GDPRGDPR

Die Verordnung beruht auf wenigen Grundgedanken, die sich durch sie hindurchziehen. Eine Verarbeitung braucht eine Rechtsgrundlage. Sie muss auf einen angegebenen Zweck beschränkt sein und auf die Daten, die dieser Zweck tatsächlich erfordert. Sie muss für die Menschen, um deren Daten es geht, transparent sein, und diese haben durchsetzbare Rechte daran. Und sie muss gesichert sein, mit Maßnahmen, die dem Risiko angemessen sind.

Beim Kauf von Software zählt vor allem die Unterscheidung zwischen dem Verantwortlichen, der über Zweck und Mittel der Verarbeitung entscheidet, und dem Auftragsverarbeiter, der nach dessen dokumentierten Weisungen verarbeitet. Kauft ein Unternehmen eine Plattform für Zusammenarbeit, ist das Unternehmen Verantwortlicher für alles, was seine Leute hineinstellen, und der Anbieter ist Auftragsverarbeiter. Dieses Verhältnis muss in einem Vertrag nach Artikel 28 festgehalten werden, und der Anbieter kann es nicht für den Kunden übernehmen.

Wegen dieser Aufteilung ist „GDPR-compliant“ — oder auf Deutsch „DSGVO-konform“ — keine Eigenschaft, die ein Produkt allein haben kann. Ein Produkt kann die Kontrollen und Unterlagen bereitstellen, die Konformität voraussetzt — einen Auftragsverarbeitungsvertrag, eine Liste der Unterauftragsverarbeiter, Export und Löschung, Sicherheitsmaßnahmen —, während Rechtsgrundlage, Aufbewahrungsentscheidungen und Transparenz gegenüber den Beschäftigten beim Kunden bleiben.