Zum Hauptinhalt springen

Compliance · DSGVO

DSGVO: was Kayzen mit Ihren Daten macht und was es zu ihrer Sicherheit beiträgt

Die DSGVO betrifft Kayzen auf zweierlei Weise: als Auftragsverarbeiter, der Daten im Auftrag seiner Geschäftskunden verarbeitet, und als Werkzeug, das zu den Sicherheitsmaßnahmen beitragen kann, die Artikel 32 jedem Verantwortlichen vorschreibt.

Allgemeine Information ohne den Charakter einer Rechtsberatung. Ihre Situation und Ihre Pflichten sind von einer Fachkraft zu prüfen. Kayzen trägt zu bestimmten Maßnahmen bei; es macht keine Organisation konform.

Kayzen Security befindet sich in Entwicklung: Noch kein Modul ist im Handel erhältlich. Die hier beschriebenen Beiträge stützen sich auf das technische Mapping von K-Comply und auf den tatsächlichen Stand jedes Moduls am 31. Oktober 2026.

Kayzen als Auftragsverarbeiter Ihrer Daten

  • Ein veröffentlichter Auftragsverarbeitungsvertrag

    Der AVV (Artikel 28 DSGVO) beschreibt die Verarbeitungen, die Sicherheitsmaßnahmen und die Pflichten jeder Seite.

  • Eine Liste der Unterauftragnehmer

    Jeder an der Verarbeitung beteiligte Dienstleister ist öffentlich aufgeführt, mit seinem Standort.

  • Datenminimierung als Standard

    Der Agent erhebt technische Informationen über die Geräte; er erfasst niemals Ihre Tastatureingaben, und der Inhalt einer Datei wird nur mit Ihrer ausdrücklichen Zustimmung zur Analyse gesendet. Die Analyse von E-Mails wird nur auf Entscheidung des Kunden aktiviert.

  • Per Code durchgesetzte Aufbewahrungsfristen

    Die Daten sind so ausgelegt, dass sie nach Ablauf der in der Datenschutzerklärung veröffentlichten Fristen automatisch gelöscht werden.

  • Hosting in der Europäischen Union vorgesehen

    Die Daten von Geschäftskunden sind für einen Hosting-Anbieter in der Europäischen Union vorgesehen; die endgültige Wahl steht noch aus und wird veröffentlicht. Einige außerhalb der EU ansässige Unterauftragnehmer (Versand von Transaktions-E-Mails, Zahlung und, falls aktiviert, Kayzen Copilot) können begrenzte Daten erhalten, mit den von der DSGVO vorgesehenen Garantien: Sie sind alle auf der Seite Auftragsverarbeiter aufgeführt.

Auftragsverarbeitungsvertrag (DPA)UnterauftragsverarbeiterDatenschutz

Beitrag zu den Sicherheitsmaßnahmen nach Artikel 32

Artikel 32 verlangt dem Risiko angemessene technische und organisatorische Maßnahmen. Hier sind diejenigen, zu denen Kayzen beitragen kann.

  • Verschlüsselung

    Überwachung der Festplattenverschlüsselung auf Windows-Rechnern (BitLocker) und Hinterlegung der Wiederherstellungsschlüssel (in Entwicklung).

  • Vertraulichkeit und Integrität der Systeme

    Patches, Filterung schädlicher Websites, Schutz vor Schadsoftware, Anwendungskontrolle (je nach Stand des jeweiligen Moduls).

  • Verfügbarkeit und Belastbarkeit

    Erkennung von und Reaktion auf Vorfälle, Isolierung eines kompromittierten Rechners (Module in Entwicklung). Backups bleiben Ihre Aufgabe.

  • Zugriffskontrolle

    Zwei-Faktor-Authentifizierung und Rollen der Konsole, Überwachung lokaler Administratorkonten; kontrollierte Rechteerhöhung und Rotation der Administratorpasswörter (Module geplant oder in Entwicklung).

  • Regelmäßige Bewertung

    Monatliche Hygiene- und Compliance-Berichte, auf dem Gerätebestand gemessene Kennzahlen.

Bei einer Datenschutzverletzung

Der Verantwortliche muss die CNIL unverzüglich und möglichst binnen 72 Stunden, nachdem ihm eine Verletzung bekannt wurde, benachrichtigen, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Personen; nach Ablauf dieser Frist muss die Verzögerung begründet werden (Artikel 33). Bei hohem Risiko benachrichtigt er die betroffenen Personen (Artikel 34). Das Audit-Protokoll und die Vorfallsinformationen von Kayzen können helfen, den Sachverhalt zu dokumentieren; Entscheidung und Meldung bleiben bei Ihnen.

Grenzen

  • Kayzen führt nicht Ihr Verzeichnis der Verarbeitungstätigkeiten und erstellt nicht Ihre Datenschutz-Folgenabschätzungen.
  • Die Wahrung der Betroffenenrechte (Auskunft, Löschung…) bei Ihren eigenen Verarbeitungen bleibt Ihre Aufgabe.
  • Filterung und Aktivitätsprotokolle der Beschäftigten müssen angekündigt und verhältnismäßig sein, im Einklang mit dem Arbeitsrecht.

Quellen · Règlement (UE) 2016/679 — EUR-Lex (neuer Tab)

Siehe auch