GDPR, SOC2 und die B2B-SaaS-Checkliste, die die Beschaffung entriegelt

Wenn ein Käufer fragt „seid ihr GDPR-konform?“, stellt er keine Ja-oder-Nein-Frage. Er fragt, ob Ihr Unternehmen die zehn Dokumente, vier Register und ein Audit-Log produzieren kann, das sein Beschaffungsbeauftragter dem Vertrag beilegen muss. Die Checkliste unten ist die, die wir einer B2B-Interessentin aushändigen, wenn sie verifizieren will.

Die zehn Dokumente

Das ist keine Rechtsmeinung, aber sie bildet die typische EU-B2B-Beschaffungs-Checkliste auf die Engineering- und Policy-Arbeit ab, die hinter jedem Punkt steht:

1. Ein unterschriebener Datenverarbeitungsvertrag (DPA). Gegenzeugungsfähige Vorlage auf Anfrage. Spiegelt GDPR Art. 28 wider.
2. Ein Verzeichnis von Verarbeitungstätigkeiten. Internes ROPA, das Zwecke, Datenkategorien, Empfänger, Aufbewahrung und Rechtsbasis auflistet.
3. Eine Unterauftragsverarbeiter-Liste. Jeder Vendor, der Käuferdaten berührt, mit Namen und einem Änderungs-Benachrichtigungsprozess.
4. Eine Transfer-Folgenabschätzung (TIA). Für alle Daten, die den EWR verlassen – selbst ein US-SaaS-Vendor mit einem Unterauftragsverarbeiter an der Westküste.
5. Ein Verletzungs-Meldevorgang. 72-Stunden-Frist an die Aufsichtsbehörde; ohne-unnötige-Verzögerung-Frist an die Betroffenen bei Hochrisiko-Verletzungen.
6. Ein Betroffenenrechte-Prozess. DSAR-Aufnahme, Identitätsverifikation, Antwort-SLA (30 Tage) und die Engineering-Arbeit, um eine Löschungs- oder Exportanfrage zu erfüllen.
7. Ein Aufbewahrungszeitplan. Was wir behalten, wie lange, wie es gelöscht wird und welches System die Löschung besitzt.
8. Eine Cookie- und Tracking-Richtlinie. Was auf der Marketing-Site, der Produkt-App, dem Admin-Dashboard läuft und warum jedes Cookie existiert.
9. Ein Security-Overview-Dokument. Verschlüsselung in Transit, Verschlüsselung in Ruhe, Schlüsselmanagement, Zugriffskontrolle, Incident-Response.
10. Eine Verfügbarkeits-Posture. Uptime-Zusagen, was ausgeschlossen ist (ein faires SLA) und die Disaster-Recovery-Story.

Die Engineering-Arbeit hinter jedem Punkt

Eine Käuferin, die die zehn Dokumente liest, wird dann das Engineering-Team bitten, sie durch die Implementierung zu führen. Die nicht-offensichtlichen Punkte, geordnet danach, wie oft sie tatsächlich auftauchen:

Erfüllung von Betroffenenrechten (DSAR)

Die Käuferin will Ihre Löschungs- und Export-Endpunkte sehen, audit-protokolliert, mit erzwungener Identitätsverifikation. Die Engineering-Arbeit:

• Ein DELETE /api/users/{id}, das das Konto storniert, personenbezogene Daten bereinigt und einen Audit-Log-Eintrag ohne die personenbezogenen Daten selbst behält.
• Ein GET /api/users/{id}/export, das ein maschinenlesbares Archiv jeder Entität zurückgibt, die die Nutzerin referenzierte.
• Identitätsverifikation auf beiden – bcrypt timing-ausgeglichen, selbst wenn die E-Mail nicht existiert (damit die Antwortzeit die Nutzeraufzählung nicht leckt).

Unterauftragsverarbeiter-Management

Die Käuferin will eine Liste und einen Änderungs-Benachrichtigungsprozess. Engineering-Arbeit:

• Eine versionierte Unterauftragsverarbeiter-Liste in der Dokumentation, mit einem RSS-Feed oder Webhook für Änderungen.
• Ein Code-Pfad, der Abhängigkeiten ablehnt, die Daten außerhalb der dokumentierten Liste senden (ein CI-Check oder eine Runtime-Allowlist).

EU-Residenz für Inference und Speicherung

Viele B2B-Käuferinnen kaufen keine SaaS, deren primäre Datenbank in den USA sitzt. Die Engineering-Arbeit:

• Die MongoDB-Region auf die EU pinnen (eu-west-1 oder ähnlich).
• Jeden Drittanbieter-Inference-Provider auf einen EU-Endpunkt pinnen und das im DPA ausweisen.
• Datenresidenz im Security-Overview dokumentieren.

Aufbewahrungsdurchsetzung

Die meisten Startups können eine Aufbewahrungsrichtlinie vorlegen. Die härtere Frage ist „wird sie durchgesetzt?“ Engineering-Arbeit:

• Ein geplanter Job, der nach Datensätzen sucht, die ihre Aufbewahrungsfrist überschritten haben, und sie löscht.
• Ein Log des Jobs, auf Anfrage der Käuferin einsehbar.
• Ein expliziter Test, dass der Job läuft (nicht bloß eine CI-Assertion, dass er kompiliert).

Audit-Logging

Fast jeder Security-Fragebogen fragt danach. Engineering-Arbeit:

• Eine zentrale Audit-Log-Entität, nur-anhängend, gespeist von einem Interceptor oder Middleware.
• Aufbewahrung: länger, als die Käuferin erwartet (Default 90 Tage, konfigurierbar nach oben). Nie kürzer.

Zugriffskontrolle im Admin-Dashboard

Käuferinnen wollen wissen, wer in Ihrem Unternehmen ihre Daten sehen kann. Engineering-Arbeit:

• Eine dokumentierte Zugriffsrichtlinie, die die Rollen, die Menschen in jeder Rolle und den Audit-Trail des Zugriffs benennt.
• Eine kurze TTL auf Produktionszugriff (wir nutzen eine 4-Stunden-TTL, on demand mit einem Begründungskommentar ausgestellt).

Die Falle: SOC 2 als Zielort vs. kontinuierliche Praxis

Der Fehler, den die meisten frühen B2B-SaaS-Unternehmen machen, ist, SOC 2 als Ziellinie zu behandeln. Ist er nicht. SOC-2-Audits sind zeitpunktabhängig; die Käuferin wird Ihre kontinuierliche Kontroll-Posture lesen, nicht nur den letzten Audit-Bericht. Engineering-Arbeit, die das kontinuierlich macht:

• Der Aufbewahrungs-Scheduler läuft in der CI als Verifizierungs-Job (liefert die Query nicht-veraltete Ergebnisse?).
• Die Audit-Log-Schreibvorgänge speisen ein Dashboard, das jemand tatsächlich beobachtet.
• Die Unterauftragsverarbeiter-Liste wird aus dem Abhängigkeits-Lockfile bei jedem Release automatisch regeneriert.

Eine Käuferin liest diese Signale direkt. Sie wird fragen: „zeigen Sie mir das Dashboard.“ Haben Sie das Dashboard.

Was die Käuferin tatsächlich interessiert

Nach unserer Erfahrung über fünf B2B-Beschaffungszyklen interessieren die Käuferinnen drei Dinge in dieser Reihenfolge:

• Sichtbarkeit. „Wenn sich etwas ändert, kann ich das sehen?“ (Unterauftragsverarbeiter-Änderungen, Verletzungs-Meldungen, Policy-Updates).
• Umkehrbarkeit. „Wenn ich gehe, bekomme ich meine Daten und können Sie sie löschen?“ (Datenexport, Datenlöschung, Aufbewahrungszeitplan).
• Verhältnismäßigkeit. „Ist die Security-Posture verhältnismäßig zu den Daten, die wir Ihnen anvertrauen?“ (Verschlüsselung, Zugriffskontrolle, Audit-Log).

Alles in der Checkliste oben, das nicht einem dieser drei dient, ist Dekoration. Streichen Sie es.