Compliance
Compliance bezeichnet die Einhaltung aller gesetzlichen, regulatorischen und unternehmensinternen Vorgaben. Im Messaging-Umfeld umfasst das DSGVO/Datenschutz, branchen-spezifische Regulierung, Vertragsklauseln (AVV) und technische Sicherheitsstandards. Compliance ist kein Häkchen, sondern ein laufender Zustand.
Was bedeutet Compliance?
Compliance (deutsch: „Regeltreue") ist der Sammelbegriff für die Pflicht eines Unternehmens, sich an alle relevanten Vorschriften zu halten – gesetzliche, regulatorische und freiwillig eingegangene. Im Messaging-Kontext heißt das: Daten dürfen nur in dem Umfang verarbeitet werden, wie es Gesetz und Vertrag erlauben, und das muss jederzeit nachweisbar sein.
Compliance ist breiter als DSGVO-konforme Messaging: Die DSGVO ist die wichtigste Säule, aber daneben stehen IT-Sicherheits-Standards, branchenspezifische Regulierung (z. B. Bankenaufsicht für Fintechs), arbeitsrechtliche Vorgaben und interne Konzern-Richtlinien.
Die wichtigsten Compliance-Domänen für Messaging
| Domäne | Worum es geht | Wer prüft |
|---|---|---|
| Datenschutz (DSGVO) | Erhebung, Speicherung, Nutzung personenbezogener Daten | Aufsichtsbehörden, intern: Datenschutzbeauftragter |
| IT-Sicherheit | Verschlüsselung, Zugriffsschutz, Backups, Incident Response | Audits (ISO 27001, SOC 2), interne Revision |
| Auftragsverarbeitung | AVV mit jedem Dienstleister, der Daten in Ihrem Auftrag verarbeitet | Vertrags-Compliance, Aufsichtsbehörden |
| Telekommunikation | Nationale Regeln für SMS, Anrufe, Marketing-Botschaften | Bundesnetzagentur (DE), nationale Regulierer |
| Branchen-Compliance | Sektorspezifisch: Gesundheit (HIPAA-äquivalente Regeln), Finanzen (BaFin), Kinderschutz | Branchen-Aufsicht |
Compliance-Anforderungen im Messaging-Alltag
- Opt-in vor jeder Marketing-Nachricht: Siehe Double-Opt-in für die saubere Implementierung.
- Identifizierbarer Absender: Jede Nachricht muss erkennen lassen, wer sie sendet (Impressums-Logik).
- Abmelde-Option: Jeder Marketing-Empfänger muss sich mit einem Klick (oder Stoppwort wie „STOPP") abmelden können.
- Geschwärzte Logs: Server-Logs dürfen keine unbeabsichtigten personenbezogenen Daten enthalten (z. B. nicht den vollen Nachrichten-Inhalt).
- Auftragsverarbeitungs-Vertrag: Vor der ersten Nutzung mit jedem Dienstleister abschließen.
- Datenlöschung: Auf Anfrage müssen Daten innerhalb von 30 Tagen gelöscht werden – ohne Hintertüren.
Compliance-Standards, auf die KMU achten sollten
- DSGVO / GDPR – EU-weite Datenschutz-Grundverordnung.
- ISO 27001 – Internationale Norm für Informationssicherheits-Management.
- SOC 2 Type II – Audit-Standard für Service-Anbieter, wichtig für US-Kunden.
- BSI C5 – Cloud-Computing-Compliance-Katalog des Bundesamts für Sicherheit in der Informationstechnik (DE).
- EU AI Act – ab 2026 schrittweise in Kraft, regelt KI-Systeme inklusive Chatbots.
Datenresidenz: Wo Daten liegen, ist Compliance
Für viele deutsche KMU ist es nicht nur juristisch, sondern auch politisch wichtig, dass ihre Daten in der EU liegen. Das umfasst:
- Server in EU-Rechenzentren (Frankfurt, Amsterdam, Dublin)
- Backup-Spiegel ebenfalls EU
- Support-Mitarbeiter, die auf Daten zugreifen, sitzen in der EU
- Subdienstleister sind ebenfalls DSGVO-konform und vertraglich verpflichtet
SendSeven hostet ausschließlich in Deutschland (Frankfurt), Subdienstleister sind in der Datenschutzerklärung gelistet, und der AVV gilt für alle Pakete und lässt sich jederzeit im Tool herunterladen.
Was Compliance nicht ist
Compliance ist keine Marketing-Aussage und kein Häkchen. „Wir sind DSGVO-konform" alleine ist wertlos, ohne nachweisbare Prozesse. Echte Compliance heißt:
- Verantwortlichkeiten benannt (Datenschutzbeauftragter, Sicherheitsbeauftragter)
- Verarbeitungstätigkeiten dokumentiert (Verzeichnis nach Art. 30 DSGVO)
- Regelmäßige interne Audits
- Incident-Response-Plan für Datenschutzverletzungen
- Schulungen für Mitarbeiter, die mit personenbezogenen Daten arbeiten