SaaS GDPR Compliance Checklist: Technical Implementation Guide

TL;DR: Die DSGVO gilt für jedes SaaS mit EU-Nutzern – unabhängig davon, wo das Unternehmen ansässig ist. Dieser Leitfaden deckt die technischen und rechtlichen Anforderungen ab: Dateninventar, Einwilligungsmanagement, Anträge auf Datenzugang (DSAR), Recht auf Löschung, Datenverarbeitungsvereinbarungen und Meldeprozesse bei Datenschutzverletzungen.

Einleitung

Die DSGVO ist für SaaS-Produkte keine Option. Selbst wenn Sie nur einen einzigen Nutzer aus der EU haben, gilt die DSGVO für Ihr Unternehmen. Die Verordnung regelt, wie Sie personenbezogene Daten erheben, speichern, verarbeiten und löschen. Einen umfassenderen Überblick über die rechtlichen Vereinbarungen, die Ihr SaaS benötigt, finden Sie unter SaaS Legal Essentials.

Technische Implementierung

Die technische Umsetzung der DSGVO-Compliance erfordert Endpunkte für den Datenexport (DSAR), das Recht auf Löschung und das Einwilligungsmanagement. Die folgenden Server-Funktionen behandeln diese zentralen Anträge von betroffenen Personen:

// Datenauszug für DSAR
export const exportUserDataFn = createServerFn({ method: 'GET' })
  .handler(async ({ context }) => {
    const userId = context.user.id

    const [profile, subscriptions, events] = await Promise.all([
      db.selectFrom('users').where('id', '=', userId).executeTakeFirst(),
      db.selectFrom('subscriptions').where('user_id', '=', userId).execute(),
      db.selectFrom('events').where('user_id', '=', userId).execute(),
    ])

    return { profile, subscriptions, events }
  })

// Recht auf Löschung
export const deleteUserDataFn = createServerFn({ method: 'POST' })
  .handler(async ({ context }) => {
    const userId = context.user.id
    // Alle Benutzerdaten anonymisieren oder löschen
    await db.deleteFrom('events').where('user_id', '=', userId).execute()
    await db.deleteFrom('sessions').where('user_id', '=', userId).execute()
    await db.updateTable('users')
      .set({ email: `deleted-${userId}@anon.com`, name: 'Deleted User', anonymized: true })
      .where('id', '=', userId)
      .execute()
  })

Diese Funktionen decken die zwei häufigsten Anträge betroffener Personen ab – Datenportabilität und das Recht auf Vergessenwerden. Zum Absichern dieser Endpunkte und zum Schutz von Benutzerdaten empfehle ich, Best Practices für SaaS-Sicherheit anzuwenden.

DSGVO-Checkliste

Das Einwilligungsmanagement erfordert sowohl eine Cookie-Einwilligungsimplementierung im Frontend als auch ein Backend-System zum Speichern von Einwilligungsnachweisen mit Zeitstempeln.

Fazit

DSGVO-Compliance ist eine Kombination aus rechtlicher Dokumentation und technischer Implementierung. Die technische Seite – Einwilligungsmanagement, Datenauszug, Recht auf Löschung – lässt sich mit TanStack Start Server-Funktionen unkompliziert umsetzen. Für SaaS-Produkte, die global expandieren, finden Sie unter International SaaS Data Compliance regionsspezifische Anforderungen über die DSGVO hinaus.