Lieferantenpaket zur Sorgfaltsprüfung

Ein Kunde fragt nach Ihren Datenschutz-Nachweisen. Das ist gemeint.

Einkauf und Informationssicherheit beim größeren Kunden wollen ein Dokument für die Akte: wie Sie personenbezogene Daten verarbeiten, an wen Sie sie weitergeben, wohin sie gehen, was bei einer Panne passiert und wer dafür unterschreibt. Rowpa stellt das aus Ihrem Verarbeitungsverzeichnis zusammen, adressiert an den Fragenden, in etwa zehn Minuten.

Kostenlos erstellen Beispiel in der Demo ansehen

Erstellen und lesen ist kostenlos. 49 € einmalig zum Versenden, oder ab Starter für 44 € im Monat enthalten.

Warum diese E-Mail so schwer zu beantworten ist

Die Anfrage kommt meist kurz vor Vertragsschluss: "Bevor wir Sie als Lieferanten anlegen können, senden Sie uns bitte Ihre Datenschutz-Dokumentation." Keine Liste. Keine Vorlage. Sie haben eine Datenschutzerklärung, irgendwo eine Tabelle mit Ihren Tools, einen AVV mit Ihrem Hoster und eine vage Erinnerung an ein Meldeverfahren. Daraus ein Dokument zu machen, das eine Compliance-Abteilung ablegen kann, kostet ein Wochenende, und der Abschluss wartet.

Rowpa hat die meisten Antworten bereits, denn das Verzeichnis aus dem Website-Scan ist genau der Stoff, aus dem das Paket besteht. Das Paket ist dieses Verzeichnis, in der Reihenfolge, in der eine Prüferin es liest, an sie adressiert.

Was im Paket steht

Deckblatt, an den Fragenden adressiert

Für wen, von wem, das Datum und welche Ihrer Verarbeitungstätigkeiten es abdeckt. Arbeiten Sie für diesen Kunden als Auftragsverarbeiter, stehen nur die Tätigkeiten drin, die ihn betreffen.

Wie wir personenbezogene Daten verarbeiten

Ein zusammenhängender Überblick über Hosting, Verschlüsselung bei Übertragung und Speicherung und Zugriffsgrenzen, aus Ihrer Sicherheitsübersicht geschrieben. Der Absatz, der die meisten Fragen der ersten Runde allein beantwortet.

Was wir mit den Daten tun

Die Verarbeitungstätigkeiten aus Ihrem Verzeichnis nach Artikel 30: Zweck, Rechtsgrundlage, Datenkategorien, Löschfristen, beteiligte Dienstleister. Pro Paket wählbar, standardmäßig alle aktiven.

Auftragsverarbeiter und Dienstleister

Jedes Tool, das personenbezogene Daten berührt, mit Rechtsträger, AVV-Status, Hosting-Land und Transfermechanismus, aus der Bibliothek mit über 400 geprüften Einträgen. Die Liste, an der der Einkauf am längsten sitzt, und die einzige, die sich selbst pflegt.

Drittlandtransfers

Wo Daten die EU verlassen, auf welcher Grundlage (Angemessenheitsbeschluss, EU-Standardvertragsklauseln, UK IDTA) und für welche Tätigkeiten. Aus den Transferfeldern Ihres Verzeichnisses, damit nichts behauptet wird, was nicht dokumentiert ist.

Eingesetzte KI-Tools

Die Frage, die der Einkauf seit 2025 stellt. Welche KI-Werkzeuge Sie einsetzen, wofür, und ob Kundendaten zum Training verwendet werden. Ehrlich als noch nicht bewertet ausgewiesen, wenn Sie es nicht erfasst haben.

Technische und organisatorische Maßnahmen

Ihr Sicherheitsprofil, so gedruckt wie Sie es beantwortet haben: MFA und Zugriffskontrolle, Updates, Backups, Monitoring, dazu Ihre Zertifikate mit Ablaufdatum. Rowpa erfindet keine Maßnahme, die Sie nicht erfasst haben, und verschweigt kein Nein.

Wenn etwas schiefgeht

Ihr Verfahren für Datenschutzverletzungen und die darin zugesagten Meldefristen, dazu die Vorfälle, die Sie in Ihrem Trust Center öffentlich gemacht haben. Mehr steht nicht drin.

Beschwerden und Betroffenenrechte

Ihr Beschwerdeverfahren mit Eingangsformular und wie Auskunft, Berichtigung und Löschung innerhalb eines Monats bearbeitet werden. Beides sind erreichbare Seiten, die Leserin kann sie prüfen.

Richtlinien und Verfahren

Ihre aktuelle Datenschutzerklärung und jedes Verfahrensdokument, das Sie anhängen, mit Version und Datum der letzten Veröffentlichung.

Wie dieses Verzeichnis aktuell gehalten wird

Ihr Prüfrhythmus, wann zuletzt geprüft wurde und wann die nächste Prüfung ansteht. Der Abschnitt, der aus einem Dokument den Nachweis eines Prozesses macht.

Bestätigung

Eine Erklärung einer namentlich benannten verantwortlichen Person, dass das Paket zum Erstellungsdatum zutrifft. Die Zeile, die die Frage nach der Verbindlichkeit beendet, bevor sie gestellt wird.

Wie es rausgeht

Als Link. Für jeden mit dem Link, oder hinter der E-Mail-Adresse der Leserin: sie erfährt vor der Eingabe, dass Sie sehen, dass sie geöffnet hat. Links laufen standardmäßig nach 30 Tagen ab und lassen sich jederzeit widerrufen.
Als PDF. Von derselben Seite drucken, wenn das Lieferantenportal einen Anhang will.
Neu erzeugt, wenn sich etwas ändert. Neuer Dienstleister, geänderte Löschfrist: die nächste Fassung desselben Pakets bildet es ab. Ein Paket für einen Kunden lässt sich ein Jahr lang beliebig oft neu erzeugen.
Gezählt. Sie sehen, wie oft der Link geöffnet wurde, aus welchem Land, und bei geschützten Links von wem. So wissen Sie, wann Sie aufhören können nachzufassen.

// Lieferantenpaket zur Sorgfaltsprüfung

Was es nicht ist

Es ist keine Zertifizierung und gibt sich nicht als eine aus. Es ist kein SOC-2-Bericht und kein ISO-27001-Zertifikat; braucht ein Kunde das, sagt das Paket, was Sie haben, und für den Rest ist eine Plattform wie Vanta das richtige Werkzeug. Es wird auch nicht für das Paket geschrieben: jeder Abschnitt stammt aus Ihrem Verzeichnis, das Paket kann also nie mehr behaupten als das Verzeichnis hergibt. Genau darum geht es. Wer eine Aussage gegen Ihr Trust Center prüft, findet dieselbe Antwort.

Wenn stattdessen eine Tabelle kommt

Manchmal will der Kunde kein Dokument, sondern seinen eigenen Sicherheitsfragebogen mit 120 Zeilen ausgefüllt. Auch das macht Rowpa: laden Sie die Datei hoch, und es entwirft die Datenschutzzeilen aus demselben Verzeichnis und die Sicherheitszeilen aus Ihrem Sicherheitsprofil, zeigt den Beleg neben jeder Antwort, markiert die Zeilen, die nur Sie beantworten können, und schreibt die freigegebenen Antworten in die Tabelle zurück. Wie das Beantworten von Fragebögen funktioniert. Die meisten Lieferanten hängen das Paket ohnehin an den Datenschutzteil des Fragebogens an.

Preise

Kostenlos das ganze Paket bauen und lesen, jeden Abschnitt, mit Wasserzeichen. 49 € einmalig (ein Paket-Pass), um ein Paket an einen Kunden zu senden, Neuerzeugungen für ein Jahr und der Freigabelink inklusive; keine hinterlegte Karte, nichts zu kündigen, und der Pass wird auf Ihre erste Abo-Zahlung angerechnet, wenn Sie innerhalb von 30 Tagen abschließen. Starter 44 €/Monat enthält drei Pakete im Monat; Business 99 €/Monat und Business Plus 199 €/Monat enthalten unbegrenzt viele. Alle Preise zzgl. MwSt.

Kostenlos starten Alle Tarife

Häufige Fragen

Ein Kunde hat nach unserer Datenschutz-Dokumentation gefragt. Was will er wirklich?

Fast immer: eine Liste der Auftragsverarbeiter, eine Erklärung, wo die Daten liegen und wie sie geschützt sind, Ihre Datenschutzerklärung, was bei einer Panne passiert, wie Betroffene ihre Rechte ausüben, und einen benannten Ansprechpartner. Manchmal zusätzlich einen unterschriebenen AVV, der ein eigenes Dokument ist. Das Paket deckt alles außer dem AVV selbst ab und verlinkt Ihr Trust Center, wo der AVV veröffentlicht ist.

Kann ich Abschnitte weglassen?

Ja. Der Assistent wählt die Abschnitte nach dem Zweck, den Sie angeben (Onboarding, Ausschreibung, Verlängerung, Prüfung), und Sie können das ändern. Ein Abschnitt ohne erfasste Grundlage wird als noch nicht erfasst ausgewiesen statt mit Floskeln gefüllt, und die Bereitschaftsliste sagt Ihnen vor dem Versand, was fehlt.

Stehen darin Daten unserer Kunden oder Bewerber?

Nein. Es beschreibt, wie Sie personenbezogene Daten verarbeiten. Es enthält nie personenbezogene Daten aus Ihren Systemen und liest nur die Felder Ihres Verzeichnisses, die das Paket lesen darf, was bei jedem Build ein Prüfskript kontrolliert.

Der Kunde will es auf Englisch. Geht das?

Ja. Die Sprache wählen Sie beim Erzeugen. Paket, Freigabeseite und Besucherhinweis gibt es auf Deutsch, Englisch, Französisch und Polnisch.

Was sieht der Kunde, wenn er kein Rowpa hat?

Eine schlichte Seite mit Ihrer Marke, das Paket, und eine kleine Zeile, dass es mit Rowpa erstellt wurde. Er braucht kein Konto, und es wird nichts von ihm verlangt, außer Sie haben die E-Mail-Abfrage gewählt.

Weiterlesen

Schicken Sie das Paket noch heute.

Bauen Sie Ihr ganzes Verzeichnis kostenlos. Bezahlen Sie erst, wenn Sie etwas versenden. Keine Karte nötig.

Kostenlos erstellen