Ratgeber
Worauf es wirklich ankommt — jenseits des Wortes „DSGVO-konform“ im Prospekt.
Die unbequeme Wahrheit zuerst: DSGVO-Konformität ist kein Häkchen, das eine Software mitbringt — verantwortlich für die Daten bleibt, wer sie verarbeitet: Sie. Gute Software macht diese Verantwortung tragbar, schlechte macht sie zum Dauerrisiko. Diese Seite zeigt, woran Sie den Unterschied erkennen, bevor Sie beauftragen.
Vier Dinge entscheiden darüber, ob eine individuelle Software ihre Datenschutz-Pflichten trägt oder Sie ihnen hinterherlaufen.
Datenschutz gehört in den Entwurf, nicht in die Nachrüstung: nur die Daten erheben, die die Aufgabe braucht, Zwecke festlegen, sparsame Voreinstellungen. Was von Anfang an nicht gespeichert wird, muss später nicht geschützt, beauskunftet oder gelöscht werden.
Es zählt nicht nur, WO die Daten liegen, sondern wer auf sie zugreifen kann. Ein Server in Frankfurt hilft wenig, wenn sein Betreiber dem Recht eines Drittlands unterliegt. Standort UND Betreiber gehören in die Antwort.
Wer Daten in Ihrem Auftrag verarbeitet — Hoster, Betreiber, eingebundene Dienste — braucht einen Vertrag nach Art. 28 DSGVO. Die Liste der Subdienstleister darin ist der Teil, den man wirklich gelesen haben muss.
Auskunft, Berichtigung, Löschung müssen in der Software MACHBAR sein. Eine Anwendung ohne Löschfunktion macht aus Art. 17 Handarbeit — bei jeder einzelnen Anfrage, für immer.
Stellen Sie diese Fragen vor der Beauftragung — wörtlich. An den Antworten erkennen Sie, ob Datenschutz eingebaut oder draufgeschrieben ist.
Prüffrage 01 · Standort
Eine belastbare Antwort nennt Land, Rechenzentrum und Betreiber — und wer administrativen Zugriff hat. „In der Cloud“ ist keine Antwort, sondern der Anfang der nächsten Frage.
Prüffrage 02 · Drittland
KI-Dienste, Analytik, Schriften, eingebundene Bausteine: jede stille Einbindung ist eine Übermittlung. Schon das Nachladen von Schriften eines US-Anbieters hat Abmahnwellen ausgelöst — fragen Sie nach der vollständigen Liste.
Prüffrage 03 · Betroffenenrechte
Lassen Sie sich zeigen, wie ein Auskunftsersuchen und eine Löschung konkret ablaufen — als Funktion der Software, nicht als Versprechen im Prospekt.
Prüffrage 04 · Meldung
Eine Datenpanne ist der Aufsichtsbehörde binnen 72 Stunden zu melden. Das setzt voraus, dass jemand sie BEMERKT: Protokolle, Überwachung und ein erreichbarer Verantwortlicher gehören zur Antwort.
Konformität ist kein Zustand, den man einmal herstellt — sie ist Arbeit, die jedes Jahr anfällt. Wer sie beim Angebot weglässt, hat sie nur verschoben.
Art. 32 verlangt Sicherheit nach dem Stand der Technik — und der bewegt sich. Sicherheitsupdates und gepflegte Abhängigkeiten sind Datenschutz-Pflicht, nicht Komfort.
Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Rechenschaftspflicht: Im Ernstfall zählt nicht, was getan wurde, sondern was sich belegen lässt.
Eine neue Funktion, ein neuer Dienst, ein neues Feld im Formular — jede Änderung ist datenschutzrechtlich ein neuer Fall. Der Prüfweg muss so selbstverständlich sein wie die Änderung selbst.
Die Plattform ist auf genau diese Prüffragen hin entworfen: Betrieb und Hosting auf eigener Hardware in Deutschland, KI aus Europa — Stand Juli 2026 arbeitet die Plattform ausschließlich mit europäischer KI, ohne Übermittlung in Drittländer. Schriften und Bausteine der gebauten Anwendungen werden selbst gehostet statt von US-Diensten nachgeladen, und der Quellcode gehört den Kunden.
FRIDGARD öffnet in Wellen. Auf der Warteliste erfahren Sie zuerst, wann Ihre Anwendung dran ist — und jede Prüffrage dieser Seite dürfen Sie noalen selbst stellen.
Auf die WartelisteNein. Verantwortlich für die Verarbeitung bleibt, wer die Daten verarbeitet — nicht der Entwickler und nicht der Hoster. Individuelle Software hat aber einen strukturellen Vorteil: Sie kann von Anfang an so entworfen werden, dass die Pflichten — Datensparsamkeit, Auskunft, Löschung — als Funktionen eingebaut sind statt als Ausnahmen nachgerüstet.
Innerhalb der EU gilt einheitliches Datenschutzrecht; ein Standort in Deutschland vereinfacht Aufsicht, Verträge und die Antwort auf die Standortfrage Ihrer eigenen Kunden. Der Standort allein genügt aber nicht: Entscheidend ist auch, wer den Server betreibt und wessen Recht dieser Betreiber unterliegt.
Ein Vertrag nach Art. 28 DSGVO, sobald jemand personenbezogene Daten in Ihrem Auftrag verarbeitet — der Hoster Ihrer Anwendung ebenso wie ein eingebundener Dienst. Er regelt Weisungen, Sicherheit, Subdienstleister und was nach Vertragsende mit den Daten geschieht.
Ja — unter denselben Regeln wie jede andere Verarbeitung: Rechtsgrundlage, Auftragsverarbeitung, und bei Anbietern außerhalb der EU zusätzlich die Regeln für Drittland-Übermittlung. Entscheidend ist, wo und durch wen die KI rechnet. FRIDGARD arbeitet deshalb mit europäischer KI (Stand Juli 2026 ausschließlich).
Nein. Ein Banner verwaltet Einwilligungen für einen Teilbereich — es ersetzt weder Datenschutzerklärung noch Auftragsverarbeitung, Löschkonzept oder sichere Voreinstellungen. Eine Seite ganz ohne Banner, weil sie ohne einwilligungspflichtige Dienste auskommt, ist meist das bessere Zeichen.
Nein. Sie ist Orientierung aus der Praxis des Software-Baus — welche Fragen Sie stellen sollten und woran Sie belastbare Antworten erkennen. Für Ihren konkreten Fall, Ihre Verträge und Ihre Branche bleibt der Weg zu einer datenschutzrechtlichen Beratung der richtige.
Was die Pflichten konkret bedeuten, hängt an Ihrer Arbeit. Für diese Branchen gibt es eigene Seiten — jede mit einem live bedienbaren Beispiel.
Mitglieder, Beiträge, Kasse, Vereinsleben.
Sortiment, Herkunft, Bestellungen, Kurse.
Produktstart, Vorbestellung, die Anwendung dahinter.
Und die Frage, die meist davor kommt: Was kostet individuelle Software? — der ehrliche Ratgeber mit den Zahlen des Markts.
Die Warteliste
Tragen Sie sich ein — Sie bekommen Nachricht, sobald Ihre Welle dran ist.