Was ComplianceScan für Sie prüft

Website-Scanner

Der Quick-Scan prüft die Startseite und einige interne Unterseiten (bis zu 5 Seiten), der Full-Scan folgt der Sitemap und prüft deutlich mehr Seiten. Ergebnis ist ein Score von 0 bis 100 mit aufgeschlüsselten Abzügen — jeder Abzug mit der Norm, auf die er sich stützt.

• Cookies und Browser-Speicher, die vor der Einwilligung gesetzt werden (Art. 5 Abs. 3 ePrivacy-RL; in Deutschland § 25 TDDDG, in Österreich § 165 Abs. 3 TKG 2021)
• Tracker und Drittanbieter-Verbindungen, inklusive Übermittlung in Drittländer (Art. 44 ff. DSGVO)
• Consent-Banner: Erkennung, Ablehnen-Pfad und Global Privacy Control
• Extern geladene Schriften (vgl. LG München I, 3 O 17493/20)
• TLS-Konfiguration der Website sowie SPF, DMARC und DANE der Mail-Domain
• Pflichtseiten: Impressum und Datenschutzerklärung
• Abgleich zwischen dem, was die Datenschutzerklärung angibt, und dem, was tatsächlich gemessen wurde

Beispielbericht ansehen

Verarbeitungsverzeichnis

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO entsteht über einen geführten Fragebogen statt über eine leere Vorlage.

• Geführter Fragebogen — Sie beantworten Fragen, statt Felder zu erraten
• Zwecke, Rechtsgrundlagen, Kategorien betroffener Personen und Löschfristen
• Auftragsverarbeiter und Übermittlungen in Drittländer
• PDF-Export als Grundlage für Ihre finale Dokumentation

DSFA-Ersteinschätzung

Im Verarbeitungsverzeichnis erhält jede Verarbeitungstätigkeit eine unverbindliche Ersteinschätzung, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO naheliegt. Die Folgenabschätzung selbst erstellt ComplianceScan nicht.

• Vorabprüfung, ob eine DSFA erforderlich ist
• Ersteinschätzung je Verarbeitungstätigkeit: Risikostufe niedrig, mittel oder hoch
• Begründet mit festen Kriterien wie besonderen Datenkategorien, Kindern als Betroffenen, Drittlandübermittlung und Profiling
• Im VVT-PDF: Ihre eigene Entscheidung, ob eine DSFA erforderlich ist

NIS2-Readiness

Die Selbstbewertung klärt zuerst die Betroffenheit und führt dann durch die Pflichten, die daraus folgen.

• Betroffenheitsprüfung nach Sektor und Unternehmensgröße, getrennt für Deutschland und Österreich
• Verantwortung der Leitung und Governance-Pflichten
• Erfassung der kritischen IT-Assets
• Meldepflichten und die zugehörigen Fristen
• Sicherheit der Lieferkette

NIS2-Betroffenheit prüfen

AI-Act-Klassifizierung

Ihre KI-Systeme werden nach den Risikostufen der KI-Verordnung eingeordnet; daraus ergeben sich die konkreten Pflichten.

• Einordnung in die Risikostufen der Verordnung
• Transparenzpflichten gegenüber Nutzern (Art. 50)
• Pflichtenkatalog je Risikostufe
• Verzeichnis Ihrer KI-Systeme als Dokumentationsgrundlage

Monitoring & Dashboard

Ein einmaliger Scan ist eine Momentaufnahme. Das Monitoring prüft wiederkehrend und meldet sich, wenn sich etwas verschlechtert.

• Wiederkehrende Scans Ihrer Domains
• Benachrichtigung bei Score-Abfall oder neuen kritischen Befunden
• Verlauf und Vergleich zweier Scans
• Mehrere Domains und Organisationen mit Rollen für Ihr Team