DSGVO einfach erklärt: 10 Regeln für Ihre Daten

Die DSGVO regelt den Schutz persönlicher Daten in der Europäischen Union. Sie betrifft Unternehmen, Behörden, Vereine und viele andere Organisationen.

Die Regeln gelten immer dann, wenn eine Organisation personenbezogene Daten verarbeitet. Das kann bereits bei einer einfachen Kontaktliste der Fall sein. Auch Kundendatenbanken, Personalakten, Formulare und interne Anwendungen fallen oft darunter.

Organisationen müssen wissen, welche Daten sie speichern. Sie müssen auch den Zweck und die Rechtsgrundlage kennen. Zudem brauchen sie Regeln für Zugriffe, Sicherheit und Löschung.

Die Wahl der richtigen Datenbank ist deshalb wichtig. Eine moderne Plattform sollte den Schutz persönlicher Daten unterstützen. Dazu gehören sichere Zugriffe, klare Rollen und gut geregelte Datenflüsse.

Baserow ist dafür ein starker europäischer Kandidat. Die Open-Source-No-Code-Plattform verbindet Datenbanken, Anwendungen und automatische Abläufe. Organisationen können Baserow in der Cloud oder auf ihrer eigenen Infrastruktur betreiben.

Wichtig bleibt: Kein Tool macht eine Organisation automatisch DSGVO-konform. Die Technik ist nur ein Teil der Lösung. Ebenso wichtig sind klare Prozesse, geschulte Mitarbeiter und eine passende Rechtsgrundlage.

Dieser Beitrag bietet eine einfache DSGVO-Zusammenfassung. Er erklärt zehn wichtige Regeln für Unternehmen und Behörden. Außerdem zeigt er, worauf Sie bei einer Datenbank achten sollten.

Kurz gesagt: Die DSGVO verlangt einen rechtmäßigen, sicheren und transparenten Umgang mit personenbezogenen Daten. Organisationen müssen ihre Entscheidungen dokumentieren und die Rechte betroffener Personen schützen.

Dieser Artikel dient nur der allgemeinen Information. Er ersetzt keine rechtliche Beratung.

Die DSGVO in 60 Sekunden

Die wichtigsten Antworten lassen sich kurz zusammenfassen:

• DSGVO steht für Datenschutz-Grundverordnung.
• GDPR ist die englische Abkürzung derselben Verordnung.
• Die DSGVO gilt seit dem 25. Mai 2018.
• Sie schützt Daten, die sich einer Person zuordnen lassen.
• Jede Verarbeitung braucht einen klaren Zweck.
• Für jeden Zweck ist eine Rechtsgrundlage nötig.
• Organisationen dürfen nur notwendige Daten erheben.
• Zugriffe müssen auf die richtigen Personen begrenzt sein.
• Daten dürfen nicht länger als nötig gespeichert werden.
• Betroffene Personen können Auskunft, Berichtigung oder Löschung verlangen.
• Unternehmen und Behörden müssen ihre Maßnahmen belegen können.
• Eine sichere Datenbank unterstützt die Umsetzung. Sie ersetzt aber keine rechtliche Prüfung.

1. Was bedeutet DSGVO?

DSGVO ist die Abkürzung für Datenschutz-Grundverordnung. Auf Englisch heißt sie General Data Protection Regulation. Die englische Abkürzung lautet GDPR.

DSGVO und GDPR bezeichnen also dieselbe Verordnung.

Der offizielle Name lautet Verordnung (EU) 2016/679. Sie trat im Mai 2016 in Kraft. Seit dem 25. Mai 2018 gilt sie in der Europäischen Union.

Den vollständigen DSGVO-Text finden Sie bei EUR-Lex. Dort stehen alle 99 Artikel und die ergänzenden Erwägungsgründe.

Was ist das Ziel der DSGVO?

Die DSGVO soll persönliche Daten schützen. Menschen sollen wissen, wer ihre Daten nutzt und warum.

Zudem sollen sie mehr Kontrolle über ihre Informationen erhalten. Dazu gehören Rechte auf Auskunft, Berichtigung und Löschung.

Die Verordnung schafft auch gemeinsame Regeln für den europäischen Markt. Unternehmen und Behörden müssen sich dadurch an einen einheitlichen Rahmen halten.

In Deutschland ergänzt das Bundesdatenschutzgesetz die DSGVO. Behörden müssen oft auch besondere Regeln beachten. Diese Regeln können vom Bund oder von einem Bundesland kommen.

Warum ist die DSGVO für Datenbanken wichtig?

Datenbanken speichern oft große Mengen an Informationen. Viele davon lassen sich einzelnen Personen zuordnen.

Ein CRM enthält zum Beispiel Namen, E-Mail-Adressen und Gesprächsnotizen. Eine Personalverwaltung speichert Vertragsdaten und Gehälter. Eine Behörde verarbeitet vielleicht Anträge, Aktenzeichen und Kontaktdaten.

Sobald sich Daten auf eine Person beziehen, wird die DSGVO wichtig. Daher sollten Datenschutz und Datensicherheit schon bei der Planung einer Datenbank beachtet werden.

2. Für wen gilt die DSGVO?

Die DSGVO gilt für Unternehmen und Organisationen in der Europäischen Union. Dabei spielt die Größe der Organisation nicht die wichtigste Rolle.

Auch kleine Unternehmen können betroffen sein. Das gilt selbst dann, wenn sie nur wenige Kundendaten speichern.

Typische betroffene Organisationen sind:

• Unternehmen und Selbstständige
• Behörden und öffentliche Einrichtungen
• Schulen, Hochschulen und Forschungseinrichtungen
• Krankenhäuser und andere Einrichtungen im Gesundheitswesen
• Vereine, Verbände und Stiftungen
• Arbeitgeber und Personalabteilungen
• Onlineshops und Plattformbetreiber
• Anbieter von Cloud- und Softwarediensten

Gilt die DSGVO auch außerhalb der EU?

Unter bestimmten Bedingungen gilt die DSGVO auch für Organisationen außerhalb der EU.

Das ist zum Beispiel der Fall, wenn sie Angebote an Menschen in der EU richten. Auch die gezielte Beobachtung des Verhaltens dieser Menschen kann unter die DSGVO fallen.

Ein Unternehmen muss also nicht zwingend einen Sitz in der EU haben. Wichtig ist auch, an wen sich das Angebot richtet und welche Daten das Unternehmen nutzt.

Gilt die DSGVO für Behörden?

Ja. Behörden und andere öffentliche Stellen müssen die DSGVO ebenfalls beachten.

Ihre Rechtsgrundlagen unterscheiden sich aber oft von denen privater Unternehmen. Eine Behörde verarbeitet Daten häufig auf Basis eines Gesetzes oder einer öffentlichen Aufgabe.

Öffentliche Stellen müssen in der Regel einen Datenschutzbeauftragten benennen. Zudem können besondere nationale Regeln gelten.

Für Behörden ist die Wahl der IT-Systeme besonders wichtig. Sie verarbeiten oft sensible Daten. Gleichzeitig müssen sie hohe Anforderungen an Sicherheit, Kontrolle und Nachvollziehbarkeit erfüllen.

Die Europäische Kommission stellt weitere Informationen über Datenschutz in öffentlichen Verwaltungen bereit.

Welche Folgen können Verstöße haben?

Verstöße gegen die DSGVO können Beschwerden, Prüfungen und Anordnungen auslösen. In schweren Fällen sind auch hohe Bußgelder möglich.

Weitere Folgen können ebenfalls schwer wiegen:

• Verlust des Vertrauens
• Unterbrechungen wichtiger Prozesse
• Kosten für rechtliche Beratung
• Aufwand für die Meldung einer Datenpanne
• Schaden für den Ruf der Organisation

Datenschutz sollte daher nicht als einmaliges Projekt gelten. Er ist eine laufende Aufgabe.

3. Was sind personenbezogene Daten?

Personenbezogene Daten sind Informationen über eine bestimmte oder bestimmbare Person.

Einige Beispiele sind leicht zu erkennen:

• Vor- und Nachname
• private oder geschäftliche E-Mail-Adresse
• Telefonnummer
• Wohnanschrift
• Geburtsdatum
• Personalnummer
• Kundennummer

Andere Daten wirken auf den ersten Blick weniger persönlich. Trotzdem können auch sie unter die DSGVO fallen:

• IP-Adresse
• Standortdaten
• Gerätekennung
• Online-Kennung
• Nutzerverhalten
• Fotos und Videoaufnahmen
• Gesprächsnotizen
• Angaben zu Leistung oder Verhalten

Es reicht aus, wenn eine Person indirekt bestimmt werden kann. Dafür können mehrere Informationen zusammengeführt werden.

Was sind besonders sensible Daten?

Einige Arten von Daten genießen einen höheren Schutz. Die DSGVO nennt sie besondere Kategorien personenbezogener Daten.

Dazu gehören Informationen über:

• Gesundheit
• Herkunft
• politische Meinung
• Religion oder Weltanschauung
• Gewerkschaftszugehörigkeit
• genetische Merkmale
• biometrische Merkmale
• Sexualleben oder sexuelle Orientierung

Für solche Daten gelten strengere Bedingungen. Organisationen sollten genau prüfen, ob sie diese Informationen wirklich benötigen.

Wann fällt eine Tabelle unter die DSGVO?

Eine Tabelle fällt nicht automatisch unter die DSGVO. Entscheidend ist ihr Inhalt.

Eine Liste mit Produktnummern enthält meist keine persönlichen Daten. Eine Liste mit Ansprechpartnern, Telefonnummern und Notizen dagegen schon.

Auch interne Tabellen können betroffen sein. Beispiele sind Urlaubslisten, Bewerberlisten oder Übersichten über Krankmeldungen.

Deshalb sollte jede Organisation ihre Datenbestände kennen. Sie sollte wissen, wo persönliche Daten liegen und wer sie nutzen darf.

Ein einfaches Beispiel

Ein Unternehmen nutzt ein Onlineformular für Anfragen. Das Formular fragt Name, E-Mail-Adresse und Anliegen ab.

Diese Angaben sind personenbezogene Daten. Das Unternehmen muss einen klaren Zweck nennen. Es muss die Daten auch vor fremden Zugriffen schützen.

Die Anfrage darf nicht für immer gespeichert bleiben. Das Unternehmen braucht daher eine passende Löschfrist.

Diese Regeln gelten auch dann, wenn nur wenige Anfragen eingehen. Die Zahl der Datensätze ändert nichts am persönlichen Inhalt der Daten.

Anonymisierung und Pseudonymisierung

Anonyme Daten lassen sich keiner Person mehr zuordnen. Eine echte Anonymisierung kann den Anwendungsbereich der DSGVO verlassen.

Das ist in der Praxis jedoch schwer zu erreichen. Eine Person darf auch durch zusätzliche Informationen nicht mehr erkennbar sein.

Bei einer Pseudonymisierung werden direkte Merkmale ersetzt. Ein Name kann zum Beispiel durch eine Kennnummer ersetzt werden.

Die Zuordnung bleibt jedoch mit weiteren Informationen möglich. Daher gelten pseudonymisierte Daten weiterhin als personenbezogene Daten.

4. Was sind die sieben Grundsätze der DSGVO?

Artikel 5 der DSGVO enthält sieben zentrale Grundsätze. Sie bilden die Basis für jede Verarbeitung personenbezogener Daten.

1. Rechtmäßigkeit, Fairness und Transparenz

Jede Verarbeitung braucht eine gültige Rechtsgrundlage. Sie muss zudem fair und für die betroffene Person verständlich sein.

Organisationen sollten offen erklären, welche Daten sie nutzen. Auch Zweck, Speicherdauer und mögliche Empfänger müssen klar sein.

Versteckte oder überraschende Verarbeitungen sind problematisch. Datenschutzhinweise sollten deshalb leicht verständlich sein.

2. Zweckbindung

Personenbezogene Daten dürfen nur für klare und erlaubte Zwecke erhoben werden.

Ein Unternehmen darf Kontaktdaten zum Beispiel für eine Bestellung benötigen. Es kann diese Daten aber nicht automatisch für jeden anderen Zweck nutzen.

Neue Zwecke müssen geprüft werden. Unter Umständen ist eine neue Rechtsgrundlage nötig.

Eine Datenbank sollte den Zweck der Daten deshalb klar abbilden. Getrennte Tabellen, Felder oder Arbeitsbereiche können dabei helfen.

3. Datenminimierung

Organisationen sollen nur die Daten speichern, die sie wirklich brauchen.

Für einen Newsletter ist das Geburtsdatum meist nicht nötig. Für eine einfache Kontaktaufnahme reicht oft eine E-Mail-Adresse.

Zu viele Daten erhöhen das Risiko. Sie machen auch Auskunfts- und Löschanfragen schwieriger.

Prüfen Sie daher jedes Feld einer Datenbank. Fragen Sie: Brauchen wir diese Information für den genannten Zweck?

4. Richtigkeit

Personenbezogene Daten müssen richtig und aktuell sein.

Fehlerhafte Informationen können zu falschen Entscheidungen führen. Das ist besonders kritisch bei Personal-, Finanz- oder Gesundheitsdaten.

Betroffene Personen haben ein Recht auf Berichtigung. Organisationen brauchen daher einen einfachen Prozess für Änderungen.

Eine zentrale Datenbank kann helfen. Sie verhindert, dass verschiedene Versionen derselben Information im Umlauf sind.

5. Speicherbegrenzung

Daten dürfen nicht länger als nötig gespeichert werden.

Die passende Dauer hängt vom Zweck und von gesetzlichen Pflichten ab. Einige Unterlagen müssen über mehrere Jahre aufbewahrt werden. Andere Daten sollten früher gelöscht werden.

Organisationen brauchen klare Löschfristen. Diese sollten regelmäßig geprüft werden.

Hilfreich sind Felder für Ablaufdaten und Löschstatus. Auch Erinnerungen und automatische Abläufe können die Arbeit erleichtern.

6. Integrität und Vertraulichkeit

Personenbezogene Daten müssen vor Verlust und unbefugtem Zugriff geschützt werden.

Dazu gehören technische und organisatorische Maßnahmen. Beispiele sind sichere Anmeldung, Verschlüsselung, Backups und begrenzte Rechte.

Nicht jeder Mitarbeiter sollte alle Daten sehen können. Der Zugriff sollte zur jeweiligen Aufgabe passen.

7. Rechenschaftspflicht

Organisationen müssen die DSGVO nicht nur einhalten. Sie müssen dies auch belegen können.

Dafür brauchen sie eine passende Dokumentation. Dazu können Verzeichnisse, Richtlinien, Verträge und Prüfberichte gehören.

Auch Audit-Protokolle können helfen. Sie zeigen, wer welche Änderungen in einem System vorgenommen hat.

5. Welche Rechtsgrundlage ist erforderlich?

Personenbezogene Daten dürfen nicht ohne Grund verarbeitet werden. Für jeden Zweck ist eine Rechtsgrundlage nötig.

Artikel 6 der DSGVO nennt mehrere mögliche Grundlagen.

Einwilligung

Eine Person kann einer Verarbeitung zustimmen. Die Einwilligung muss freiwillig, informiert und eindeutig sein.

Sie kann später widerrufen werden. Daher ist eine Einwilligung nicht für jeden Prozess die beste Lösung.

Vertrag oder vorvertragliche Maßnahme

Daten dürfen verarbeitet werden, wenn dies für einen Vertrag nötig ist.

Ein Onlineshop benötigt zum Beispiel eine Adresse für die Lieferung. Ein Arbeitgeber braucht bestimmte Daten für das Arbeitsverhältnis.

Rechtliche Pflicht

Gesetze können eine Verarbeitung verlangen. Unternehmen müssen zum Beispiel bestimmte Unterlagen für steuerliche Zwecke aufbewahren.

Öffentliche Aufgabe

Behörden verarbeiten Daten oft zur Erfüllung einer öffentlichen Aufgabe. Die Grundlage ergibt sich meist aus einem Gesetz.

Berechtigtes Interesse

Unternehmen können sich in einigen Fällen auf ein berechtigtes Interesse stützen. Dafür ist eine Abwägung nötig.

Die Interessen des Unternehmens dürfen die Rechte der betroffenen Person nicht überwiegen.

Warum muss der Zweck dokumentiert werden?

Die Rechtsgrundlage allein reicht nicht aus. Auch der konkrete Zweck muss feststehen.

„Wir könnten die Daten später noch brauchen“ ist kein klarer Zweck.

Eine gute Dokumentation beantwortet mindestens diese Fragen:

• Welche Daten werden verarbeitet?
• Warum werden sie verarbeitet?
• Welche Rechtsgrundlage gilt?
• Wer erhält Zugriff?
• Wie lange bleiben die Daten gespeichert?
• Wann werden sie gelöscht oder geprüft?

Eine Datenbank kann diese Regeln technisch unterstützen. Die rechtliche Entscheidung trifft jedoch die verantwortliche Organisation.

6. Welche Rechte haben betroffene Personen?

Die DSGVO gibt Menschen mehrere Rechte. Unternehmen und Behörden müssen passende Abläufe für Anfragen schaffen.

Recht auf Auskunft

Betroffene Personen können fragen, ob eine Organisation ihre Daten verarbeitet. Sie können auch eine Kopie dieser Daten verlangen.

Dafür muss die Organisation relevante Informationen vollständig finden können.

Recht auf Berichtigung

Falsche oder unvollständige Daten müssen berichtigt werden.

Eine zentrale Datenhaltung erleichtert diese Aufgabe. Bei mehreren Kopien können alte Angaben bestehen bleiben.

Recht auf Löschung

Unter bestimmten Bedingungen können Personen die Löschung ihrer Daten verlangen.

Das Recht gilt nicht ohne Ausnahme. Gesetzliche Pflichten können eine weitere Speicherung erlauben oder verlangen.

Löschungen sollten kontrolliert und dokumentiert erfolgen. Das gilt auch für verbundene Systeme und Exporte.

Recht auf Einschränkung

In bestimmten Fällen dürfen Daten weiterhin gespeichert werden. Ihre weitere Nutzung wird jedoch eingeschränkt.

Ein System sollte solche Datensätze klar markieren können.

Recht auf Datenübertragbarkeit

Personen können bestimmte Daten in einem nutzbaren Format verlangen.

Offene Exportmöglichkeiten erleichtern diesen Prozess. Proprietäre Formate können dagegen zu Problemen führen.

Recht auf Widerspruch

Betroffene Personen können bestimmten Verarbeitungen widersprechen. Die Organisation muss den Einzelfall prüfen.

Warum zentrale Daten wichtig sind

Anfragen werden schwierig, wenn Daten über viele Orte verteilt sind.

Informationen können in E-Mails, persönlichen Dateien und Excel-Listen liegen. Manche Daten befinden sich zusätzlich in mehreren Cloud-Diensten.

Eine zentrale Datenbank schafft mehr Übersicht. Sie kann auch die Suche, Berichtigung, Ausgabe und Löschung vereinfachen.

Baserow unterstützt strukturierte Tabellen, Filter, Exporte und eine automatisch dokumentierte Datenbank-API. So lassen sich Daten klarer verwalten und mit anderen Systemen verbinden.

7. Wer ist Verantwortlicher und wer Auftragsverarbeiter?

Die DSGVO unterscheidet zwischen verschiedenen Rollen. Zwei davon sind besonders wichtig.

Der Verantwortliche

Der Verantwortliche entscheidet über Zweck und Mittel der Verarbeitung.

Das kann ein Unternehmen, eine Behörde oder eine andere Organisation sein. Der Verantwortliche bleibt für die Einhaltung der DSGVO zuständig.

Der Auftragsverarbeiter

Ein Auftragsverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen.

Ein Anbieter einer Cloud-Datenbank kann zum Beispiel als Auftragsverarbeiter handeln. Die genaue Rolle hängt aber vom jeweiligen Einsatz ab.

Was ist ein Auftragsverarbeitungsvertrag?

Bei einer Auftragsverarbeitung ist in der Regel ein Vertrag erforderlich. Dieser wird oft AV-Vertrag oder AVV genannt.

Der Vertrag sollte wichtige Punkte regeln:

• Art und Zweck der Verarbeitung
• betroffene Daten und Personen
• Rechte und Pflichten beider Seiten
• technische und organisatorische Maßnahmen
• Umgang mit Unterauftragsverarbeitern
• Unterstützung bei Datenschutzanfragen
• Rückgabe und Löschung von Daten
• Kontroll- und Nachweismöglichkeiten

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit bietet ein Muster zur Auftragsverarbeitung an.

Was sind Unterauftragsverarbeiter?

Ein Anbieter nutzt oft weitere Dienstleister. Dazu können Rechenzentren, Supportsysteme oder Analyseanbieter gehören.

Diese Anbieter werden häufig als Unterauftragsverarbeiter bezeichnet.

Organisationen sollten prüfen, welche Dienstleister beteiligt sind. Sie sollten auch wissen, in welchen Ländern Daten verarbeitet werden.

Ändert Self-Hosting die Verantwortung?

Self-Hosting gibt einer Organisation mehr Kontrolle. Die Software läuft dann auf einer selbst gewählten Infrastruktur.

Das kann externe Datenflüsse reduzieren. Es beseitigt aber nicht alle Pflichten.

Die Organisation muss weiterhin Zugriffe, Updates und Backups regeln. Auch Verschlüsselung und Überwachung bleiben wichtige Aufgaben.

Baserow erklärt die Unterschiede zwischen seinen Modellen in der Übersicht zu Cloud und Self-Hosting.

8. Was bedeuten Privacy by Design und Privacy by Default?

Privacy by Design bedeutet Datenschutz durch Technikgestaltung.

Datenschutz soll nicht erst kurz vor dem Start geprüft werden. Er gehört bereits in die Planung eines Systems.

Privacy by Default bedeutet datenschutzfreundliche Voreinstellungen.

Ein neues System sollte nicht automatisch alle Daten für alle Nutzer freigeben. Die Voreinstellungen sollten möglichst wenig Zugriff erlauben.

Beispiele für Privacy by Design

• sensible Daten in getrennten Bereichen speichern
• Zugriffe nach Rollen vergeben
• nur notwendige Felder anlegen
• Löschfristen von Beginn an einplanen
• Exporte und Schnittstellen absichern
• Testsysteme ohne echte persönliche Daten nutzen
• Datenflüsse dokumentieren

Beispiele für Privacy by Default

• neue Nutzer erhalten zunächst wenige Rechte
• öffentliche Freigaben sind standardmäßig deaktiviert
• sensible Felder sind nur für bestimmte Rollen sichtbar
• Formulare fragen nur notwendige Informationen ab
• Daten werden nicht unbegrenzt aufbewahrt

Wie kann Baserow dabei helfen?

Baserow unterstützt Rollen und abgestufte Rechte. Diese können je nach Tarif auf verschiedenen Ebenen gelten.

Organisationen können damit festlegen, wer Daten lesen oder bearbeiten darf. Auch administrative Rechte lassen sich begrenzen.

Das unterstützt das Prinzip des geringsten nötigen Zugriffs. Die Regeln müssen jedoch passend eingerichtet und regelmäßig geprüft werden.

Weitere Details finden Sie in der Dokumentation zur rollenbasierten Zugriffskontrolle von Baserow.

9. Welche Sicherheitsmaßnahmen verlangt die DSGVO?

Artikel 32 der DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Die Abkürzung dafür lautet TOM.

Die passenden Maßnahmen hängen vom Risiko ab. Eine öffentliche Kontaktliste braucht andere Schutzmaßnahmen als eine Datenbank mit Gesundheitsdaten.

Rollen und Berechtigungen

Nutzer sollten nur die Daten sehen, die sie für ihre Arbeit brauchen.

Ein Mitarbeiter im Vertrieb benötigt vielleicht Kundendaten. Er braucht aber keinen Zugriff auf Personaldaten.

Granulare Rechte senken das Risiko. Sie erleichtern auch die Verwaltung größerer Teams.

Sichere Anmeldung und SSO

Starke Anmeldeverfahren schützen Nutzerkonten.

Single Sign-on, kurz SSO, verbindet ein System mit der zentralen Anmeldung einer Organisation. Mitarbeiter verwenden dann ihre bestehende Identität.

Verlässt eine Person die Organisation, kann ihr Zugriff zentral gesperrt werden.

Baserow unterstützt verschiedene SSO-Verfahren. Die Einrichtung wird in der Dokumentation zu Single Sign-on mit Baserow erklärt.

Verschlüsselung

Verschlüsselung schützt Daten bei der Speicherung und Übertragung.

Für Webanwendungen ist eine verschlüsselte Verbindung wichtig. Auch Dateien, Backups und Datenbanken können besonderen Schutz benötigen.

Audit-Protokolle

Audit-Protokolle halten wichtige Aktionen fest.

Sie können zeigen, wer Daten geändert oder gelöscht hat. Das hilft bei internen Prüfungen und Sicherheitsvorfällen.

Ein Audit-Protokoll ersetzt keine vollständige Dokumentation. Es ist aber ein wichtiger Teil der Rechenschaftspflicht.

Baserow dokumentiert, welche Ereignisse erfasst werden und wie Administratoren Audit-Protokolle anzeigen und exportieren können.

Backups und Wiederherstellung

Organisationen müssen sich auch vor Verlust schützen.

Regelmäßige Backups sind nur dann hilfreich, wenn sie wiederhergestellt werden können. Deshalb sollten Wiederherstellungsprozesse getestet werden.

Auch die Backups selbst können persönliche Daten enthalten. Sie müssen daher passend geschützt werden.

Updates und Sicherheitsprüfungen

Veraltete Software kann bekannte Schwachstellen enthalten.

Organisationen brauchen klare Regeln für Updates. Außerdem sollten sie ihre Maßnahmen regelmäßig testen.

Das TOM-Muster der BfDI nennt unter anderem Verschlüsselung, Wiederherstellung, Autorisierung und regelmäßige Prüfungen.

Sicherheitsfunktionen von Baserow

Baserow bietet mehrere Funktionen für sichere Datenprozesse. Dazu gehören je nach Tarif:

• rollenbasierte Zugriffskontrolle
• granulare Berechtigungen
• Single Sign-on
• Audit-Protokolle
• administrative Kontrollen
• Cloud- und Self-Hosting-Optionen

Baserow nennt für seine Cloud außerdem Verschlüsselung bei Speicherung und Übertragung. Hinzu kommen regelmäßige Backups und SOC 2 Type II.

Weitere Angaben finden Sie im Baserow Trust Center. Die Verfügbarkeit einzelner Funktionen hängt vom gewählten Tarif ab. Sie können die Baserow-Tarife und Funktionen direkt vergleichen.

10. Wie wählt man eine passende Datenbank aus?

Eine Datenbank ist DSGVO-freundlich, wenn sie sichere Prozesse unterstützt. Sie allein kann die Einhaltung der DSGVO aber nicht garantieren.

Prüfen Sie deshalb Technik, Anbieter und eigenen Einsatz gemeinsam.

1. Datenstandort

Fragen Sie, wo Ihre Daten gespeichert werden.

Der Standort kann rechtliche und betriebliche Folgen haben. Er ist aber nicht das einzige Kriterium.

2. Betreiber und Rechtsraum

Ein Server in Deutschland bedeutet nicht automatisch volle Kontrolle.

Prüfen Sie auch den Anbieter und seine verbundenen Unternehmen. Wichtig sind zudem mögliche Zugriffe aus anderen Ländern.

3. Verträge

Für einen Cloud-Dienst sollte ein geeigneter AV-Vertrag verfügbar sein.

Prüfen Sie auch die Liste der Unterauftragsverarbeiter. Änderungen sollten klar angekündigt werden.

4. Zugriffsrechte

Eine geeignete Plattform sollte verschiedene Rollen unterstützen.

Für größere Organisationen sind Rechte auf mehreren Ebenen wichtig. Nicht jeder Nutzer sollte jeden Datenbestand öffnen können.

5. Anmeldung

Prüfen Sie, welche Anmeldeverfahren verfügbar sind.

SSO kann die zentrale Verwaltung vereinfachen. Auch Regeln für Passwörter und Mehrfaktor-Anmeldung können wichtig sein.

6. Nachvollziehbarkeit

Fragen Sie, ob wichtige Änderungen protokolliert werden.

Audit-Protokolle helfen bei Kontrollen und Vorfällen. Prüfen Sie auch, wie lange die Einträge gespeichert werden.

7. Export und Löschung

Daten sollten sich in nutzbaren Formaten exportieren lassen.

Auch die Löschung muss möglich sein. Das gilt für einzelne Datensätze und ganze Arbeitsbereiche.

8. Schnittstellen

Offene Schnittstellen erleichtern den Datenaustausch.

Sie können auch einen späteren Anbieterwechsel unterstützen. Gut dokumentierte APIs senken die Abhängigkeit von einzelnen Diensten.

9. Cloud oder Self-Hosting

Eine Cloud-Lösung spart oft Aufwand beim Betrieb. Self-Hosting bietet mehr Kontrolle über Infrastruktur und Standort.

Beide Modelle können sinnvoll sein. Die Entscheidung hängt von Risiko, Ressourcen und internen Regeln ab.

Technische Teams finden weitere Informationen in der Self-Hosting-Dokumentation von Baserow.

10. Anbieterwechsel

Planen Sie den Ausstieg bereits vor dem Einstieg.

Prüfen Sie, wie Daten exportiert werden. Fragen Sie auch, welche offenen Formate und Schnittstellen verfügbar sind.

Eine gute Exit-Strategie unterstützt die digitale Souveränität. Sie senkt das Risiko eines Vendor-Lock-ins.

Beispiel: Eine Behörde ersetzt mehrere Excel-Listen

Eine Behörde verwaltet Anträge in mehreren Excel-Dateien. Verschiedene Mitarbeiter speichern eigene Kopien.

Dadurch ist oft unklar, welche Datei aktuell ist. Auch die Rechte lassen sich nur schwer steuern.

Die Behörde möchte deshalb eine zentrale Datenbank einführen. Vor der Auswahl prüft sie den Zweck und die Rechtsgrundlage. Danach legt sie die benötigten Felder und Rollen fest.

Sachbearbeiter dürfen Anträge bearbeiten. Andere Mitarbeiter erhalten nur Leserechte. Administratoren verwalten das System.

Zusätzlich legt die Behörde Löschfristen fest. Änderungen sollen in einem Audit-Protokoll erscheinen. Die Datenbank muss Exporte und sichere Backups unterstützen.

Eine Plattform wie Baserow kann diese technische Grundlage bereitstellen. Die Behörde behält dabei die Wahl zwischen Cloud und Self-Hosting.

Warum Baserow ein starker europäischer Kandidat ist

Baserow ist eine europäische Open-Source-No-Code-Plattform. Teams können damit Datenbanken, Anwendungen und automatische Abläufe erstellen.

Die Oberfläche ähnelt einer Tabelle. Im Hintergrund lassen sich Daten jedoch klar strukturieren und miteinander verbinden.

Das macht Baserow für Fachbereiche leicht zugänglich. Gleichzeitig erhalten IT-Teams mehr Kontrolle als bei einfachen Tabellenkalkulationen.

Cloud-Datenhaltung in Deutschland

Nach Angaben von Baserow werden die Kundendaten der Baserow Cloud in Deutschland gespeichert.

Dazu gehören Datenbankinhalte, Dateien und Anwendungsdaten. Weitere Einzelheiten erklärt Baserow auf seiner Seite zur Datenhaltung in Deutschland.

Self-Hosting

Organisationen können Baserow auch selbst betreiben.

Damit können sie ihre Infrastruktur und den Datenstandort selbst wählen. Das ist besonders für Behörden und regulierte Unternehmen interessant.

Self-Hosting erfordert jedoch eigene Fachkenntnisse. Die Organisation muss Updates, Überwachung, Backups und Sicherheit selbst planen.

Lesen Sie mehr über die Bereitstellungsoptionen von Baserow oder öffnen Sie direkt die Self-Hosting-Anleitung.

Open Source und digitale Souveränität

Baserow kann in der Cloud oder auf eigenen Servern laufen. Der Quellcode ist offen.

Zudem bietet Baserow offene Schnittstellen. Das erleichtert den Datenaustausch und gibt Organisationen mehr Kontrolle.

Diese Wahl senkt die Abhängigkeit von einem einzelnen Cloud-Anbieter. Sie kann auch einen späteren Wechsel erleichtern.

Baserow bietet APIs und Datenexporte. Dadurch lassen sich Daten mit anderen Systemen verbinden und in offenen Formaten übertragen.

Sichere Zusammenarbeit

Baserow verbindet eine leicht bedienbare Oberfläche mit Funktionen für größere Organisationen.

Dazu gehören Rollen, SSO und Audit-Protokolle. Teams können gemeinsam arbeiten, ohne jedem Nutzer dieselben Rechte zu geben.

Ein Kandidat, keine automatische Garantie

Baserow bietet eine starke technische Grundlage. Trotzdem bleibt die verantwortliche Organisation für ihren Einsatz zuständig.

Sie muss Zwecke und Rechtsgrundlagen festlegen. Sie muss außerdem Rechte, Fristen und interne Abläufe definieren.

Genau diese Verbindung ist wichtig: Eine sichere Plattform und klare organisatorische Regeln müssen zusammenarbeiten.

DSGVO-Checkliste für Unternehmen und Behörden

Nutzen Sie diese Fragen bei der Prüfung Ihrer Datenprozesse:

• Wissen wir, welche personenbezogenen Daten wir speichern?
• Haben wir für jeden Zweck eine Rechtsgrundlage?
• Sind Zwecke und Speicherdauer dokumentiert?
• Erfassen wir nur wirklich notwendige Daten?
• Können wir falsche Daten schnell berichtigen?
• Können wir Daten vollständig finden und exportieren?
• Gibt es klare Löschfristen?
• Sind Rollen und Zugriffsrechte definiert?
• Werden wichtige Änderungen protokolliert?
• Nutzen wir sichere Anmeldeverfahren?
• Sind Daten bei Speicherung und Übertragung geschützt?
• Testen wir unsere Backups?
• Gibt es einen Plan für Sicherheitsvorfälle?
• Haben wir Verträge mit Auftragsverarbeitern geprüft?
• Kennen wir alle wichtigen Unterauftragsverarbeiter?
• Wissen wir, in welchen Ländern Daten verarbeitet werden?
• Haben wir eine Exit-Strategie für wichtige Anbieter?
• Prüfen wir unsere Maßnahmen regelmäßig?

Häufig gestellte Fragen zur DSGVO

Was bedeutet DSGVO?

DSGVO steht für Datenschutz-Grundverordnung. Sie regelt die Verarbeitung personenbezogener Daten in der Europäischen Union.

Was bedeutet GDPR auf Deutsch?

GDPR steht für General Data Protection Regulation. Die deutsche Bezeichnung lautet Datenschutz-Grundverordnung.

Sind GDPR und DSGVO dasselbe?

Ja. GDPR ist die englische Abkürzung. DSGVO ist die deutsche Abkürzung für dieselbe EU-Verordnung.

Seit wann gilt die DSGVO?

Die DSGVO gilt seit dem 25. Mai 2018. Sie trat bereits im Mai 2016 in Kraft.

Für wen gilt die DSGVO?

Sie gilt für Unternehmen, Behörden und andere Organisationen, die personenbezogene Daten verarbeiten. Auch Anbieter außerhalb der EU können betroffen sein.

Was sind personenbezogene Daten?

Das sind Informationen über eine bestimmte oder bestimmbare Person. Beispiele sind Namen, E-Mail-Adressen, IP-Adressen und Standortdaten.

Wo steht der vollständige DSGVO-Text?

Der offizielle Text der Verordnung (EU) 2016/679 ist auf der Website von EUR-Lex verfügbar.

Was verlangt die DSGVO von einer Datenbank?

Die DSGVO nennt kein bestimmtes Datenbanksystem. Eine Datenbank sollte jedoch sichere, rechtmäßige und nachvollziehbare Prozesse unterstützen.

Wichtige Funktionen sind Zugriffskontrollen, Exporte, Löschmöglichkeiten und sichere Datenübertragung.

Ist ein Serverstandort in Deutschland ausreichend?

Nein. Der Standort ist nur ein Teil der Prüfung.

Auch Betreiber, Verträge und Unterauftragsverarbeiter sind wichtig. Gleiches gilt für Sicherheit, Rechte und interne Prozesse.

Ist Self-Hosting automatisch DSGVO-konform?

Nein. Self-Hosting gibt einer Organisation mehr technische Kontrolle.

Die Organisation bleibt aber für Sicherheit, Rechtsgrundlagen und Löschfristen zuständig. Sie muss auch Updates und Backups regeln.

Was ist ein AV-Vertrag?

Ein Auftragsverarbeitungsvertrag regelt die Verarbeitung durch einen externen Dienstleister. Er wird häufig mit AVV abgekürzt.

Was sind technische und organisatorische Maßnahmen?

Das sind Schutzmaßnahmen für personenbezogene Daten.

Beispiele sind Verschlüsselung, Zugriffskontrollen und Backups. Auch Richtlinien, Schulungen und Sicherheitsprüfungen gehören dazu.

Ist Baserow DSGVO-konform?

Baserow stellt Funktionen bereit, die DSGVO-orientierte Prozesse unterstützen. Dazu gehören deutsche Cloud-Datenhaltung, Self-Hosting, Berechtigungen, SSO und Audit-Protokolle.

Der konkrete Einsatz muss trotzdem geprüft werden. Entscheidend sind auch Zweck, Rechtsgrundlage, Einrichtung und interne Abläufe.

Warum ist Baserow für Behörden interessant?

Behörden brauchen Kontrolle über Daten, Zugriffe und Infrastruktur.

Baserow bietet Cloud- und Self-Hosting-Modelle. Die offene technische Grundlage und dokumentierte Schnittstellen geben Behörden mehr Wahlfreiheit.

Das erleichtert den Datenaustausch. Es kann auch die Abhängigkeit von einem einzelnen Anbieter senken.

Fazit: Datenschutz braucht Technik und klare Regeln

Die DSGVO verlangt einen bewussten Umgang mit persönlichen Daten. Organisationen müssen wissen, was sie speichern und warum.

Sie brauchen passende Rechtsgrundlagen und Löschfristen. Außerdem müssen sie Zugriffe begrenzen und Daten vor Verlust schützen.

Eine gute Datenbank erleichtert diese Aufgaben. Sie schafft Struktur und verbessert die Kontrolle über Daten.

Baserow ist dafür ein starker europäischer Kandidat. Die Plattform bietet Open Source, Self-Hosting und Cloud-Datenhaltung in Deutschland. Hinzu kommen Funktionen für Berechtigungen, SSO und Audit-Protokolle.

Damit verbindet Baserow einfache No-Code-Nutzung mit mehr Sicherheit und digitaler Souveränität. Unternehmen und Behörden erhalten eine flexible Grundlage für moderne Datenprozesse.

Die Technik bleibt jedoch nur ein Teil der DSGVO. Erst klare Regeln, gute Prozesse und eine sichere Plattform ergeben zusammen einen verlässlichen Datenschutz.

Baserow jetzt ausprobieren

Sie möchten Daten sicherer strukturieren und unkontrollierte Tabellen ersetzen?

• Baserow kostenlos testen
• Baserow-Tarife vergleichen
• Self-Hosting mit Baserow kennenlernen
• Eine persönliche Demo anfragen
• Bereits registriert? Bei Baserow anmelden