Compliance
Compliance bezeichnet die Einhaltung aller gesetzlichen, regulatorischen und unternehmensinternen Vorgaben. Im Messaging-Umfeld umfasst das DSGVO/Datenschutz, branchen-spezifische Regulierung, Vertragsklauseln (AVV) und technische Sicherheitsstandards. Compliance ist kein Häkchen, sondern ein laufender Zustand.
Was bedeutet Compliance?
Compliance (deutsch: „Regeltreue") ist der Sammelbegriff für die Pflicht eines Unternehmens, sich an alle relevanten Vorschriften zu halten – gesetzliche, regulatorische und freiwillig eingegangene. Im Messaging-Kontext heißt das: Daten dürfen nur in dem Umfang verarbeitet werden, wie es Gesetz und Vertrag erlauben, und das muss jederzeit nachweisbar sein.
Compliance ist breiter als DSGVO-konforme Messaging: Die DSGVO ist die wichtigste Säule, aber daneben stehen IT-Sicherheits-Standards, branchenspezifische Regulierung (z. B. Bankenaufsicht für Fintechs), arbeitsrechtliche Vorgaben und interne Konzern-Richtlinien.
Die wichtigsten Compliance-Domänen für Messaging
| Domäne | Worum es geht | Wer prüft |
|---|---|---|
| Datenschutz (DSGVO) | Erhebung, Speicherung, Nutzung personenbezogener Daten | Aufsichtsbehörden, intern: Datenschutzbeauftragter |
| IT-Sicherheit | Verschlüsselung, Zugriffsschutz, Backups, Incident Response | Audits (ISO 27001, SOC 2), interne Revision |
| Auftragsverarbeitung | AVV mit jedem Dienstleister, der Daten in Ihrem Auftrag verarbeitet | Vertrags-Compliance, Aufsichtsbehörden |
| Telekommunikation | Nationale Regeln für SMS, Anrufe, Marketing-Botschaften | Bundesnetzagentur (DE), nationale Regulierer |
| Branchen-Compliance | Sektorspezifisch: Gesundheit (HIPAA-äquivalente Regeln), Finanzen (BaFin), Kinderschutz | Branchen-Aufsicht |
Compliance-Anforderungen im Messaging-Alltag
- Opt-in vor jeder Marketing-Nachricht: Siehe Double-Opt-in für die saubere Implementierung.
- Identifizierbarer Absender: Jede Nachricht muss erkennen lassen, wer sie sendet (Impressums-Logik).
- Abmelde-Option: Jeder Marketing-Empfänger muss sich mit einem Klick (oder Stoppwort wie „STOPP") abmelden können.
- Geschwärzte Logs: Server-Logs dürfen keine unbeabsichtigten personenbezogenen Daten enthalten (z. B. nicht den vollen Nachrichten-Inhalt).
- Auftragsverarbeitungs-Vertrag: Vor der ersten Nutzung mit jedem Dienstleister abschließen.
- Datenlöschung: Auf Anfrage müssen Daten innerhalb von 30 Tagen gelöscht werden – ohne Hintertüren.
Compliance-Standards, auf die KMU achten sollten
- DSGVO / GDPR – EU-weite Datenschutz-Grundverordnung.
- ISO 27001 – Internationale Norm für Informationssicherheits-Management.
- SOC 2 Type II – Audit-Standard für Service-Anbieter, wichtig für US-Kunden.
- BSI C5 – Cloud-Computing-Compliance-Katalog des Bundesamts für Sicherheit in der Informationstechnik (DE).
- EU AI Act – ab 2026 schrittweise in Kraft, regelt KI-Systeme inklusive Chatbots.
Datenresidenz: Wo Daten liegen, ist Compliance
Für viele deutsche KMU ist es nicht nur juristisch, sondern auch politisch wichtig, dass ihre Daten in der EU liegen. Das umfasst:
- Server in EU-Rechenzentren (Frankfurt, Amsterdam, Dublin)
- Backup-Spiegel ebenfalls EU
- Support-Mitarbeiter, die auf Daten zugreifen, sitzen in der EU
- Subdienstleister sind ebenfalls DSGVO-konform und vertraglich verpflichtet
SendSeven hostet ausschließlich in Deutschland (Frankfurt), Subdienstleister sind in der Datenschutzerklärung gelistet, AVV ist vorvertraglich digital abschließbar.
Was Compliance nicht ist
Compliance ist keine Marketing-Aussage und kein Häkchen. „Wir sind DSGVO-konform" alleine ist wertlos, ohne nachweisbare Prozesse. Echte Compliance heißt:
- Verantwortlichkeiten benannt (Datenschutzbeauftragter, Sicherheitsbeauftragter)
- Verarbeitungstätigkeiten dokumentiert (Verzeichnis nach Art. 30 DSGVO)
- Regelmäßige interne Audits
- Incident-Response-Plan für Datenschutzverletzungen
- Schulungen für Mitarbeiter, die mit personenbezogenen Daten arbeiten