Trust Center für KMU: Was auf ein öffentliches Sicherheitsprofil gehört

Inhalt in Kürze

• Ein Trust Center ist eine öffentliche Seite, die Sicherheitsfragen beantwortet, bevor jemand ein Excel schickt. Freiwillig, keine Pflicht.
• Kennzahlen aus Schulungen gehören erst ab einer Belegschaft von etwa 25 Personen auf eine öffentliche Seite — Maßstab ist Erwägungsgrund 26 DSGVO, und die Unternehmensgröße steht im Handelsregister.
• Art. 37 Abs. 7 DSGVO verlangt die Kontaktdaten des Datenschutzbeauftragten, nicht den Namen. Eine Funktionsadresse genügt.
• „Zertifikat” und „eigener Nachweis” gehören sichtbar getrennt — § 5 UWG gilt auch im Geschäftsverkehr.

Der Fragebogen Ihres Auftraggebers ist zu 80 Prozent vorhersagbar. Dieselben acht Themen, andere Reihenfolge. Die naheliegende Antwort darauf ist eine Seite, auf der die Antworten schon stehen — ein Trust Center, oder auf deutsch: ein öffentliches Sicherheitsprofil.

Die Idee ist nicht neu. Mehrere Anbieter haben Trust Center im Programm, teils mit Zugriffsstufen, teils mit kostenlosem Einstiegstarif. Für kleine und mittlere Betriebe scheitert die Umsetzung selten am Werkzeug, sondern an zwei Fragen: Was darf da eigentlich stehen — und was besser nicht?

Was ein Trust Center leistet

Es verschiebt Arbeit vom Einzelfall in die Vorbereitung. Statt für jeden Kunden dieselben Angaben neu abzuschreiben, verweisen Sie auf eine Adresse. Drei Effekte, die sich in der Praxis zeigen:

• Weniger Rückfragen. Wer vorab liest, dass Sie Mehr-Faktor-Anmeldung einsetzen und einen Notfallplan haben, streicht diese Zeilen aus seiner Datei.
• Kürzere Einkaufsprozesse. Die Seite steht bereits, wenn die Anfrage kommt. Das ist der Unterschied zwischen zwei Werktagen und zwei Wochen.
• Ein einziger Stand. Solange Antworten in fünf ausgefüllten Excel-Dateien liegen, gibt es fünf Wahrheiten. Eine gepflegte Seite ist die einzige.

Die Grenze: wann Kennzahlen zu Personendaten werden

Der beliebteste Baustein ist eine Kennzahl aus dem Schulungswesen: „96 Prozent der Beschäftigten haben die Datenschutzunterweisung 2026 abgeschlossen.” Das wirkt sachlich und ist bei 300 Mitarbeitenden auch unbedenklich.

Bei zwölf Mitarbeitenden ist es etwas anderes. Maßstab ist Erwägungsgrund 26 DSGVO: Ob eine Person identifizierbar ist, beurteilt sich nach allen Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden. Und die Größe eines Unternehmens ist kein Geheimnis — sie steht im Handelsregister und im Jahresabschluss.

Rechnen Sie es durch: Bei zwölf Beschäftigten heißt „92 Prozent abgeschlossen”, dass genau eine Person offen ist. Wer die Belegschaft kennt — Kunden, Wettbewerber, ehemalige Mitarbeitende —, kommt der Person näher, als Ihnen lieb ist. Bei einer Phishing-Simulation wird daraus schnell eine Aussage über eine einzelne Person.

Ansprechpartner: was Pflicht ist und was Wirkung hat

Art. 37 Abs. 7 DSGVO verlangt, die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Der Name steht dort nicht. Eine Funktionsadresse wie datenschutz@ihre-domain.de erfüllt die Vorschrift vollständig — und sie überlebt einen Personalwechsel, ohne dass jemand die Seite anfassen muss.

Trotzdem lohnt an einer Stelle die Zugabe: Ein benannter Ansprechpartner mit Rolle und Erreichbarkeit wirkt auf der Gegenseite verbindlicher als ein Postfach. Der Einkauf will wissen, wer zurückruft. Wer den Namen nicht öffentlich machen will, nennt Rolle und Funktionsadresse und den Namen erst in der Antwort auf die konkrete Anfrage.

Zertifikat oder Eigenauskunft — nie im selben Kasten

Ein Zertifikat entsteht durch eine Prüfung, die jemand anderes durchführt. Ein Sicherheitsprofil entsteht dadurch, dass Sie es ausfüllen. Beides ist wertvoll. Beides zusammen in einem Kasten mit Siegeloptik ist ein Problem: Nach § 5 UWG handelt unlauter, wer irreführende Angaben über Prüfungen und Auszeichnungen macht — und das UWG gilt nicht nur gegenüber Verbrauchern, sondern auch zwischen Unternehmen.

Diese Trennung ist auch im eigenen Interesse. Wer eine Eigenauskunft als Eigenauskunft ausweist, kann sie ohne Prüfaufwand aktualisieren. Wer sie wie ein Zertifikat aussehen lässt, muss sie verteidigen.

Maschinell formulierte Antworten kennzeichnen

Sicherheitsprofile werden zunehmend mit Unterstützung von Sprachmodellen ausgefüllt — eine vorhandene Antwort wird auf die Formulierung des Kunden umgeschrieben. Das spart Zeit und ist unproblematisch, solange die Herkunft erkennbar bleibt.

Art. 50 Abs. 2 der Verordnung (EU) 2024/1689 verlangt für synthetisch erzeugte Inhalte eine Kennzeichnung in maschinenlesbarem Format; die Vorschrift gilt seit dem 02.08.2026. Wer maschinell formulierte Antworten sichtbar und maschinenlesbar markiert, erfüllt nicht nur eine Vorgabe, sondern liefert der Gegenseite ein Argument: Die Antwort ist umformuliert, der Sachverhalt dahinter geprüft.

Aus der Praxis

Viele Unternehmer denken, ich bin doch zu klein für das ganze Thema Datenschutz. Wir haben Mandanten mit drei, vier, fünf Mitarbeitern – die arbeiten für große Kunden mit enormen Ansprüchen an den Datenschutz.

Nils OehmichenDatenschutzberater bei frag.hugo

Genau diese Betriebe profitieren am stärksten von einer öffentlichen Seite — und genau sie müssen bei Kennzahlen am vorsichtigsten sein. Beides gilt gleichzeitig.

Der Aufbau in fünf Blöcken

1. Wer wir sind und wer zuständig ist. Rechtsform, Standort, Rolle des Sicherheits- und Datenschutzansprechpartners, Kontaktweg.
2. Wie wir arbeiten. Richtlinien, Zugriffsschutz, Verschlüsselung, Datensicherung, Schulungsrhythmus — beschreibend, ohne Systemdetails.
3. Was im Ernstfall passiert. Meldeweg, Reaktionszeiten, Ansprechpartner. Dazu die Meldestelle für Schwachstellen, siehe security.txt und Meldeseite im Sicherheitsprofil.
4. Wen wir einsetzen. Die Liste der Dienstleister mit Zweck und Standort. Wer sie ohnehin führt, kann sie zeigen.
5. Was auf Anfrage kommt. Ein klarer Satz, welche Unterlagen es gegen Vertraulichkeitsvereinbarung gibt. Das ist der Unterschied zwischen „nichts dazu" und „nicht öffentlich".

Dazu ein sichtbares Stand-Datum. Es kostet nichts und beantwortet die erste Frage jedes Prüfenden.

Ihr nächster Schritt

Fangen Sie mit Block eins bis drei an, veröffentlichen Sie diese und ergänzen Sie den Rest über die nächsten Wochen. Eine Seite mit drei ehrlichen Blöcken ist wertvoller als eine vollständige, die nie fertig wird.

Wie Sie den Fragebogen selbst angehen, steht im Leitfaden für Zulieferer. Warum Ihr Auftraggeber überhaupt fragt, klärt der Beitrag Was Auftraggeber nach NIS2 von Lieferanten verlangen. Und den Rahmen für die Lieferkette insgesamt liefert Hugo Shield.

Häufige Fragen (FAQ)

Was ist ein Trust Center?

Eine öffentlich erreichbare Seite, auf der ein Unternehmen die Fragen beantwortet, die Kunden und Interessenten sonst per Fragebogen stellen: Verantwortlichkeiten, Richtlinien, Zugriffsschutz, Notfallprozess, eingesetzte Dienstleister und vorhandene Nachweise. Es ist ein freiwilliges Angebot, keine gesetzliche Pflicht.

Ab wann sind Schulungskennzahlen auf einer öffentlichen Seite problematisch?

Maßstab ist Erwägungsgrund 26 DSGVO: Es sind alle Mittel zu berücksichtigen, die nach allgemeinem Ermessen wahrscheinlich zur Identifizierung genutzt werden. Die Beschäftigtenzahl eines Unternehmens ist über das Handelsregister öffentlich zugänglich. Bei einer Belegschaft unterhalb von rund 25 Personen lässt sich aus einer Quote wie „83 Prozent geschult” auf einzelne Personen zurückrechnen. Darunter gehören solche Kennzahlen nicht auf eine öffentliche Seite.

Muss der Name des Datenschutzbeauftragten auf der Seite stehen?

Nein. Art. 37 Abs. 7 DSGVO verlangt die Veröffentlichung der Kontaktdaten des Datenschutzbeauftragten und deren Mitteilung an die Aufsichtsbehörde — nicht den Namen. Eine Funktionsadresse erfüllt die Vorschrift. Ein benannter Ansprechpartner wirkt für Interessenten oft verbindlicher, ist aber eine freiwillige Zugabe.

Darf ich ein selbst erstelltes Sicherheitsprofil als Zertifikat bezeichnen?

Nein. Ein Zertifikat setzt die Prüfung durch eine unabhängige Stelle voraus. Ein selbst ausgefülltes Profil ist eine Eigenauskunft. Beides zu vermischen kann eine irreführende geschäftliche Handlung nach § 5 UWG sein — und das UWG gilt auch im Verhältnis zwischen Unternehmen.

Was gehört nicht auf ein öffentliches Sicherheitsprofil?

Netzpläne, Systemversionen, Firewall-Regeln, Namen und Durchwahlen einzelner Beschäftigter, offene Befunde aus laufenden Prüfungen sowie Kennzahlen, die bei kleiner Belegschaft auf Einzelpersonen zurückführen. Solche Angaben gehören in einen zugangsbeschränkten Bereich oder in die Antwort auf eine konkrete Anfrage.

Wie oft muss ein Trust Center aktualisiert werden?

Es gibt keine gesetzliche Frist. Praktisch sinnvoll ist ein sichtbares Stand-Datum und eine jährliche Durchsicht, zusätzlich anlassbezogen bei neuen Dienstleistern, neuen Zertifikaten oder Änderungen an Ansprechpartnern. Eine veraltete Seite mit Datum ist besser als eine aktuelle ohne.