Die meisten Datenschutzfragen stellen uns Geschäftsführer nebenbei, am Telefon oder zwischen zwei Terminen. Darf das Marketing Canva nutzen? Was kostet es, wenn die Aufsicht anklopft? Diese Liste sortiert kostenlose Datenschutz-Tools und DSGVO-Tools nach solchen Fragen, und bei jedem steht, wofür es nicht taugt.
Seit einem Jahr gestaltet das Marketing mit Canva. Jetzt will ein Kunde den Vertrag zur Auftragsverarbeitung (AVV) sehen, also die Vereinbarung über Ihre Daten beim Dienstleister. Antwort gibt der Prüfstand für Cloud- und KI-Software: zehn Kriterien je Tool, 172 Belege mit Zitat (Stand Oktober 2026). Bei Canva gibt es den AVV nur in den Tarifen Business und Enterprise, bei ChatGPT gehören personenbezogene Daten nur in Business oder Enterprise.
Bisher sind es sieben Tools, am 15. November 2026 folgen Calendly und Mailchimp. AVV und Einstellungen bleiben Ihre Aufgabe.
Ihr AVV mit Microsoft, Google oder HubSpot ist zwei Jahre alt. Seitdem ändern diese Anbieter ihre Listen der Unterauftragsverarbeiter, an die sie Ihre Daten weiterreichen. Nach Art. 28 Abs. 2 DSGVO dürfen Sie widersprechen, wenn Sie davon erfahren.
Hier setzt der tägliche Abgleich der Subunternehmer-Listen an. Er überwacht 17 Anbieter und hat in 90 Tagen 13 Änderungen gefunden (Stand Oktober 2026). Am 17. September 2026 kamen etwa bei HubSpot drei neue Unterauftragsverarbeiter hinzu, wirksam ab 16. Oktober. Wer das erst im November liest, ist meist zu spät dran.
Bei Microsoft 365, Salesforce und Slack meldet der Monitor nur, dass sich die Liste geändert hat, nicht welche Namen. Ihre eigene Dokumentation ersetzt er nicht. Siehe auch: Auftragsverarbeiter kündigen.
Niemand hat KI eingeführt, und trotzdem entstehen im Vertrieb Angebote mit einem Chatbot. Acht Fragen und rund drei Minuten braucht der Selbsttest zu unkontrollierter KI-Nutzung, dann stehen ein Punktwert von 0 bis 100 und drei Maßnahmen da. „Weiß ich nicht“ zählt fast wie die schlechteste Antwort.
Es bleibt eine Selbsteinschätzung ohne Zugriff auf Ihr Microsoft 365. Wie man den Bestand erhebt, steht in unserem Artikel zu Schatten-KI im Mittelstand.
Für Bewerbungen soll ein Programm getestet werden, das vorsortiert. In höchstens 11 Schritten führt der Fragebogen zur Einstufung nach dem AI Act zu einer von vier Risikoklassen, zur Rolle und zu den Pflichten mit Frist. Hochrisiko-Pflichten nach Anhang III gelten nach dem Digital-Omnibus ab 2. Dezember 2027.
Nur ein System je Durchgang. Grenzfälle nach Art. 6 bleiben eine Rechtsfrage des Einzelfalls.
Nach einer Meldung über Millionenstrafen fragt ein Geschäftsführer, womit sein Betrieb rechnen muss. Die Sammlung belegter Bußgeldfälle enthält 101 Fälle, 62 aus Deutschland (Stand Oktober 2026). Der deutsche Median liegt bei 62.500 €. Ein Autohändler in Baden-Württemberg zahlte im März 2026 120.000 €, weil Ausweiskopien im Papiermüll landeten.
Bei der Deutschen Wohnen setzte das Landgericht Berlin I im Juni 2026 statt 14,5 Mio. € nur 900.000 € fest, nach Stand Juli 2026 nicht rechtskräftig. Es sind ausgewählte Fälle, keine Vollerhebung. Einordnung im Beitrag zu den DSGVO-Bußgeldern 2026.
Der Beirat fragt, was ein Verstoß beim Kundenportal kosten würde. Mit Umsatz, Art und Schwere des Verstoßes zeigt der Rechner für den Bußgeldkorridor den Rechenweg in fünf Stufen, nach dem DSK-Konzept vom 14.10.2019 und zur Gegenprobe nach den EDSA-Leitlinien 04/2022. Bei 8 Mio. € Umsatz ergibt sich ein Tagessatz von 24.306 €.
Formal gilt das DSK-Konzept seit dem 24.05.2023 nicht mehr, und den Verlauf eines Verfahrens bildet kein Rechner ab.
Ein Schreiben vom Landesdatenschutzbeauftragten liegt auf dem Tisch. Wonach diese Behörde gerade fragt, zeigt der Vergleich der Tätigkeitsberichte aller 18 Aufsichtsbehörden, jede Zahl mit Seitenzitat. Hamburg hat mit 225,7 Beschwerden je 100.000 Einwohner den höchsten Wert.
Die Behörden zählen unterschiedlich, zwei Berichte stammen noch aus dem Berichtsjahr 2024.
Ein Lieferant fragt nach der neuen Bankverbindung, die Sie ihm angeblich geschickt haben. Ob Fremde mit Ihrer Absenderadresse Mails verschicken können, steht in öffentlichen DNS-Einträgen. Sie lesen ihn mit dem Check für SPF, DKIM und DMARC: zehn Prüfpunkte, bei Lücken der fertige DNS-Eintrag zum Kopieren. Die Domain wird nicht gespeichert. Ob DMARC Pflicht ist, klärt unser Beitrag zur DMARC-Pflicht unter NIS2 und DSGVO.
Der Check schaut nur von außen aufs DNS. Ob Postfächer mit einem zweiten Faktor geschützt sind, sieht er nicht.
„Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern, bei dem der Geschäftsführer eine E-Mail von einem Geschäftspartner bekam. Die E-Mail kam wirklich von diesem Geschäftspartner – trotzdem war es ein Angriff."
Nils OehmichenDatenschutzberater bei frag.hugo
Hier war das Konto des Partners gehackt, kein DNS-Eintrag hilft. Schützen können Sie nur Ihre eigenen Konten, und die prüft der nächste Eintrag.
Eingerichtet hat den Mandanten jemand, der nicht mehr im Haus ist. Zwölf Einstellungen prüft das PowerShell-Skript im Härtungs-Check für Microsoft 365 von hagel IT, etwa Mehr-Faktor-Anmeldung und Weiterleitungen nach außen. Die sieben Berechtigungen sind reine Leserechte, der Quellcode liegt offen auf GitHub.
Sie brauchen PowerShell 7 und etwas Übung. Endgeräte und Backups bleiben außen vor.
Die Beiratssitzung braucht Zahlen. Wie viele deutsche Organisationen Erpressergruppen auf Leak-Seiten veröffentlicht haben, zählt das tägliche Ransomware-Lagebild: 196 Fälle bis zum 21. Oktober 2026, 37 % mehr als im Vorjahreszeitraum.
Wer zahlt oder still verhandelt, taucht nicht auf. Die Zahlen sind eine Untergrenze.
Freitagabend, die Buchhaltung sieht eine Erpressernachricht. Was jetzt zu tun ist, passt mit der ausdruckbaren Notfallkarte von kjello auf eine A4-Seite: vier Handgriffe, fünf Verbote, fünf Nummern, dazu Fristen wie die 72 Stunden nach Art. 33 DSGVO. Eingaben stehen nur in der Adresszeile.
Ein Notfallplan ist sie nicht. Mehr zur Meldung einer Datenpanne binnen 72 Stunden.
Der Steuerberater redet von E-Rechnung, die IT von NIS2. Was davon wann gilt, zeigt der Zeitstrahl aller Compliance-Fristen bis 2028: 45 Fristen aus 18 Gesetzen, belegt mit 85 Zitaten aus Primärquellen (Stand Oktober 2026). Ein Rollenfilter blendet aus, was Sie nicht betrifft. Ab 1. Januar 2027 müssen Unternehmen mit mehr als 800.000 € Vorjahresumsatz E-Rechnungen ausstellen.
Fristen mit dem Status „Entwurf“ können sich noch verschieben.
Eine Agentur programmiert Ihre App, Sie vertreiben sie unter Ihrer Marke. Dann sind Sie nach dem Cyber Resilience Act Hersteller, auch wenn die App nichts kostet. Rolle, Produktklasse und Fristen klärt der Fragebogen zum Cyber Resilience Act in höchstens 11 Fragen.
Taugt nicht für reine Cloud-Dienste, die fallen unter NIS2.
Ein Händler will wissen, ob auf seinen Produktseiten das neue EU-Gewährleistungslabel steht. Es gilt seit dem 27.09.2026, ohne Übergangsfrist. Die Prüfung von Produktseiten auf neue Händlerpflichten sucht nach vier Punkten, darunter GPSR-Angaben und die Kennzeichnung von KI-Chatbots.
Der Scan findet Wörter, Umweltaussagen beurteilt er nicht. Was hinter einem Login steckt, sieht er nicht.
Die erste ZUGFeRD-Rechnung eines Lieferanten liegt im Postfach, und niemand weiß, ob sie vollständig ist. Beim E-Rechnungs-Prüfer von Yupana bleibt die Datei auf Ihrem Rechner. Er prüft elf Pflichtangaben und rechnet die Summen in ganzen Cent nach.
Nur eine Vorprüfung. Die volle Konformitätsprüfung leistet der Validator der KoSIT.
Webbkoll. Die neue Website soll sauber sein. Mit Webbkoll sehen Sie nach einem simulierten Besuch, welche Cookies und Tracker geladen werden. Ob das erlaubt ist, sagt es nicht.
CNIL PIA-Software. Für eine Datenschutz-Folgenabschätzung bietet die französische Datenschutzbehörde eine freie Software zur Folgenabschätzung an. Inhaltlich hilft unsere Anleitung zur DSFA.
Have I Been Pwned. Ob eine Adresse in einem Datenleck steckt, prüft Have I Been Pwned gegen 1.047 erfasste Websites (Stand Oktober 2026). Unbekannte Lecks fehlen.
| Ihre Frage | Werkzeug |
|---|---|
| Dürfen wir Canva, ChatGPT oder Notion nutzen? | DSGVO-Prüfstand |
| Hat ein Cloud-Anbieter einen neuen Subunternehmer? | Subprozessor-Monitor |
| Wer im Team nutzt KI, ohne dass wir es wissen? | Schatten-KI-Check |
| Ist unser KI-Projekt hochriskant? | KI-Risikoklassen-Check |
| Welche Bußgelder sind real? | Bußgeld-Datenbank |
| Wie hoch läge ein Bußgeld bei uns? | Bußgeldrechner |
| Wonach fragt unsere Landesbehörde? | Aufsichtsbehörden-Vergleich |
| Kann jemand Mails in unserem Namen fälschen? | E-Mail-Sicherheitscheck |
| Ist unser Microsoft 365 sicher eingestellt? | Härtungs-Check (hagel IT) |
| Wie oft trifft Ransomware deutsche Firmen? | Cyber-Lagebild |
| Was tut die Buchhaltung im Ernstfall? | IT-Notfallkarte (kjello) |
| Welche Pflicht gilt ab wann? | Fristenkalender |
| Sind wir Hersteller nach dem CRA? | CRA-Hersteller-Check |
| Fehlt im Shop das Gewährleistungslabel? | Shop-Check |
| Ist diese E-Rechnung vollständig? | E-Rechnung prüfen (Yupana) |
| Welche Tracker lädt unsere Website? | Webbkoll |
| Wie dokumentieren wir eine Folgenabschätzung? | PIA-Software (CNIL) |
| Steckt unsere Adresse in einem Datenleck? | Have I Been Pwned |
Alle zwölf eigenen Werkzeuge und sechs weitere Selbsttests finden Sie auf unserer Übersicht der kostenlosen Werkzeuge.
Ein Werkzeug hat etwas gefunden?
Im Erstgespräch sortieren wir, was dringend ist und was warten kann.
Erstgespräch buchen →Ja, ohne Konto. Eine E-Mail-Adresse brauchen nur der Alarm des Subprozessor-Monitors und die KI-Richtlinien-Vorlage im Schatten-KI-Check.
Bußgeldrechner, KI-Risikoklassen-Check und CRA-Check rechnen im Browser. Der E-Mail-Sicherheitscheck speichert die geprüfte Domain nicht.
Nein. Die Werkzeuge zeigen Lücken mit Belegen. Ob eine Pflicht Sie trifft, bleibt eine Frage des Einzelfalls, und unsere Werkzeuge sind keine Rechtsberatung.
Subprozessor-Monitor und Cyber-Lagebild gleichen täglich ab, der Prüfstand prüft alle 90 Tage neu. Die übrigen nennen ihren Stand auf der Seite.
Inhaltsverzeichnis
Fanpage, Like-Button, Kooperation: Wann Sie statt eines AVV eine Vereinbarung nach Art. 26 DSGVO brauchen – mit Abgrenzung, Pflichtinhalten und Bußgeldrisiko.
Weiterlesen: Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): Wenn ein AVV nicht reicht
Löschkonzept nach DSGVO erstellen: Praxis-Anleitung mit Aufbewahrungsfristen, DIN 66398 und Checkliste für KMU.
Weiterlesen: Löschkonzept DSGVO erstellen – Schritt-für-Schritt-Anleitung
Wie ein Hamburger IT-Dienstleister KI im Kundenservice datenschutzkonform einsetzt — und welche 5 Stellschrauben Sie für Ihr eigenes Unternehmen mitnehmen.
Weiterlesen: DSGVO-konforme KI in der IT-Betreuung: ein Praxisbeispiel aus HamburgÜber den Autor
Datenschutzberater & Geschäftsführer
Nils ist TÜV-zertifizierter Datenschutzbeauftragter. Seit über 13 Jahren betreut er Mittelständler bei DSGVO, NIS2 und dem EU AI Act. Geschäftsführer der frag.hugo Informationssicherheit GmbH und der datuno GmbH, leitet außerdem die BVMID-Geschäftsstelle Hamburg Süd/Ost.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
