Ihre Prozessorliste ist länger, als Sie denken

Ein kurzes Geständnis, bevor wir beginnen. In den vorherigen Beiträgen dieser Serie habe ich bewusst auf technische Implementierungsdetails verzichtet, denn wenn es um tatsächliches Engineering geht, bin ich so nützlich wie ein Lötkolben aus Schokolade. Ich kann Ihnen sagen, warum etwas wichtig ist. Das Wie überlasse ich Leuten, die tatsächlich die richtigen Kurse besucht haben.

Dieser Beitrag ist anders. Unterauftragsverarbeiter und Datenflüsse sind einer der wenigen technischen Bereiche, in denen ich wirklich weiß, wovon ich spreche. Ich habe Jahre damit verbracht, diese Dinge zu prüfen, mit Anbietern darüber zu streiten und sie Regulierungsbehörden zu erklären. Betrachten Sie mich also ausnahmsweise kurz als kompetent.

Gut. Dann mal los.

Irgendwann im letzten Jahr hat jemand in Ihrem Team ein SDK hinzugefügt. Dann noch eines. Einen Webhook zu einem Drittanbieterdienst. Einen Fehlerüberwachungsagenten. Ein Tool zur Aufzeichnung von Sitzungen. Eine KI-API, an die Sie Benutzereingaben weiterleiten und Ausgaben zurückerhalten.

Jede dieser Entscheidungen fühlte sich wie eine Tool-Entscheidung an. Jede davon ist auch eine Entscheidung zur Daten-Governance. Und die beiden Dinge fanden selten im selben Gespräch statt.

Hier ist das Problem: Gemäß GDPR ist jeder Dritte, der personenbezogene Daten Ihrer Nutzer in Ihrem Auftrag verarbeitet, ein Datenverarbeiter. Sie sind rechtlich für sie verantwortlich. Sie benötigen einen Vertrag mit ihnen, der bestimmte Dinge festlegt. Wenn sie sich außerhalb der EU befinden, benötigen Sie einen rechtlichen Mechanismus, um Daten dorthin zu senden. Und wenn etwas schiefgeht, werden die Regulierungsbehörden Sie für die gesamte Kette zur Rechenschaft ziehen, nicht nur für Ihren eigenen Code.

Die meisten Teams können das nicht. Nicht, weil sie nachlässig sind, sondern weil sich die Integrationen schneller angesammelt haben als die Dokumentation. So beheben Sie das Problem.

Schritt eins: Finden Sie alles, was personenbezogene Daten berührt

Beginnen Sie nicht mit einer Tabelle. Beginnen Sie mit Ihrem Netzwerkverkehr.

Ziehen Sie jedes ausgehende Ziel, mit dem Ihre Anwendung verbunden ist. Die Netzwerkprotokolle Ihres Cloud-Anbieters, Ihre Egress-Firewall, Ihr Überwachungstool, falls es Netzwerktransparenz bietet. Das ist die Grundwahrheit. Alles andere ist Dokumentation, die möglicherweise nicht mit dem übereinstimmt, was tatsächlich läuft.

Gehen Sie dann den Code durch. Jedes beim Start initialisierte Drittanbieter-SDK. Jeder API-Schlüssel in Ihrer Konfiguration. Jeder irgendwo registrierte Webhook-Endpunkt. Jeder Ort, an dem Sie einen externen Dienst mit einer Nutzlast aufrufen, die eine Benutzerkennung, eine E-Mail-Adresse, benutzergenerierte Inhalte, einen Namen, eine Geräte-ID, ein Sitzungstoken, eine IP-Adresse oder irgendetwas enthält, das einer bestimmten Person zugeordnet werden könnte.

Erstellen Sie eine Liste. Sie werden Dinge finden, die Sie vergessen haben. Das passiert jedem.

Häufig übersehene Bereiche für Entwickler:

• Ihr Fehlerüberwachungstool. Stack-Traces enthalten oft PII – E-Mail-Adressen in Fehlermeldungen, Benutzer-IDs, im Fehlerfall protokollierte Anforderungs-Bodies. Sentry, Datadog, Rollbar, alle davon. Überprüfen Sie, was Sie senden.
• Ihre KI-Modell-API. Wenn Sie Benutzereingaben an OpenAI, Anthropic oder einen anderen Modell-Anbieter weiterleiten, enthalten diese Eingaben wahrscheinlich personenbezogene Daten. Ihre DPA-Bedingungen haben sich in den letzten zwei Jahren erheblich weiterentwickelt. Die Version, die Sie bei der Anmeldung akzeptiert haben, spiegelt möglicherweise nicht die aktuellen Bedingungen wider. Überprüfen Sie dies erneut.
• Staging- und Entwicklungsumgebungen. Sie sind oft mit denselben Drittanbieter-Tools wie die Produktion verbunden, manchmal mit weniger Aufsicht. Die Daten im Staging werden manchmal aus der Produktion kopiert. Beides ist wichtig.
• Bibliotheken mit eingebetteter Analytik. Einige SDKs telefonieren standardmäßig nach Hause. Lesen Sie das Changelog, wenn Sie aktualisieren. Das ist keine Paranoia; es ist bei weit verbreiteten Paketen vorgekommen, und „wir wussten nicht, dass die Bibliothek das tat“ ist kein Satz, der bei einer Regulierungsbehörde gut ankommt.

Schritt zwei: Stellen Sie für jede Integration drei Fragen

Sobald Sie die Liste haben, gehen Sie sie systematisch durch.

Empfängt diese Integration personenbezogene Daten?

Wenn ja, ist sie relevant. Wenn sie nur anonymisierte, aggregierte Daten ohne Rückverfolgbarkeit zu Einzelpersonen empfängt, können Sie sie depriorisieren. Im Zweifelsfall behandeln Sie sie als relevant.

Haben Sie eine Datenverarbeitungsvereinbarung (DPA) mit diesem Anbieter?

Eine DPA ist ein Vertrag, der die Regeln festlegt: Der Anbieter darf Daten nur auf Ihre Anweisung hin verarbeiten, er darf sie nicht für eigene Zwecke verwenden (einschließlich Modelltraining, es sei denn, Sie haben zugestimmt), er muss Sie schnell genug über eine Verletzung informieren, damit Sie Ihre eigene 72-Stunden-Benachrichtigungsfrist einhalten können, und er muss Ihre Daten löschen, wenn der Vertrag endet. Die meisten großen Anbieter haben eine Standard-DPA, die Sie unterzeichnen oder per Klick akzeptieren können. Finden Sie sie, unterzeichnen Sie sie, bewahren Sie eine Kopie auf.

Zwei Dinge, die Sie in der DPA tatsächlich lesen sollten, bevor Sie sie akzeptieren: ob der Anbieter Ihre Daten zur Verbesserung seines eigenen Produkts oder zum Training seiner Modelle verwenden darf und was er mit Ihren Daten macht, wenn Sie die Zahlung einstellen. Beides ist häufig schlechter, als Sie es aus den Marketingtexten annehmen würden.

Wo werden die Daten verarbeitet?

Wenn der Anbieter außerhalb der EU ansässig ist oder Infrastruktur außerhalb der EU nutzt, liegt ein grenzüberschreitender Transfer vor. Für US-Anbieter prüfen Sie, ob sie unter dem EU-US Data Privacy Framework zertifiziert sind – die meisten großen sind es, und es ist auf der DPF-Liste durchsuchbar. Das DPF hat im September 2025 eine gerichtliche Anfechtung vor dem EU-Gerichtshof überstanden und ist derzeit gültig, obwohl ein Berufungsverfahren vor dem Gerichtshof der Europäischen Union anhängig ist. Wenn Sie sensible Datenkategorien verarbeiten, ist es angesichts der Geschichte dieses speziellen Rahmens sinnvoll, Standardvertragsklauseln (SCCs) in Ihrer DPA neben der DPF-Zertifizierung beizubehalten. Für Nicht-US-Anbieter, die nicht von einem Angemessenheitsbeschluss abgedeckt sind, sind SCCs der Standardmechanismus. Die praktische Prüfung: Ist ein Übertragungsmechanismus in der DPA dokumentiert und ist er aktuell? SCCs vor 2021 sind seit Dezember 2022 ungültig. Wenn Ihre DPA alt genug ist, um diese zu referenzieren, muss sie aktualisiert werden.

Schritt drei: Priorisieren Sie Ihre Ergebnisse

Sie werden nicht alles auf einmal beheben. Das ist in Ordnung. Niemand hat jemals alles auf einmal behoben. Einige dieser Leute versuchen es immer noch. Wichtig ist, zu wissen, was man hat.

Hohe Priorität: Integrationen, die Namen, E-Mail-Adressen, benutzergenerierte Inhalte, Verhaltensdaten oder Daten aus einer speziellen Kategorie wie Gesundheits-, Finanz- oder Standortdaten empfangen. Diese benötigen vor allem anderen eine aktuelle DPA und einen dokumentierten Übertragungsmechanismus.

Mittlere Priorität: Integrationen, die pseudonymisierte Identifikatoren wie interne Benutzer-IDs, Sitzungstoken oder Geräte-Fingerabdrücke empfangen. Immer noch relevant, aber geringere Dringlichkeit, wenn es keinen direkten Weg zurück zu einer Einzelperson ohne zusätzliche Daten gibt.

Vorerst nicht relevant: Integrationen, die nur vollständig anonymisierte aggregierte Daten ohne Re-Identifikationsrisiko empfangen. Dokumentieren Sie, dass Sie sie bewertet haben und warum sie nicht relevant sind.

Für alles mit hoher Priorität, bei dem Sie keine DPA haben, finden Sie diese noch heute. Die meisten Anbieter veröffentlichen sie in ihrem Rechts- oder Datenschutzbereich. Wenn ein Anbieter sich weigert, eine DPA zu unterzeichnen, ist das ein erhebliches Warnsignal. Personenbezogene Daten, die ohne DPA an einen Verarbeiter fließen, sind ein GDPR-Verstoß, keine Lücke, die Sie später schließen können.

Schritt vier: Schreiben Sie es auf

Die GDPR verlangt von den meisten Organisationen, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Was Sie gerade erstellt haben, ist die Grundlage dieses Verzeichnisses. Für jede Integration: welche Daten gehen wohin, warum, auf welcher Rechtsgrundlage, wo sie verarbeitet werden und welche Schutzmaßnahmen bestehen.

Dieses Dokument hat zwei Zielgruppen. Die erste ist eine Regulierungsbehörde, falls Sie jemals Ihre Compliance-Haltung nachweisen müssen. Die zweite sind Ihre Unternehmenskunden, die im Rahmen der Anbieter-Due-Diligence Ihre Liste der Unterauftragsverarbeiter anfordern werden. Jedes Unternehmen, das in regulierte Branchen verkauft, wird diese Anfrage erhalten. Die Antwort bereit zu haben, ist der Unterschied zwischen einem reibungslosen und einem verzögerten Beschaffungsprozess.

Halten Sie es aktuell. Fügen Sie einen Schritt zu Ihrer Integrations-Checkliste hinzu: Jedes Mal, wenn ein neues Drittanbieter-Tool hinzugefügt wird, erfolgt die Überprüfung des Verarbeiters gleich mit. Es dauert zwanzig Minuten pro Integration, wenn Sie es sofort tun. Es dauert erheblich länger, wenn Sie es rückwirkend über drei Jahre angesammelter Tools unter Zeitdruck tun.

Die ehrliche Version, warum das wichtig ist

Regulierungsbehörden prüfen die meisten Startups nicht. Das unmittelbare Durchsetzungsrisiko für ein kleines Unternehmen ist real, aber nicht der Hauptgrund, dies zu tun.

Der Hauptgrund ist, dass eine Verletzung, bei der Daten betroffen sind, von denen Sie nicht wussten, dass sie von einem nicht erfassten Anbieter verarbeitet wurden, eine andere Kategorie von Problem darstellt als eine Verletzung, die Sie vollständig erklären können. Das eine ist ein Vorfall. Das andere ist ein Beweis dafür, dass Ihre Daten-Governance nicht existiert. Regulierungsbehörden, Anwälte und Unternehmenskunden behandeln diese sehr unterschiedlich.

Führen Sie das Audit durch. Es sind ein paar Tage unangenehmer Entdeckungen, und dann wissen Sie, was Sie tatsächlich haben. Das ist erheblich mehr wert als eine Datenschutzerklärung, die niemand liest.