn sich eines davon in der Codebasis ändert, aktualisiert sich die Zeile. Wenn ein Auditor fragt, exportieren Sie den aktuellen Stand, einschließlich eines Diffs zu jedem früheren Datum.
Stripe hinzuzufügen ist kein Compliance-Vorfall mehr, den Sie sich merken müssen.
Der Scanner erfasst bereits jede Drittanbieter-API, die Ihr Code aufruft. Wenn ein neuer externer Dienst erscheint, ein Zahlungsanbieter, ein Analytics-Tool, ein transaktionaler E-Mail-Dienst, markiert der Companion ihn als möglichen Unterauftragsverarbeiter, fordert Sie auf, die erkannten Datenkategorien zu bestätigen, und aktualisiert Ihr Unterauftragsverarbeiter-Verzeichnis. Sie unterzeichnen den AV-Vertrag direkt im Dashboard. Das Audit-Log protokolliert, dass und wann Sie das getan haben.
Für die rund 200 häufigsten Dienste sind sinnvolle Standardwerte vorausgefüllt. Wenn Sie resend.com zum ersten Mal hinzufügen, weiß der Companion, dass es sich um einen transaktionalen E-Mail-Anbieter mit Hosting in den USA handelt, SCCs erfordert und schlägt die passende Dokumentation vor.
Was das Sie kostet
Bei einem KMU mit weniger als 50 Mitarbeitenden und einem einzelnen Produkt berichten unsere Kunden, dass sie weniger als 90 Minuten pro Monat für die eigentliche DSGVO-Pflege aufwenden: Entwürfe des Companions prüfen, Änderungen bei Unterauftragsverarbeitern bestätigen, DSFA-Updates freigeben. Der Rest ist Automatisierung. Vergleichen Sie das mit den typischen Kosten eines „DSGVO-Projekts" von €20.000 bis 40.000 für die Ersteinrichtung und €4.000 bis 8.000 pro Quartal für externe Audits.
Das ist kein Verkaufspitch für das DSGVO-Produkt. Der Punkt ist strukturell: Compliance ist eher ein Workflow-Problem als ein Rechtsproblem, und KMU verlieren, weil sie es als Rechtsproblem behandeln. Einbetten Sie es in den bestehenden Engineering-Workflow, und die Kosten sinken um eine Größenordnung. Die Bußgelder sinken stärker.
Was Sie diese Woche tun können, auch ohne uns
- Finden Sie Ihr Artikel-30-Verzeichnis. Öffnen Sie es. Prüfen Sie das Datum der letzten Änderung. Wenn es älter ist als Ihr jüngstes Feature-Release, ist es falsch.
- Listen Sie jede externe API auf, die Ihre Codebasis aufruft. Vergleichen Sie sie mit Ihrer Liste unterzeichneter AV-Verträge. Jede Lücke ist ein Unterauftragsverarbeiter, den Sie ohne dokumentierte Grundlage nutzen.
- Richten Sie eine 72-Stunden-Erinnerung für die Meldung von Datenschutzverletzungen ein. Die Verordnung gibt Ihnen 72 Stunden ab Kenntnis. Die meisten KMU, die wir auditiert haben, können diese Frist nicht einhalten, weil die Eskalationskette undefiniert ist. Legen Sie sie jetzt schriftlich fest.
- Benennen Sie eine verantwortliche Person. Sie brauchen keinen zertifizierten DSB, es sei denn, Sie verarbeiten in großem Umfang oder besondere Kategorien. Aber Sie brauchen eine benannte Person, die den Workflow verantwortet. Ohne Verantwortung driftet alles ab.
Der europäische Rahmen der DSGVO ist nicht antagonistisch. Die Aufsichtsbehörden, mit denen wir gesprochen haben, sind direkt: Sie wollen Dokumentation, die zeigt, dass Sie es versucht haben. Bußgelder treffen die Unternehmen, die nichts vorlegen können. Machen Sie die Erstellung dieses Dokuments zum Nebeneffekt Ihres Engineering-Workflows, und die Hürde wird trivial niedrig.