Complass – Navigate compliance Complass – Navigate compliance
Sprache DE
Deutsch English Français Italiano Español Nederlands Polski Português
Kostenlos testen

Regelwerk

DSGVO – Datenschutz-Grundverordnung

Die Datenschutz-Grundverordnung verlangt, dass Sie personenbezogene Daten rechtmäßig verarbeiten und das jederzeit nachweisen können. Complass führt Schritt für Schritt von der Rollenklärung bis zum Nachweis gegenüber der Aufsichtsbehörde.

Kostenlos testen Demo anfragen
Standbild aus dem Kurzfilm „Compliance-Management in 20 Sekunden“
Compliance-Management in 20 Sekunden Projekt, nächster Schritt, Checkliste, Erklärung zur Anwendbarkeit, Audit-Paket. Beispieldaten der Demo-Firma.

Dieses Regelwerk gibt es mit festem Umfang auch einzeln: auch als Einzelpaket

Was ist DSGVO?

Die DSGVO ist die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Sie gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten und verlangt unter anderem eine Rechtsgrundlage für jede Verarbeitung, transparente Information, die Erfüllung der Betroffenenrechte, angemessene Sicherheit und die Meldung von Datenpannen.

Stand der Inhalte:

Bin ich betroffen?

Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig von Größe und Branche: Daten von Beschäftigten, Bewerbern, Kunden, Ansprechpartnern und Website-Besuchern. Erfasst sind Verarbeitungen im Rahmen einer Niederlassung in der EU und Angebote an Personen in der EU von außerhalb.

Viele Pflichten treffen auch Auftragsverarbeiter, also Dienstleister, die Daten im Auftrag verarbeiten. Ob ein Datenschutzbeauftragter benannt werden muss, hängt von der Tätigkeit und vom nationalen Recht ab.

Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.

Rechtsgrundlagen

  • Art. 2 DSGVOArtikel 2 DSGVO Sachlicher Anwendungsbereich(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. (2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten - a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des …Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung mit BerichtigungenOriginal öffnen (EUR-Lex – konsolidierte Fassung mit Berichtigungen) ↗Sachlicher Anwendungsbereich
  • Art. 3 DSGVOArtikel 3 DSGVO Räumlicher Anwendungsbereich(1) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet. (2) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union …Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung mit BerichtigungenOriginal öffnen (EUR-Lex – konsolidierte Fassung mit Berichtigungen) ↗Räumlicher Anwendungsbereich
  • Art. 4 DSGVOArtikel 4 DSGVO BegriffsbestimmungenIm Sinne dieser Verordnung bezeichnet der Ausdruck: - 1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer …Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung mit BerichtigungenOriginal öffnen (EUR-Lex – konsolidierte Fassung mit Berichtigungen) ↗Begriffsbestimmungen
  • Art. 24 DSGVOArtikel 24 DSGVO Verantwortung des für die Verarbeitung Verantwortlichen(1) Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung …Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung mit BerichtigungenOriginal öffnen (EUR-Lex – konsolidierte Fassung mit Berichtigungen) ↗Verantwortung des Verantwortlichen
  • Art. 37 DSGVOArtikel 37 DSGVO Benennung eines Datenschutzbeauftragten(1) Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn - a) die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln, - b) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche …Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung mit BerichtigungenOriginal öffnen (EUR-Lex – konsolidierte Fassung mit Berichtigungen) ↗Benennung eines Datenschutzbeauftragten

Wichtige Fristen

  1. Geltungsbeginn der Verordnung in allen Mitgliedstaaten · Art. 99 Abs. 2Artikel 99 DSGVO Inkrafttreten und Anwendung(1) Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. (2) Sie gilt ab dem 25. Mai 2018.Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung mit BerichtigungenOriginal öffnen (EUR-Lex – konsolidierte Fassung mit Berichtigungen) ↗
  2. Ein Monat Antwort auf Anträge betroffener Personen, verlängerbar um zwei Monate bei Komplexität oder Vielzahl der Anträge · Art. 12 DSGVOArtikel 12 DSGVO Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell …Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung mit BerichtigungenOriginal öffnen (EUR-Lex – konsolidierte Fassung mit Berichtigungen) ↗
  3. 72 Stunden Meldung einer Datenpanne an die Aufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden nach Kenntnis · Art. 33 DSGVOArtikel 33 DSGVO Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde(1) Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die …Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung mit BerichtigungenOriginal öffnen (EUR-Lex – konsolidierte Fassung mit Berichtigungen) ↗

Wie Complass hilft

  • 9Phasen
  • 31geführte Schritte
  • 14Dokumentvorlagen
  • 64Anforderungen im Katalog

  • Geführt in neun Phasen

    Rollen und Datenschutzorganisation, Verzeichnis, Rechtsgrundlagen, Betroffenenrechte, Auftragsverarbeitung und Drittland, TOM und Löschkonzept, Folgenabschätzung, Datenpannen sowie Betrieb und Nachweis.

  • Pflichtenkatalog nach Artikeln

    Jede Pflicht von Art. 5 bis Art. 49 mit Anwendbarkeit, Status und Nachweis, dazu ein Katalog der Maßnahmen nach Art. 32, verknüpfbar mit ISO 27001 und NIS2.

  • Vorlagen mit Ausfüllhilfe

    Unter anderem Verzeichnis von Verarbeitungstätigkeiten, Rechtsgrundlagen-Matrix, Informationstexte, Prozess für Betroffenenanfragen, AVV-Prüfliste, Transfer-Prüfung, TOM, Löschkonzept, DSFA und Datenpannen-Register.

  • Verzahnt mit dem ISMS

    Assets, Risiken, Lieferanten und Dokumentenlenkung nutzen Sie gemeinsam für Datenschutz und Informationssicherheit.

Für den laufenden Betrieb: Verzeichnis, Auftragsverarbeitung, TOM, Folgenabschätzung und Betroffenenanfragen führen Sie im Baustein Datenschutz-Betrieb als Register mit Fristen und Exporten. Mehr zum Datenschutz-Betrieb

Die Phasen im Modul

  1. Projektstart, Rollen und Datenschutzorganisation
  2. Bestandsaufnahme und Verzeichnis von Verarbeitungstätigkeiten
  3. Grundsätze, Rechtsgrundlagen und Einwilligung
  4. Transparenz und Betroffenenrechte
  5. Auftragsverarbeitung, gemeinsame Verantwortung und Drittlandübermittlung
  6. Technische und organisatorische Maßnahmen, Privacy by Design und Löschkonzept
  7. Datenschutz-Folgenabschätzung
  8. Datenpannen erkennen, melden und dokumentieren
  9. Betrieb, Kontrolle und Nachweis gegenüber der Aufsichtsbehörde

Katalog: Pflichten nach der DSGVO

Passende Bausteine

Datenschutz-Betrieb

Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitung, TOM, Datenschutz-Folgenabschätzung und Betroffenenanfragen mit Monatsfrist in einem Register.

Mehr erfahren

Lieferantenmanagement

Lieferanten einstufen, Selbstauskunft und Nachweise direkt beim Lieferanten anfordern, prüfen und nachfordern. Mit Fragebögen für NIS2, DSGVO, ISO 27001, CRA und IEC 62443-2-4.

Mehr erfahren

Incident-Management

Vorfälle erfassen, Meldepflicht nach NIS2, CRA und DSGVO prüfen und die Meldefristen mit Countdown verfolgen.

Mehr erfahren

DSGVO in Complass

Die DSGVO ist als Basisschutz in jedem Complass-Plan enthalten. Mit einem größeren Paket kommen weitere Bausteine dazu.

Gut zu wissen: Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt Sie bei Umsetzung und Nachweis, ersetzt aber keine Rechtsberatung. Rechtliche Hinweise

Häufige Fragen

Ersetzt Complass einen Datenschutzbeauftragten?

Nein. Complass strukturiert die Umsetzung und den Nachweis; Beratung und Überwachung bleiben Aufgabe des Datenschutzbeauftragten, wo einer benannt ist. Die Inhalte ersetzen keine Rechtsberatung.

Meldet Complass Datenpannen an die Aufsichtsbehörde?

Nein. Complass hilft bei Bewertung, Inhalt und Dokumentation der Meldung; die Meldung geben Sie über den Meldeweg Ihrer Aufsichtsbehörde ab.

Gilt das Modul auch außerhalb Deutschlands?

Ja. Die Inhalte folgen der Verordnung, die in allen Mitgliedstaaten gilt. Deutsche Besonderheiten aus dem BDSG sind als nationale Hinweise gekennzeichnet; nationale Regeln anderer Mitgliedstaaten prüfen Sie selbst.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.

Kostenlos testen Demo anfragen