Eine einfache Unternehmenswebsite mit nur einem Kontaktformular ist oft innerhalb eines Tages erledigt: eine Datenschutzerklärung, ein Cookie-Banner und eine kurze Überprüfung des Hosting-Anbieters. Ein Online-Shop mit einem Zahlungsanbieter, Versandtool, Newsletter-System und Werbepixeln erfordert schnell zwei bis vier Wochen, vor allem weil Sie für jedes Tool prüfen müssen, ob eine Auftragsverarbeitungsvereinbarung erforderlich ist und ob diese bereits vorhanden ist.
Der wichtigste verzögernde Faktor ist selten das Verfassen der Datenschutzerklärung selbst. Das geht in einer Stunde. Die Zeit wird für die Ermittlung aufgewendet, welche Tools im Hintergrund laufen, wer die Auftragsverarbeitungsvereinbarung für diese verwaltet, und für das Warten auf die Antwort eines Anbieters auf entsprechende Fragen.
Wo die Zeit wirklich investiert wird
Bei einer neuen Website beginnt es mit einer Bestandsaufnahme: Welche Dienste von Drittanbietern verarbeiten Daten von Besuchern oder Kunden. Denken Sie an den Hosting-Anbieter, ein Analyse-Tool, ein Chat-Widget, einen Zahlungsanbieter, einen Versandpartner und möglicherweise ein Werbenetzwerk. Für jeden dieser Anbieter stellt sich die Frage, ob eine Auftragsverarbeitungsvereinbarung geschlossen wurde und ob diese dem entspricht, was das Tool tatsächlich tut.
Danach folgt die Cookie-Bestandsaufnahme: Welche Cookies werden gesetzt, von wem, und ist dafür eine Zustimmung erforderlich. Nur wenn dieses Bild vollständig ist, kann die Datenschutzerklärung inhaltlich korrekt sein und kann das Cookie-Banner die richtigen Kategorien anzeigen. Wer diese Schritte überspringt und die Datenschutzerklärung zuerst verfasst, muss diese später oft überarbeiten. In der Wissensdatenbank nach Thema wird für jedes häufig verwendete Tool die kurze Antwort auf die Frage gegeben, ob eine Auftragsverarbeitungsvereinbarung erforderlich ist, mit der Fundstelle im Text der Verordnung.
Was die Durchlaufzeit in der Praxis verzögert
Die größte Verzögerung liegt normalerweise nicht bei Ihnen, sondern beim Anbieter. Große, bekannte SaaS-Anbieter haben in der Regel eine Auftragsverarbeitungsvereinbarung vorbereitet, die Sie selbst herunterladen oder digital akzeptieren können. Bei kleineren oder spezialisierten Anbietern müssen Sie manchmal aktiv danach fragen, und es kann Tage bis Wochen dauern, bis eine Antwort kommt.
Eine zweite Verzögerung tritt auf, wenn Marketing, IT und der Geschäftsinhaber nicht zur gleichen Zeit am Tisch sitzen. Die Marketing-Abteilung wählt ein neues Tool aus, IT weiß nicht, dass es hinzugefügt wurde, und niemand prüft, ob eine Auftragsverarbeitungsvereinbarung erforderlich ist. Wenn dies auffällt, läuft das Tool oft bereits seit Monaten.
Ein dritter Faktor ist die Unsicherheit über die Rollenverteilung: Ist ein Anbieter ein Auftragsverarbeiter, geht es um gemeinsame Verantwortung, oder verarbeitet der Anbieter die Daten für seine eigenen Zwecke. Diese Frage ist nicht immer in fünf Minuten zu beantworten, und im Zweifelsfall ist es ratsam, den Anbieter selbst zu fragen, wie er seine Rolle sieht, oder die Frage einem Juristen vorzulegen.
Was Sie selbst beschleunigen können
Der schnellste Weg ist, die Arbeit in der richtigen Reihenfolge zu erledigen: zuerst die Tools erfassen, dann die Auftragsverarbeitungsvereinbarungen anfordern oder überprüfen, und erst dann die Datenschutzerklärung und das Cookie-Banner auf das abstimmen, was tatsächlich passiert. Ein Verzeichnis der Verarbeitungstätigkeiten, das automatisch aus einer Bibliothek bekannter Tools gefüllt wird, spart hier Zeit, da ein großer Teil der Ermittlungsarbeit bereits für häufig verwendete SaaS-Dienste erledigt ist. Sobald ein neues Tool hinzugefügt wird, ist es ratsam, es sofort im im Verzeichnis der Verarbeitungstätigkeiten zu dokumentieren anstatt dies bis zu einem späteren Überprüfungszeitpunkt aufzuschieben.
Es hilft auch, im Voraus zu klären, wer innerhalb des Unternehmens für die Anforderung fehlender Auftragsverarbeitungsvereinbarungen zuständig ist. Ohne einen klaren Verantwortlichen für diesen Prozess bleibt eine offene Anfrage an einen Anbieter oft unbearbeitet.
Wenn es länger dauert als erwartet
Bei einem Online-Shop mit vielen einzelnen Komponenten — einem separaten Rückgabeportal, einem eigenständigen Bewertungssystem, einem externen Kundenservice-Tool — zählt jede Komponente separat. Auch ein neuer KI-Chatbot auf der Website bringt eine eigene Frage mit sich darüber, wohin die Eingaben von Besuchern gehen und wer diese verarbeitet. Im Zweifelsfall ist es ratsam, eine neue Funktionalität einer erweiterten Risikobewertung zu unterziehen; dies fällt außerhalb des Umfangs dieses Artikels.
Auch die Sicherheitsseite einer neuen Website kostet Zeit: Eine gute Einschätzung, welche technischen Maßnahmen angemessen sind, hängt davon ab, was die Website oder der Online-Shop genau verarbeitet. Eine Übersicht darüber finden Sie auf der Seite über Datenschutz und Datensicherheit.
Die Durchlaufzeit ist also keine feste Zahl, sondern das Ergebnis davon, wie viele einzelne Komponenten eine Website oder ein Online-Shop hat und wie schnell Lieferanten reagieren. Wer das vorher einschätzt, vermeidet, dass ein Start verzögert wird, weil in letzter Minute noch ein Auftragsverarbeitungsvertrag fehlt.
Möchten Sie schnell sehen, wo sich Ihre Website oder Ihr Online-Shop derzeit befindet? Der kostenlose Quick-Check bietet in wenigen Fragen einen ersten Überblick, und die häufig gestellte Fragen beantworten einen großen Teil der einzelnen Fragen, die während dieses Prozesses aufkommen.