1
Ausgangslage
Ein Online-Shop verarbeitet personenbezogene Daten in Kundenkonten, Bestellungen, Newsletter-Einwilligungen und Kontaktanfragen, dazu bei externen Dienstleistern für Hosting, Zahlung, Versand und E-Mail. Die DSGVO verlangt dafür ein Verarbeitungsverzeichnis (Art. 30), technische und organisatorische Maßnahmen (Art. 32), Auftragsverarbeitungsverträge (Art. 28), die Beantwortung von Betroffenenanfragen (Art. 15–22) und im Ernstfall eine Meldung binnen 72 Stunden (Art. 33).
Diese Nachweise lagen verteilt: Verträge im Ordner, das Verzeichnis als Tabelle, Anfragen per E-Mail. Belegen ließ sich vieles, beweisen wenig.
2
Lösung mit ReportAct
Sandicca führt seine Datenschutz-Nachweise mit dem Service GDPR · Accountability in einem Bestand:
- Verarbeitungsverzeichnis: jede Verarbeitung mit Zweck, Rechtsgrundlage, Kategorien und Empfängern.
- Auftragsverarbeiter im Lieferantenregister: Shop-Hosting, Zahlungs-, Versand- und E-Mail-Dienstleister mit ihren AV-Verträgen.
- Technische und organisatorische Maßnahmen als Kontrollen: jede Maßnahme mit Nachweis, versiegelt (gehasht, verkettet, signiert, unabhängig zeitgestempelt).
- Betroffenenanfragen über das Portal: Auskunft, Löschung und Widerspruch kommen strukturiert herein und werden fristgesteuert bearbeitet.
- 72-Stunden-Meldeuhr: bei einer Datenpanne läuft die Frist ab Erkennung — mit Vorlage für die Meldung an die Datenschutzbehörde.
Wo eine Datenschutz-Folgenabschätzung nötig wird, entwirft der KI-Experte sie vor; freigegeben wird von Sandicca.
3
Ergebnis
Das Verarbeitungsverzeichnis ist vollständig und versiegelt, jede Maßnahme trägt einen Nachweis, die Auftragsverarbeiter sind mit Vertrag nachvollziehbar. Betroffenenanfragen kommen über das Portal — mit Eingangsdatum und laufender Frist.
Fragt ein Kunde, Geschäftspartner oder die Datenschutzbehörde nach, gibt Sandicca den Prüfer-Link frei: Jeder Nachweis lässt sich dort ohne Login nachrechnen — Inhalt, Kette, Signatur und Zeitstempel.
