DEDeutschENEnglish中文简体中文
Demo buchen
Menü

Compliance

DSGVOEU AI ActCybersicherheitAutomotive im ÜberblickE-MarkISA-ValidierungÜbersichtPreise

Accounting

ÜbersichtPreise

Growth

GrowthAuf die Warteliste

KI-Infrastruktur

ÜbersichtModelltrainingAnonymisierungsmodellRechenzentrumOn-PremiseRobotik

Branchen

Fahrtaufnahmen, anonymisiertISA-ValidierungE-Mark für FahrzeugelektronikCE-Kennzeichnung und Markteintritt für RoboterBuchhaltung für EU-Unternehmen in chinesischem Besitz

Unternehmen

MissionTeamKarriereNeuigkeitenKontakt

Sprache

Demo buchen

DSGVO-Lücken gefunden, Dokumente entworfen, Freigabe bei Ihnen.

Agenten erfassen Ihre Datenflüsse, entwerfen Verarbeitungsverzeichnis, DSFA und Richtlinien aus Ihren eigenen Daten und listen auf, was noch offen ist. Live für die DSGVO; ISO 27001 und EU AI Act in Vorbereitung.

Gespräch vereinbarenSo funktioniert es

LiveVerordnung (EU) 2016/679

Interaktive Demo, Beispieldaten

Von Ihrer Website zum freigegebenen Verzeichnis.

Der Agent liest, was Sie schon haben, füllt aus, was die DSGVO verlangt, entwirft die Dokumente und legt Ihnen jedes zur Freigabe vor.

  1. 01

    Er recherchiert

    Der Agent liest Ihre öffentliche Website und die Dokumente, die Sie hochladen, und listet jede verwendete Seite auf.

  2. 02

    Er füllt die Gap-Analyse vor

    Unternehmensdaten, Datenschutzerklärung, Vertreter und Übermittlungen werden aus dem Gefundenen ausgefüllt. Sie prüfen jede Antwort.

  3. 03

    Er entwirft die Dokumente

    Das Verzeichnis der Verarbeitungstätigkeiten entsteht Abschnitt für Abschnitt, von den Angaben zum Verantwortlichen bis zu den technischen und organisatorischen Maßnahmen.

  4. 04

    Sie geben frei

    Nichts ist final, bevor eine Person aus Ihrem Team es freigibt. Freigegebene Dokumente bleiben mit ihrem Stand in der Bibliothek.

Marsstein Compliance
Sprechen Sie mit uns über Ihr erstes Dokument

Die Dokumente, die die DSGVO verlangt.

Jedes beginnt als Entwurf aus Ihren eigenen Angaben und wird erst mit Ihrer Freigabe final.

  • Verzeichnisse und Bewertungen

    • Verzeichnis der Verarbeitungstätigkeiten (Art. 30)
    • Datenschutz-Folgenabschätzung (DSFA)
    • Transfer Impact Assessment (TIA)
    • Interessenabwägung (LIA)
    • Grundrechte-Folgenabschätzung (FRIA, EU AI Act)

  • Verträge

    • Auftragsverarbeitungsvertrag (Art. 28)
    • Vereinbarung zur gemeinsamen Verantwortlichkeit (Art. 26)
    • Standardvertragsklauseln, alle vier Module
    • Geheimhaltungsvereinbarung
    • Betriebsvereinbarung

  • Hinweise und Richtlinien

    • Datenschutzerklärung
    • Cookie-Richtlinie
    • Technische und organisatorische Maßnahmen (TOM)
    • Löschkonzept
    • Verfahren für Betroffenenanfragen
    • Einwilligungserklärung

  • Datenpannen

    • Meldung an die Aufsichtsbehörde
    • Benachrichtigung der Betroffenen
    • Register der Datenpannen
    • Notfallplan für Datenpannen

Womit die Agenten arbeiten.

Jeder Entwurf beruht auf derselben Grundlage, und jeder wartet auf die Freigabe durch eine Person aus Ihrem Team.

  • Rechtsrecherche

    Rechtsprechung und Entscheidungen der Aufsichtsbehörden.

  • Das Profil Ihres Unternehmens

    Angereichert aus Ihrer Website und den Dokumenten, die Sie hochladen.

  • Fragebogen-Checklisten

    Die Gap-Analyse als Fragen, mit Paketen für einzelne Branchen.

  • Vorlagen auf Englisch und Chinesisch

    Die Entwürfe folgen Marssteins eigenem englisch-chinesischen Vorlagensatz.

Für jede Unternehmensgröße.

Dieselben Agenten für ein Gründerteam, ein mittelständisches Unternehmen mit seinem DSB, eine Unternehmensgruppe mit mehreren Gesellschaften und eine Beratung, die die DSGVO für ihre Mandanten umsetzt.

DSGVO-bereit vor dem ersten Enterprise-Deal.

Die DSGVO-Dokumentation großer Unternehmen, ohne deren Budget. Gemacht für Gründer, die schnell handeln.

Die Dokumentation großer Unternehmen, ohne deren Overhead.

Sie bauen ein Produkt, keine Compliance-Abteilung. Marsstein gibt Startups die Compliance-Dokumentation, die größere Unternehmen bei Beratern einkaufen, erstellt von KI-Agenten aus Ihrem eigenen Kontext und zu einem Preis, der zu Seed-Budgets passt. Wächst das Team, wächst Marsstein mit.

Bringen Sie die Unterlagen vor der Due-Diligence-Anfrage in Ordnung.

Gespräch vereinbaren
Marsstein Compliance
Produktdemo, unsere öffentlichen DatenÖffentliche Daten
  1. 01
    Überfordert von der DSGVO

    Die DSGVO hat 99 Artikel und Hunderte von Anforderungen. Für ein Gründerteam, das auf den Product-Market-Fit fokussiert ist, ist schon der Anfang schwer zu finden.

  2. 02
    Due Diligence durch Investoren

    VCs fragen in der Due Diligence zunehmend nach DSGVO-Dokumentation. Fehlt sie, kann das eine Finanzierungsrunde verzögern oder scheitern lassen.

  3. 03
    Kein Budget für Rechtsberatung

    Datenschutzanwälte rechnen nach Stunden ab, und ein DSGVO-Projekt kann mehr kosten als das Rechtsbudget eines Startups für ein ganzes Jahr.

01Wann sollte ein Startup anfangen, über die DSGVO nachzudenken?
Ab Tag eins. Sobald Sie personenbezogene Daten erheben (E-Mail-Adressen, Benutzerkonten, Analytics), gilt die DSGVO. Von Anfang an konform zu sein ist deutlich einfacher, als Compliance nachträglich einzubauen, und genau dafür ist der Starter-Workflow gebaut.
02Prüfen Investoren wirklich die DSGVO-Compliance?
Oft ja: DSGVO-Dokumentation wird in der Due Diligence häufig angefragt. Aktuelle Verzeichnisse, Richtlinien und Auftragsverarbeitungsverträge beantworten die Anfrage schnell.
03Was braucht ein Pre-Seed-Startup mindestens für die DSGVO?
Mindestens: eine Datenschutzerklärung, ein Cookie-Consent-Mechanismus, ein Verzeichnis der Verarbeitungstätigkeiten und AVVs mit Ihren Cloud-Anbietern (AWS, Google Cloud und andere). Marsstein entwirft Datenschutzerklärung, Cookie-Richtlinie, Verzeichnis und AVVs aus Ihrem Geschäftskontext zur Prüfung.
04Kann ich Marsstein als Solo-Gründer nutzen?
Ja. Marsstein setzt keine juristische Expertise voraus. Die KI-Agenten führen Sie Schritt für Schritt durch die Anforderungen, erstellen Dokumentation in verständlicher Sprache und sagen Ihnen, was zu tun ist.

Dürfen EU-Testfahrtaufnahmen nach China? Ein Entscheidungsweg klärt es.

Für OEMs und Zulieferer mit Testflotten in Europa und Entwicklung in China: wann die Übermittlungsregeln der DSGVO greifen, was sie verlangen und was China verlangt, jede Quelle verlinkt.

Eine Frage entscheidet den Weg.

  • 01

    Sind die Daten nach der Anonymisierung noch personenbezogen?

    Prüfen Sie den Datensatz, nicht nur die Bilder: Gesichter und Kennzeichen sind maskiert, aber lässt sich über GPS, Lidar, Zeitstempel oder Fahrzeug-IDs eine Person herausgreifen, verknüpfen oder ableiten (Stellungnahme 05/2014)?

  • 02

    Nein: außerhalb der DSGVO

    Anonyme Daten fallen nicht unter die DSGVO (Erwägungsgrund 26), Kapitel V gilt nicht. Bewahren Sie die Prüfung auf; sie ist Ihr Nachweis, falls das Ergebnis hinterfragt wird.

  • 03

    Ja: Kapitel V gilt

    Für China gibt es keinen Angemessenheitsbeschluss. Die Übermittlung braucht eine Garantie nach Art. 46, in der Regel Standardvertragsklauseln (DSGVO Kapitel V).

  • 04

    Die chinesische Seite, auf beiden Wegen

    Ohne personenbezogene Informationen oder wichtige Daten sind Daten aus Tätigkeiten wie internationalem Handel oder multinationaler Fertigung von Exportverfahren befreit (Art. 3 der CAC-Bestimmungen von 2024). Im Ausland erhobene personenbezogene Informationen, die in China verarbeitet und zurückgegeben werden, sind nach Art. 4 befreit, sofern keine inländischen personenbezogenen Informationen oder wichtigen Daten hinzukommen.

Bleiben die Daten personenbezogen: die Standardvertragsklauseln in vier Schritten.

  • 01

    Prüfen, ob die Daten personenbezogen bleiben

    Ist der Datensatz nach der Prüfung anonym, gilt Kapitel V nicht, und es braucht keine Klauseln. Der Entscheidungsweg oben zeigt, wie entschieden wird.

  • 02

    Das Modul wählen

    Die Klauseln haben vier Module: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter, Auftragsverarbeiter an Verantwortlichen. Welches passt, hängt davon ab, wer in China über die Daten entscheidet.

  • 03

    Recht und Praxis in China bewerten

    Nach Klausel 14 sichern die Parteien zu, keinen Grund zur Annahme zu haben, dass Recht und Praxis im Zielland die Einhaltung verhindern, unter Berücksichtigung der Umstände der Übermittlung und dieses Rechts und dieser Praxis.

  • 04

    Dokumentieren und beobachten

    Die Bewertung wird dokumentiert und der Aufsichtsbehörde auf Anfrage vorgelegt (Klausel 14 Buchst. d); der Datenimporteur meldet, wenn er Gesetzen oder Praktiken unterliegt, die dem widersprechen (Klausel 14 Buchst. e).

Übermittlungsdokumentation, je Datensatz geführt.

Für jede Übermittlung außerhalb der EU entwerfen die Agenten Standardvertragsklauseln (alle vier Module) und ein Transfer Impact Assessment aus Ihrem Kontext, zur Prüfung und Freigabe durch Ihr Team.

Marsstein Compliance hält die Anonymisierungsprüfung, den gewählten Mechanismus und die zugehörigen Unterlagen zusammen mit dem Datensatz fest.

Marsstein bescheinigt nicht, dass ein Datensatz anonym ist, und ersetzt keine Rechtsberatung; die Freigabe erteilen Ihre Rechtsberatung oder Ihr Datenschutzbeauftragter.

Marsstein Compliance
Produktdemo, BeispieldatenBeispieldaten
Ein freigegebenes Transfer Impact Assessment für Fahrzeugdiagnosedaten in Marsstein Compliance, mit Beispieldaten.Ein freigegebenes Transfer Impact Assessment für Fahrzeugdiagnosedaten in Marsstein Compliance, mit Beispieldaten.

Rechtsgrundlage anzeigen.

Die EU-Seite: anonym oder nicht.

Die DSGVO gilt nur für personenbezogene Daten. Erwägungsgrund 26 nimmt anonyme Informationen aus, also Daten, die sich nicht mehr auf eine identifizierte oder identifizierbare Person beziehen, unter Berücksichtigung aller Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um jemanden zu identifizieren.

Kameradaten aus Fahrzeugen sind selten von sich aus anonym. Verpixeln von Gesichtern und Kennzeichen verdeckt direkte Merkmale, doch der Datensatz um die Bilder herum enthält oft GPS-Spuren, genaue Zeitstempel, Lidar-Punktwolken und Fahrzeugkennungen. Die Artikel-29-Datenschutzgruppe (Stellungnahme 05/2014) prüft Anonymisierung an drei Risiken: Herausgreifen, Verknüpfbarkeit und Inferenz. Erfüllt ein Datensatz eines davon nicht, verlangt die Artikel-29-Datenschutzgruppe eine gründliche Bewertung der Identifizierungsrisiken.

Die EDSA-Leitlinien zu vernetzten Fahrzeugen (01/2020) empfehlen, Daten möglichst lokal zu verarbeiten und eine Anonymisierung zu erwägen, bevor sie aus dem Fahrzeug übermittelt werden. Pseudonymisierte Daten bleiben personenbezogen für jeden, der sie re-identifizieren kann. In C-413/23 P (4. September 2025) hat der EuGH entschieden, dass pseudonymisierte Daten für einen Empfänger, der die Personen nicht mit vertretbarem Aufwand re-identifizieren kann, keine personenbezogenen Daten sein müssen.

Bleiben die Daten personenbezogen: Kapitel V.

Übermittlungen personenbezogener Daten in ein Drittland regelt Kapitel V der DSGVO, Art. 44 bis 49. China steht nicht auf der Liste der Länder mit Angemessenheitsbeschluss der Europäischen Kommission, daher braucht eine Übermittlung geeignete Garantien nach Art. 46, in der Praxis die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914.

Die Klauseln allein sind nicht die ganze Arbeit. Nach Klausel 14 sichern die Parteien zu, dass Recht und Praxis des Ziellandes die Einhaltung nicht verhindern, dokumentieren diese Bewertung und legen sie der Aufsichtsbehörde auf Anfrage vor.

Das wird durchgesetzt. Am 2. Mai 2025 verhängte die irische Datenschutzbehörde gegen TikTok Geldbußen von insgesamt 530 Mio. EUR, davon 485 Mio. EUR wegen Verstoßes gegen Art. 46 Abs. 1 DSGVO bei Übermittlungen von Nutzerdaten aus dem EWR nach China.

Die chinesische Seite: Entscheidend ist, wo die Daten erhoben wurden.

Für in China erhobene Daten stufen die CAC-Bestimmungen zur Sicherheit von Fahrzeugdaten (in Kraft seit 1. Oktober 2021) Video- und Bilddaten von außerhalb des Fahrzeugs mit Gesichtern und Kennzeichen als wichtige Daten ein. Wichtige Daten sind in China zu speichern, ihr Export erfordert eine Sicherheitsbewertung.

Für in Europa erhobene Daten sind die CAC-Bestimmungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse von 2024 maßgeblich. Art. 4 befreit personenbezogene Informationen, die im Ausland erhoben, zur Verarbeitung nach China übermittelt und dann wieder ins Ausland gegeben werden, von Sicherheitsbewertung, Standardvertrag und Zertifizierung, solange bei der Verarbeitung keine inländischen personenbezogenen Informationen oder wichtigen Daten hinzukommen. Art. 3 befreit Daten aus Tätigkeiten wie internationalem Handel und multinationaler Fertigung, die keine personenbezogenen Informationen oder wichtigen Daten enthalten.

Anonymisieren in der EU vor der Übermittlung hilft daher auf beiden Seiten: Es kann die Daten aus der DSGVO herausnehmen und, wenn der Datensatz die Anonymitätsprüfung besteht, personenbezogene Informationen aus dem Weg über China heraushalten.

Primärquellen

Öffnen Sie die Dokumente; diese Seite ist eine Zusammenfassung, keine Rechtsberatung.

Häufige Fragen

Ihre Frage ist nicht dabei? Fragen Sie uns direkt.

Gespräch vereinbaren
01Was machen die KI-Agenten?
Sie recherchieren Ihr Unternehmen, finden die Lücken gegenüber der Regulierung und entwerfen die nötige Dokumentation zur Freigabe, statt nur abzulegen, was Sie eintippen.
02Worin unterscheidet es sich von einem GRC-Dashboard?
Ein GRC-Dashboard ordnet, was Menschen eingeben. Hier finden die Agenten, was zu tun ist, und entwerfen es; Sie prüfen und geben frei.
03Ist die KI selbst DSGVO-konform?
Wir dokumentieren unsere eigene Verarbeitung so, wie wir es von Ihnen erwarten: Unsere Datenschutzerklärung nennt jeden Dienst, der personenbezogene Daten verarbeitet, und die Garantie für jede Übermittlung außerhalb der EU. Die KI-Funktionen nutzen die Google Gemini API, und Google verwendet darüber übermittelte Daten nicht zum Training seiner Modelle.
04Wie lange dauert der Start?
Melden Sie sich an, lassen Sie den Agenten Ihr Unternehmen recherchieren und die Gap-Analyse vorausfüllen, und prüfen Sie die ersten Entwürfe mit unserem Team. Wie lange das dauert, hängt von Ihrem Unternehmen ab; den Plan legen wir gemeinsam fest.
05Welche Garantie braucht die Übermittlung von Fahrzeugdaten nach China?
In der Regel Standardvertragsklauseln nach Art. 46 DSGVO, weil es für China keinen Angemessenheitsbeschluss gibt (Durchführungsbeschluss (EU) 2021/914).
06Was verlangt Klausel 14?
Eine Zusicherung, dass Recht und Praxis im Zielland die Einhaltung der Klauseln nicht verhindern, auf Grundlage einer dokumentierten Bewertung, die der Aufsichtsbehörde auf Anfrage vorgelegt wird (Klausel 14).
07Brauche ich Standardvertragsklauseln, wenn die Daten anonymisiert sind?
Nein, wenn der Datensatz nach Prüfung tatsächlich anonym ist: Anonyme Daten fallen nicht unter die DSGVO (Erwägungsgrund 26) und damit nicht unter Kapitel V.

Sehen Sie es mit Ihren eigenen Daten.

Gespräch vereinbaren