DSGVO für Startups in Zypern: eine praktische Unternehmenscheckliste

Beginnen Sie mit den tatsächlichen Datenflüssen

Listen Sie Tätigkeiten mit identifizierbaren Personen auf: Anfragen, Kundenkonten, Rechnungsstellung, Einstellung, Lohnabrechnung, Unterstützung, Marketing und Websitemessung. Erfassen Sie auch Geschäftskontaktdaten bei Unternehmenskunden. Die E-Mail-Adresse eines benannten Mitarbeiters oder Supporthistorie eines identifizierbaren Nutzers kann personenbezogen sein. B2B-Verkauf beseitigt die Prüfung der in Unterlagen auftauchenden Menschen nicht.

Verfolgen Sie einen Beispielvorgang von Erhebung bis Löschung. Bei einer Anfrage bestimmen Sie Websiteformular, E-Mail-Zustellung, CRM, Beraterzugriff und späteres Archiv. Bei Lohnabrechnung bestimmen Sie Personalunterlagen, Lohnanbieter, Zahlungsweg und gesetzliche Aufzeichnungen. Erfassen Sie Tabellen und gemeinsame Laufwerke außerhalb des Hauptsystems. Diese praktische Übersicht zeigt oft Kopien und Zugriffsrechte, die einer allgemeinen Richtlinie entgehen.

Nutzen Sie den EDSA-Leitfaden für kleine Unternehmen als amtlichen Einstieg. Rechtsrahmen ist die Datenschutz-Grundverordnung. Dieser Artikel organisiert eine Umsetzungsarbeit für Gründer; er zertifiziert keine Konformität und ersetzt nicht die Prüfung konkreter Verarbeitung, Branche und grenzüberschreitender Verhältnisse.

Bestimmen Sie Verantwortlichen- und Auftragsverarbeiterrollen je Tätigkeit

Wer entscheidet, weshalb und wie personenbezogene Daten verarbeitet werden, ist für diese Tätigkeit Verantwortlicher. Ein Anbieter, der personenbezogene Daten im Auftrag und nach Weisung einer Organisation verarbeitet, kann Auftragsverarbeiter sein. Die EDSA-Rollenhinweise erklären dies einschließlich gemeinsam Verantwortlicher und Unterauftragsverarbeiter. Wenden Sie die Begriffe auf Tatsachen an, statt ein Etikett wegen einer Vertragsvorlage zu wählen.

Ein Software-Startup kann für eigenes Personal und Rechnungskontakte verantwortlich sein und zugleich bestimmte Kundenuploads im Auftrag des Kunden verarbeiten. Die Antwort kann je Produktfunktion abweichen. Nutzt das Startup Kundendaten für einen eigenen gesonderten Zweck weiter, braucht diese Entscheidung eine eigene Prüfung. Ein einziges Gesellschaftsetikett löst nicht jeden Produktdatenfluss.

Dokumentieren Sie die Begründung der Rollenverteilung und die damit verbundenen Verantwortlichkeiten. Erfolgt die Verarbeitung im Auftrag eines Kunden, prüfen Sie dessen Weisungen, die Unterstützungspflichten, die Vereinbarungen mit Unterauftragsverarbeitern und die zugesagten Sicherheitsmaßnahmen. Ist die Gesellschaft selbst Verantwortlicher, muss sie die Zwecke, die Rechtsgrundlagen und die maßgeblichen Offenlegungen erklären können. Der Leitfaden für Software- und SaaS-Gesellschaften behandelt die übergeordnete Unternehmensstruktur; die Analyse der datenschutzrechtlichen Rollen bleibt auf die konkrete Dienstleistung und deren Betrieb bezogen.

Wählen Sie Rechtsgrundlagen und erheben Sie nur Notwendiges

Prüfen Sie für jeden Verarbeitungszweck die passende Grundlage nach Artikel 6. Vertragserforderlichkeit, Rechtspflichten, berechtigte Interessen und Einwilligung sind verschiedene Grundlagen mit eigenen Bedingungen. Fragen Sie nicht nach „Einwilligung in die DSGVO“ statt Zweck und Grundlage zu bestimmen. Einwilligung löst nicht allgemein Personalunterlagen, gesetzliche Buchhaltung oder jede für eine Leistung nötige Handlung.

Bei berechtigten Interessen beurteilen und dokumentieren Sie Zweck, Notwendigkeit und Abwägung mit individuellen Rechten und Interessen. Bei Einwilligung gestalten Sie echte Wahl und funktionierenden Widerruf. Besondere Datenkategorien und Daten zu Straftaten verlangen zusätzliche Analyse über Artikel 6 hinaus. Erheben Sie sensible Daten nicht bloß wegen eines bequemen Vorlagenfelds.

Prüfen Sie jedes Formularfeld gegen den Zweck. Braucht eine erste Anfrage Name und E-Mail, fragen Sie, ob bereits ein Passscan nötig ist. Spätere regulierte Aufnahme kann andere Pflichten und einen eigenen sicheren Prozess haben. Der Leitfaden zu Mittelherkunft und KYC behandelt Belegvorbereitung und rechtfertigt nicht jedes denkbare Dokument von jedem Websitebesucher.

Schreiben Sie Hinweise passend zur tatsächlichen Tätigkeit

Artikel 13 und 14 DSGVO legen Informationspflichten abhängig von der Datenbeschaffung fest. Erstellen Sie Hinweise aus der Übersicht statt durch Kopieren einer fremden Website. Nennen Sie richtige Gesellschaft, Zwecke, Grundlagen, Empfänger, relevante Übermittlungen, Aufbewahrung und Rechte sowie weitere Pflichtangaben. Machen Sie Informationen zur passenden Erhebungsphase zugänglich.

Verschiedene Zielgruppen können verschiedene Erklärungen benötigen. Hinweise für Kundenanfragen, Mitarbeiter und Produktnutzer können einheitlich gestaltet sein und trotzdem unterschiedliche Tätigkeiten beschreiben. Versprechen Sie keine fehlende Weitergabe, wenn Hosting-, Lohn- oder Supportanbieter Daten erhalten. Versprechen Sie keine sofortige Löschung sämtlicher Unterlagen, wenn gesetzliche Aufbewahrung bestimmte Informationen verlangt.

Prüfen Sie Cookies und ähnliche Techniken neben der DSGVO sachlich und rechtlich gesondert. Erfassen Sie tatsächliche Website-Ladevorgänge und beurteilen Sie elektronische Kommunikationsregeln und Einwilligungspflichten. Ein Banner „Datenschutz ist uns wichtig“ beweist keine Beachtung der Nutzerwahl durch Skripte. Testen Sie Erhebung und Widerruf, halten Sie Texte korrekt und entfernen Sie unnötige Werkzeuge.

Richten Sie Anbietervereinbarungen und Übermittlungsregelungen ein

Artikel 28 verlangt für Auftragsverarbeiter eine passende bindende Vereinbarung zu bestimmten Inhalten. Prüfen Sie tatsächliche Bedingungen, Weisungen, Vertraulichkeit, Sicherheit, Unterstützung, Löschung oder Rückgabe und Unterauftragsverarbeiter. Werbliche Compliance-Aussagen ersetzen keinen passenden Vertrag. Bewahren Sie akzeptierte Bedingungen mit Versionsdatum auf statt nur einer veränderlichen Webseite ohne lokale Kopie.

Bestimmen Sie Verarbeitungs- und Zugriffsorte einschließlich Support und Unterauftragsverarbeiter. Rechnungsadresse oder „EU-Hosting“ beschreibt nicht unbedingt jeden Zugriff. Bei Übermittlungen außerhalb des EWR prüfen Sie Mechanismus nach Kapitel V und nötige zusätzliche Bewertung oder Schutzmaßnahmen. Eine gewöhnliche geschäftliche Vertraulichkeitsklausel allein löst keine internationale Übermittlungspflicht.

Gestalten Sie Anbieterprüfung angemessen zur Tätigkeit. Ein Anbieter mit hochsensiblen Kundenakten braucht andere Aufmerksamkeit als ein Werkzeug mit wenigen Geschäftskontakten. Erfassen Sie Entscheidung, Vertragsschutz und offene Bedingungen. Bei Anbieterwechsel oder neuer Integration prüfen Sie die Datenübersicht vor Produktivzugriff. Dies ist praktische Beschaffungskontrolle und keine erst auf Kundenfragen erledigte Aufgabe.

Setzen Sie Sicherheit, Aufbewahrung und Zugriffskontrollen um

Artikel 32 verlangt risikogerechte Sicherheit. Übersetzen Sie dies in tatsächlich betriebene Kontrollen: namentliche Konten, passende Rechte, starke Authentifizierung, verwaltete Geräte, Updates, Sicherungen und sichere Freigaben. Geeignete Maßnahmen hängen von Daten und Verarbeitung ab. Eine Verschlüsselungsrichtlinie hilft nicht, wenn Mitarbeiter regelmäßig ungeschützte Dateien außerhalb des freigegebenen Ablaufs an Privatkonten senden.

Testen Sie den Zugriffsentzug bei ausscheidenden Mitarbeitern und Auftragnehmern. Benennen Sie Systemverantwortliche und Wiederherstellungswege, damit ein ausscheidender Administrator die Verwaltung nicht unmöglich macht. Beschränken Sie Produktivzugriff auf erforderliche Personen und prüfen Sie privilegierte Rollen. Führen Sie angemessene Änderungsspuren, ohne wahllos zusätzliche personenbezogene Daten zu protokollieren, nur weil ein Werkzeug dies kann.

Bestimmen Sie Aufbewahrung je Kategorie und Zweck unter Berücksichtigung gesetzlicher Pflichten. Definieren Sie Ablauf, Löschung oder eingeschränkte Archivierung auch bei Kopien und Sicherungen. Vermeiden Sie eine einheitliche Frist für alles. Lohnunterlagen, erfolglose Anfragen, Kontodaten und Sicherheitsprotokolle können verschiedene Zwecke und Anforderungen haben. Stimmen Sie Beschäftigungsunterlagen mit dem Leitfaden zu Lohnunterlagen und fachlichem Rat zu geltenden Pflichten ab.

Bereiten Sie Auskunfts-, Berichtigungs- und Löschungsanfragen vor

Weisen Sie einen Kontaktweg zu und schulen Sie das Team, Betroffenenanfragen auch ohne Rechtsbegriffe zu erkennen. Erfassen Sie Eingang, Anliegen und relevante Systeme. Prüfen Sie Identität verhältnismäßig; übermäßige Ausweisanforderungen für jede einfache Anfrage können ein weiteres Datenschutzproblem schaffen. Eskalieren Sie Unklarheit statt unbeantworteter Ablage im allgemeinen Postfach.

Artikel 12 verlangt Antwort ohne unangemessene Verzögerung und gewöhnlich innerhalb eines Monats. Bei vorgesehenen Voraussetzungen sind weitere zwei Monate möglich; die Person muss im ersten Monat über Verlängerung und Gründe informiert werden. Machen Sie daraus keine allgemeine 30-Tage-Regel und nehmen Sie nicht bei jeder schwierigen Anfrage Verzögerungserlaubnis an. Prüfen Sie Rechte, Ausnahmen und Umstände mit begründeter Dokumentation.

Löschung ist nicht immer bedingungslos. Bestimmte Informationen können für Rechtspflichten oder andere Ausnahmen zu behalten sein, während sachfremde Nutzungen enden. Erklären Sie die Entscheidung korrekt. Bei Kontolöschungswunsch prüfen Sie verbundene Dienste und Auftragsverarbeiter, statt das Konto nur in der Oberfläche auszublenden. Bewahren Sie genügend Nachweis der Antwort, ohne unnötige Kopien alles Gelöschten zu behalten.

Planen Sie Reaktionen auf Datenschutzverletzungen vor dem ersten Vorfall

Eine Verletzung kann Vertraulichkeit, Integrität oder Verfügbarkeit betreffen und ist nicht auf öffentlich sichtbare Datenbanken begrenzt. Falsch adressierter Anhang, verlorenes Gerät oder unzugängliche Unterlagen können Prüfung erfordern. Der EDSA-Leitfaden zu Datenschutzverletzungen erklärt Meldepflichten des Verantwortlichen und unverzügliche Information des Verantwortlichen durch den Auftragsverarbeiter. Richten Sie interne Eskalation auch außerhalb gewöhnlicher Gründerarbeitszeiten ein.

Artikel 33 verlangt Meldung an die zuständige Aufsicht ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden, außer wenn voraussichtlich kein Risiko für Rechte und Freiheiten entsteht. Verspätete Meldungen benötigen Gründe. Artikel 34 behandelt gesondert Betroffenenkommunikation bei hohem Risiko unter seinen Bedingungen und Ausnahmen. Nicht jeder technische Vorfall hat dieselbe Meldefolge.

Dokumentieren Sie Tatsachen, Bekanntwerdezeit, Daten, wahrscheinliche Folgen, Eindämmung und Meldeprüfung. Warten Sie bei zeitkritischer Pflichtprüfung nicht auf einen perfekten Forensikbericht. Sichern Sie nützliche Belege und koordinieren Sie Technik, Recht und Leitung. Auch Entscheidungen gegen eine Meldung gehören begründet ins Vorfallsprotokoll. Testen Sie realistisch, damit nicht erst beim echten Vorfall die Kontaktliste gesucht wird.

Prüfen Sie Verzeichnisse, Datenschutzbeauftragten und hohe Risiken

Wenige Beschäftigte schaffen keine allgemeine DSGVO-Ausnahme. Die Artikel-30-Ausnahme für Organisationen unter 250 Mitarbeitern hat wichtige Bedingungen, etwa nicht nur gelegentliche Verarbeitung, relevantes Risiko und bestimmte Datenkategorien. Regelmäßige Kunden- oder Personalverarbeitung darf nicht allein wegen Startup-Status abgetan werden. Führen Sie eine nützliche Verarbeitungsübersicht und prüfen Sie konkrete gesetzliche Verzeichnispflichten.

Nicht jede zyprische Gesellschaft benötigt automatisch einen Datenschutzbeauftragten. Artikel 37 nennt unter anderem relevante Verarbeitung öffentlicher Stellen und bestimmte Kerntätigkeiten mit umfangreicher Überwachung oder umfangreicher Verarbeitung bestimmter sensibler Daten. Prüfen Sie Tätigkeiten, Unabhängigkeit und Interessenkonflikte. Den Gründer ohne Rollen- und Konfliktprüfung „DPO“ zu nennen ersetzt diese Beurteilung nicht.

Bei voraussichtlich hohem Risiko prüfen Sie vor Umsetzung eine Datenschutz-Folgenabschätzung nach Artikel 35. Sorgfältig zu bewertende Beispiele sind umfassende Überwachung, sensible Informationen oder neue Verarbeitung mit erheblichen Personenwirkungen. Eine gewöhnliche Risikocheckliste ist nicht automatisch eine fertige DSFA. Holen Sie qualifizierte Mitwirkung ein und beachten Sie einschlägige Hinweise und Listen der zuständigen Behörde.

Führen Sie eine praktische Startup-Umsetzungsprüfung durch

Ein beispielhaftes Startup besitzt Anfrageformular, gehostetes Produkt, zwei Mitarbeiter und externen Buchhalter. Die erste Prüfung kartiert jeden Fluss und trennt Produktverarbeitung von eigenen Personal- und Vertriebsdaten. Danach stimmt sie Hinweise, Verträge und Rechte darauf ab. Dies ist eine Planungsübung und keine Feststellung identischer Pflichten für alle Unternehmen dieses Profils.

• Verantwortlichen für Datenübersicht und offene Fragen benennen.
• Zwecke, Grundlagen, nötige Felder und zielgruppengerechte Hinweise prüfen.
• Auftragsverarbeiter, Übermittlungen, Rollen und tatsächliche Sicherheitseinstellungen prüfen.
• Von Mitarbeitenden ausführbare Aufbewahrungs- und Anfrageverfahren festlegen.
• Eskalation vorbereiten und DPO-, Verzeichnis- und DSFA-Anforderungen prüfen.
• Entscheidungsnachweise bewahren und Änderungen vor neuer Verarbeitung prüfen.

Nehmen Sie Zuständigkeiten mit Verantwortlichen und nächsten Schritten in die Übergabe nach Gründung auf. Prüfen Sie Datenschutz bei Einstellung, Anbieterwechsel und neuen Funktionen, nicht nur beim Websiteupdate. Das hilfreiche Ergebnis ist ein zum Geschäft passender Betriebsprozess mit richtigen Dokumenten und klarem Weg zur Fachprüfung bei entsprechenden Tatsachen.