Wenn ein Kunde „bitte AVV + TOMs + Sub‑Processor‑Liste + Ansprechpartner“ schreibt, startet im Mittelstand oft das Chaos. Bau eine kleine interne Onboarding‑App, die anfordert, versioniert, freigibt und nachweisbar ablegt. Das ist nicht nur „Compliance“ – das ist Sales‑Speed.
Primärquelle (kurz, aber wichtig)
Wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet, braucht ihr i.d.R. einen Vertrag nach Art. 28 DSGVO (inkl. Pflichtinhalte). Und ihr müsst „geeignete technische und organisatorische Maßnahmen“ sicherstellen (Art. 32 DSGVO).
Primärquelle:
- DSGVO (Reg. (EU) 2016/679) auf EUR‑Lex: https://eur-lex.europa.eu/eli/reg/2016/679/oj
Hinweis: Keine Rechtsberatung. Für euren konkreten Fall bitte Datenschutz/Legal einbinden.
Pain/Case Hook: Der Deal hängt nicht am Produkt – sondern am Papierkram
Typische Situation 2026:
- Einkauf/IT beim Kunden will in 48–72h: AVV, TOMs, Sub‑Processor‑Liste, ISO‑Nachweise, Ansprechpartner, Speicherorte.
- Bei euch liegen die Sachen in:
- E‑Mails („hat das nicht die Kollegin?“)
- alten PDFs („welche Version war’s?“)
- 3 verschiedenen SharePoint‑Ordnern („welcher ist final?“)
Ergebnis:
- Rückfragen-Schleife
- verpasste Deadlines
- unnötige Risiko-Diskussionen
Lösung: Vendor‑Onboarding wie einen Produkt‑Flow bauen – nicht wie ein Nebenbei‑Prozess.
Das Minimal‑System: 1 Inbox + 1 Status + 1 Audit‑Trail
Eine Mini‑App muss nicht „GRC“ sein. Sie muss zuverlässig sein.
Bausteine (80/20):
- Anforderungs‑Template (AVV/TOMs/Fragebogen) pro Kundentyp
- Dokumenten‑Vault (Versionen, Ablaufdaten, Owner)
- Freigabe‑Workflow (Datenschutz/IT/Sales)
- Beweis-Paket als Export (ZIP/PDF‑Bundle + changelog)
Was die App konkret können sollte (ohne Overkill)
Rollen & Rechte
- Sales darf anstoßen + Status sehen
- Datenschutz/IT kann Inhalte freigeben
- „Final“ ist wirklich final (immutable oder mit History)
Automatisierung
- Ablaufdatum‑Reminder (z.B. TOMs/ISO jährlich)
- Sub‑Processor‑Änderungen: „notify + approve“
- Kunden‑Paket generieren: 1 Klick
Transparenz
- Zeitstempel: wer hat was wann hochgeladen/geändert/freigegeben
- Status: Requested / In Review / Approved / Sent
Checkliste 1: AVV/TOM‑Paket (Copy/Paste)
- AVV (Art. 28) mit Pflichtinhalten (Gegenstand, Dauer, Art/Zweck, Kategorien, Pflichten/Rechte)
- TOMs (Art. 32) als aktuelles Dokument (Version + Datum)
- Liste Unterauftragnehmer / Sub‑Processor + Änderungsprozess
- Datenflüsse (wo werden Daten verarbeitet/gespeichert?)
- Ansprechpartner (DPO/DSB, Security, Incident‑Kontakt)
- Incident‑Prozess (Meldung, Fristen, Kontaktwege)
- Aufbewahrung/Löschung (retention + deletion)
Checkliste 2: Mini‑App Spezifikation (damit’s in 14 Tagen steht)
- MUSS: Zentraler Dokumenten‑Ort + Versionierung
- MUSS: Status-Board (pro Kunde/Anfrage)
- MUSS: Freigabe-Schritt (Legal/DSB/IT)
- MUSS: Export als „Customer Evidence Pack“
- SOLL: Ablaufdatum‑Reminder + Renewals
- SOLL: Templates pro Kundentyp (Enterprise vs. Mittelstand)
- NICE: Auto‑Redaction (schwärzen), falls ihr nicht alles teilen wollt
- NICE: Integrationen (HubSpot, Jira, SharePoint, Google Drive)
14‑Tage Plan (realistisch)
- Tag 1–2: Dokumente inventarisieren (was ist „final“?) + Template definieren
- Tag 3–5: Vault + Versionierung + Owner + Metadaten (expiry, docType)
- Tag 6–8: Status‑Flow + Rollen/Rechte + Freigabe
- Tag 9–11: Export‑Paket + Audit‑Trail
- Tag 12–14: Reminder + SOP (1‑Pager) + „Sales‑Playbook“
CTA: Wir bauen euch die Vendor‑Onboarding Mini‑App
Schickt uns:
- eure 3 häufigsten Kunden‑Anforderungen (AVV/TOM/Fragebogen…)
- wo eure Dokumente heute liegen (Drive/SharePoint/Confluence)
- wer freigibt (Sales/DSB/IT)
Wir bauen daraus eine kleine interne App, die Anfragen schnell, sauber und auditierbar erledigt – ohne GRC‑Monster.