Welche Compliance-Frameworks gelten für Sie?
Beantworten Sie einige Fragen dazu, was Sie verkaufen, wo Ihre Kunden sind und welche Daten Sie verarbeiten. Sehen Sie, welche Sicherheits-Frameworks Kunden verlangen werden und welche Datenschutzgesetze wahrscheinlich gelten: SOC 2, ISO 27001, HIPAA, PCI DSS, DSGVO, CCPA, PIPEDA und mehr.
Frameworks, Gesetze und was Kunden verlangen
Drei verschiedene Dinge entscheiden, was Sie brauchen. Datenschutz- und Sicherheitsgesetze gelten, weil Menschen an bestimmten Orten sind und welche Daten Sie verarbeiten. Verträge und Branchenprogramme, etwa PCI DSS für Kartendaten oder CMMC für US-Verteidigungsaufträge, gelten wegen der Kunden, mit denen Sie arbeiten. Und Sicherheits-Frameworks wie SOC 2 und ISO 27001 sind selten gesetzlich vorgeschrieben, aber Kunden verlangen sie vor der Unterschrift.
SOC 2 oder ISO 27001?
Beide zeigen Kunden, dass Ihre Sicherheit gesteuert und unabhängig geprüft wird. SOC 2 ist ein Prüfbericht und die übliche Anforderung von US-Kunden. ISO 27001 ist ein Zertifikat und in Europa, im Vereinigten Königreich und in Asien verbreiteter. Die Kontrollen überschneiden sich stark, daher beginnen viele Unternehmen mit dem, was ihre Kunden verlangen, und ergänzen das andere später.
Gelten Datenschutzgesetze auch für B2B-Unternehmen?
Ja. DSGVO, UK GDPR und PIPEDA schützen alle personenbezogenen Daten, auch die von Geschäftskontakten und Beschäftigten Ihrer Kunden. Der CCPA umfasst seit 2023 auch Daten von Beschäftigten und Geschäftskontakten. Wenn Sie personenbezogene Daten im Auftrag von Kunden verarbeiten, sind Sie meist deren Auftragsverarbeiter oder Service Provider, und sie werden einen Auftragsverarbeitungsvertrag verlangen.
Häufige Fragen
Ist das eine Rechtsberatung?
Nein. Es zeigt Ihnen die Frameworks und Gesetze, auf die Ihre Antworten hindeuten, jeweils mit Begründung, damit Sie wissen, was zu prüfen ist. Gesetze haben Ausnahmen und Schwellenwerte; lassen Sie es von einer qualifizierten Beratung bestätigen.
Gilt HIPAA, wenn wir nur Daten für Kliniken hosten?
In der Regel ja. Ein Unternehmen, das Gesundheitsdaten für einen Leistungserbringer oder eine Krankenversicherung erstellt, empfängt, speichert oder übermittelt, ist Business Associate, muss ein Business Associate Agreement unterzeichnen und die HIPAA Security Rule erfüllen.
Brauchen wir PCI DSS, wenn wir einen Zahlungsdienstleister nutzen?
Wenn Kartendaten direkt auf die gehostete Seite oder das Formular des Anbieters gehen und Ihre Systeme nie berühren, ist Ihr Umfang viel kleiner, oft nur ein kurzer Selbstbeurteilungsfragebogen. Bestätigen müssen Sie das trotzdem mit Ihrer Acquiring-Bank.
Ist dieses Tool kostenlos?
Ja. Es ist kein Konto nötig. Wenn Sie Ihre Kontaktdaten angeben und das PDF herunterladen, speichert Sourceably sie, damit unser Team Ihnen helfen kann, es sei denn, Sie wählen „Bitte keine Kontaktaufnahme“.