DSGVO, SOC2 und die B2B-SaaS-Checkliste, die den Einkauf freigibt

Wenn ein Käufer fragt: „Sind Sie DSGVO-konform?“, stellt er keine Ja/Nein-Frage. Er fragt, ob Ihr Unternehmen die zehn Dokumente, vier Register und ein Audit-Log vorlegen kann, die sein Einkaufsleiter dem Vertrag beifügen muss. Die untenstehende Checkliste ist diejenige, die wir einem B2B-Interessenten übergeben, wenn er eine Verifizierung wünscht.

Die zehn Dokumente

Dies ist keine Rechtsberatung, aber sie ordnet die typische EU-B2B-Einkaufscheckliste der technischen und regulatorischen Arbeit zu, die hinter jedem Punkt steht:

1. Eine unterzeichnete Auftragsverarbeitungsvereinbarung (AVV). Gegen Vorlage eine vorlagebasierte Version. Entspricht DSGVO Art. 28.
2. Ein Verzeichnis der Verarbeitungstätigkeiten (VVT). Internes ROPA, das Zwecke, Datenkategorien, Empfänger, Aufbewahrungsfristen und die Rechtsgrundlage auflistet.
3. Eine Liste der Unterauftragsverarbeiter. Jeder Anbieter, der Zugriff auf Käuferdaten hat, mit Namen und einem Prozess zur Benachrichtigung bei Änderungen.
4. Eine Datenschutz-Folgenabschätzung (TIA). Für alle Daten, die die EU verlassen — selbst für einen US-SaaS-Anbieter mit einem Unterauftragsverarbeiter an der Westküste.
5. Ein Prozess zur Meldung von Datenschutzverletzungen. 72-Stunden-Frist an die Aufsichtsbehörde; unverzügliche Frist an die betroffenen Personen bei Verletzungen mit hohem Risiko.
6. Ein Prozess zur Wahrung der Betroffenenrechte. DSAR-Annahme, Identitätsprüfung, Antwort-SLA (30 Tage) und die technische Umsetzung zur Erfüllung von Lösch- oder Exportanfragen.
7. Ein Aufbewahrungsplan. Was wir aufbewahren, wie lange, wie es gelöscht wird und welches System für die Löschung verantwortlich ist.
8. Eine Cookie- und Tracking-Richtlinie. Was auf der Marketing-Website, der Produkt-App, dem Admin-Dashboard läuft und warum jedes Cookie existiert.
9. Ein Sicherheitsüberblick-Dokument. Verschlüsselung bei der Übertragung (in transit), Verschlüsselung im Ruhezustand (at rest), Schlüsselmanagement, Zugriffskontrolle, Incident Response.
10. Eine Verfügbarkeitsgarantie. Uptime-Zusagen, was ausgeschlossen ist (ein faires SLA) und das Disaster-Recovery-Konzept.

Die technische Arbeit hinter jedem Punkt

Ein Käufer, der die zehn Dokumente gelesen hat, wird das Engineering-Team bitten, ihn durch die Implementierung zu führen. Die nicht offensichtlichen Punkte, sortiert nach ihrer Häufigkeit:

Erfüllung von Betroffenenanfragen (DSAR)

Der Käufer möchte Ihre Lösch- und Export-Endpoints sehen, protokolliert im Audit-Log und mit erzwungener Identitätsprüfung. Die technische Arbeit:

• Ein DELETE /api/users/{id}, der das Konto kündigt, personenbezogene Daten bereinigt und einen Audit-Log-Eintrag ohne die personenbezogenen Daten selbst erstellt.
• Ein GET /api/users/{id}/export, der ein maschinenlesbares Archiv aller Entitäten zurückgibt, die auf den Benutzer verwiesen haben.
• Identitätsprüfung bei beiden — bcrypt-Timing-Angleichung, selbst wenn die E-Mail-Adresse nicht existiert (damit die Antwortzeit keine Rückschlüsse auf die Benutzerenumeration zulässt).

Management von Unterauftragsverarbeitern

Der Käufer möchte eine Liste und einen Prozess zur Benachrichtigung bei Änderungen. Technische Arbeit:

• Eine versionierte Liste der Unterauftragsverarbeiter in der Dokumentation, mit einem RSS-Feed oder Webhook für Änderungen.
• Ein Code-Pfad, der Abhängigkeiten ablehnt, die Daten außerhalb der dokumentierten Liste senden (ein CI-Check oder eine Runtime-Allowlist).

EU-Residenz für Inferenz und Speicherung

Viele B2B-Käufer werden keine SaaS kaufen, deren primäre Datenbank in den USA steht. Die technische Arbeit:

• Fixierung der MongoDB-Region auf die EU (eu-west-1 oder ähnlich).
• Fixierung jedes Drittanbieter-Inferenz-Anbieters auf einen EU-Endpoint und Darstellung davon in der AVV.
• Dokumentation der Datenresidenz im Sicherheitsüberblick.

Durchsetzung der Aufbewahrungsfristen

Die meisten Startups können eine Aufbewahrungsrichtlinie erstellen. Die schwierigere Frage ist: „Wird sie durchgesetzt?“ Technische Arbeit:

• Ein geplanter Job (Scheduled Job), der nach Datensätzen sucht, deren Aufbewahrungsfrist abgelaufen ist, und diese löscht.
• Ein Protokoll des Jobs, das dem Käufer auf Anfrage zugänglich ist.
• Ein expliziter Test, dass der Job läuft (nicht nur eine CI-Assertion, dass er kompiliert).

Audit-Logging

Fast jeder Sicherheitsfragebogen verlangt danach. Technische Arbeit:

• Eine zentrale Audit-Log-Entität, nur beschreibbar (append-only), gespeist durch einen Interceptor oder Middleware.
• Aufbewahrung: länger als der Käufer erwartet (30 Tage Standard, konfigurierbar nach oben). Niemals kürzer.

Zugriffskontrolle im Admin-Dashboard

Käufer wollen wissen, wer in Ihrem Unternehmen ihre Daten sehen kann. Technische Arbeit:

• Eine dokumentierte Zugriffsrichtlinie, die die Rollen, die Personen in jeder Rolle und den Audit-Trail des Zugriffs benennt.

Die Falle: SOC 2 als Ziel vs. kontinuierliche Praxis

Der Fehler, den die meisten B2B-SaaS-Unternehmen in der Frühphase machen, besteht darin, SOC 2 als Endstation zu betrachten. Das ist es nicht. SOC 2 Audits sind Momentaufnahmen; der Käufer wird Ihre kontinuierliche Kontrolllage lesen, nicht nur den neuesten Audit-Bericht. Technische Arbeit, die dies kontinuierlich macht:

• Der Aufbewahrungs-Scheduler läuft in der CI als Verifizierungsjob (liefert die Abfrage aktuelle Ergebnisse?).
• Die Audit-Log-Schreibvorgänge speisen ein Dashboard, das tatsächlich jemand überwacht.
• Die Liste der Unterauftragsverarbeiter wird bei jedem Release automatisch aus der Dependency-Lockfile regeneriert.

Ein Käufer liest diese Signale direkt. Er wird fragen: „Zeig mir das Dashboard.“ Haben Sie das Dashboard bereit.

Was dem Käufer wirklich wichtig ist

In unserer Erfahrung aus fünf B2B-Beschaffungszyklen sind dem Käufer drei Dinge in dieser Reihenfolge wichtig:

• Transparenz. „Wenn sich etwas ändert, kann ich es sehen?“ (Änderungen bei Unterauftragsverarbeitern, Benachrichtigungen über Sicherheitsverletzungen, Richtlinien-Updates).

• Umkehrbarkeit. „Wenn ich gehe, kann ich meine Daten erhalten und können Sie sie löschen?“ (Datenexport, Datenlöschung, Aufbewahrungsplan).

• Proportionalität. „Ist das Sicherheitsniveau proportional zu den Daten, die wir Ihnen anvertrauen?“ (Verschlüsselung, Zugriffskontrolle, Audit-Log).

Alles in der obigen Checkliste, das nicht einem dieser drei Punkte dient, ist Dekoration. Streichen Sie es.