--- title: "Papermark DSGVO-Konformität 2026: AVV, Auftragsverarbeiter und EU-Datenresidenz" lang: de canonical_url: https://www.papermark.com/de/blog/papermark-gdpr-compliance last_updated: 2026-04-24 published: 2025-01-27 category: [datarooms] author: "Marc Seitz" summary: "Papermarks DSGVO-Konformität erklärt: AVV, Auftragsverarbeiter, Datenresidenz, Betroffenenrechte und wie wir die EU-Datenschutzanforderungen für VDR-Workflows erfüllen." --- # Papermark DSGVO-Konformität 2026: AVV, Auftragsverarbeiter und EU-Datenresidenz **Papermark ist DSGVO-konform** in allen virtuellen Datenraum-, Dokumentenfreigabe- und Analyse-Workflows. Wir agieren als Auftragsverarbeiter (im Sinne der DSGVO) für Kunden, die Daten von EU-Bürgern verarbeiten, bieten einen unterzeichneten Auftragsverarbeitungsvertrag (AVV), führen eine öffentliche Liste der Unterauftragsverarbeiter und unterstützen EU-Datenresidenz für Bereitstellungen, die dies erfordern. Die vollständige Sicherheits- und Compliance-Übersicht (Verschlüsselung, Hosting-Regionen, Zertifizierungen) finden Sie auf der **[Papermark-Sicherheitsseite](https://www.papermark.com/de/security.md)**. ![Papermark-Datenraum mit granularen Zugriffsberechtigungen](https://img.papermarkassets.com/upload/file_LkU4BNY6MKUKMgDucSzzFg-papermark-granular-permissions.png) Dieser Leitfaden erklärt ausführlich, wie wir jede DSGVO-Anforderung erfüllen und was dies für Kunden bedeutet, die EU-regulierte Workflows auf Papermark betreiben. ## Kurze Zusammenfassung - **DSGVO** (EU-Verordnung 2016/679) regelt die Verarbeitung personenbezogener Daten von EU-Bürgern und ist seit Mai 2018 wirksam. - **Papermark ist DSGVO-konform** als Auftragsverarbeiter und arbeitet auf Grundlage eines unterzeichneten AVV mit Kunden, die Daten von EU-Bürgern verarbeiten. - **Rechtsgrundlage** für die Verarbeitung: Vertrag (Kundenservice), berechtigtes Interesse (Sicherheit, Betrugsprävention) und Einwilligung (Marketing), je nach Anwendungsfall. - **Unterstützte Betroffenenrechte**: Auskunft, Berichtigung, Löschung ("Recht auf Vergessenwerden"), Datenübertragbarkeit, Widerspruch und Einschränkung der Verarbeitung. - **Technische Schutzmaßnahmen**: AES-256-Verschlüsselung im Ruhezustand, TLS 1.3 bei der Übertragung, MFA, rollenbasierte Zugriffskontrolle, Append-only-Audit-Protokollierung und SOC 2 Type II. - **EU-Datenresidenz** verfügbar für Enterprise-Bereitstellungen über die Self-Hosting-Option oder EU-Cloud-Regionen. - **Bußgelder bei Nichteinhaltung** können bis zu 4 % des weltweiten Umsatzes oder 20 Mio. € (je nachdem, welcher Betrag höher ist) betragen. - **Unterauftragsverarbeiter** werden öffentlich mit den von ihnen erbrachten Diensten und den Rechtsräumen, in denen sie tätig sind, aufgeführt. ## Was ist DSGVO-Konformität? > Die Datenschutz-Grundverordnung (DSGVO) ist ein umfassendes Datenschutzgesetz der Europäischen Union, das regelt, wie Organisationen personenbezogene Daten von EU-Bürgern erfassen, verarbeiten, speichern und schützen. Sie gilt für jede Organisation, die Daten von EU-Bürgern verarbeitet, unabhängig vom Standort der Organisation. Bei Nichteinhaltung drohen Bußgelder von bis zu 4 % des weltweiten Umsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist. Die DSGVO basiert auf sieben Grundsätzen: rechtmäßige Verarbeitung, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Für einen virtuellen Datenraum, der vertrauliche Geschäftsdokumente mit personenbezogenen Daten von Mitarbeitern, Investoren oder Vertragspartnern verarbeitet, ist die DSGVO-Konformität nicht optional. ## Warum die DSGVO für virtuelle Datenräume wichtig ist Virtuelle Datenräume verarbeiten routinemäßig personenbezogene Daten im Rahmen von M&A-, Fundraising- und Audit-Workflows: Personalakten bei HR-Due-Diligence, Kontaktdaten von Investoren, Unterzeichner von Kundenverträgen, personenbezogene Daten von LP-Investoren. Vier Gründe machen die DSGVO-Konformität für die Auswahl eines VDR unerlässlich. **Globale Reichweite.** Die DSGVO gilt für jede Organisation, die Daten von EU-Bürgern verarbeitet, unabhängig vom eigenen Standort der Organisation. Ein US-Unternehmen, das Kapital von europäischen LPs einwirbt, muss einen DSGVO-konformen VDR verwenden. **Rechtliche Risiken.** Bußgelder bei Nichteinhaltung skalieren mit dem weltweiten Umsatz: bis zu 4 % oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist. Die Verwendung eines nicht konformen VDR schafft Haftungsrisiken für den Kunden, nicht nur für den Anbieter. **Anbieter-Due-Diligence.** EU-Kunden verlangen zunehmend DSGVO-Dokumentation (Auftragsverarbeitungsvertrag, Liste der Unterauftragsverarbeiter, Datenspeicherort) im Rahmen des Anbieter-Onboardings. Ein nicht DSGVO-konformer VDR fällt bei dieser Prüfung durch. **Vertrauen der betroffenen Personen.** EU-Aufsichtsbehörden und Gerichte prüfen grenzüberschreitende Datenübermittlungen zunehmend kritisch, insbesondere an US-Cloud-Anbieter nach Schrems II. Ein VDR mit dokumentierter DSGVO-Compliance reduziert dieses Risiko. ## Wie Papermark die DSGVO-Anforderungen erfüllt Papermark fungiert als **Auftragsverarbeiter** für Kunden, die **Verantwortliche** der von ihnen hochgeladenen Informationen sind. Wir verarbeiten personenbezogene Daten gemäß den Weisungen unserer Kunden, wie in unserem AVV definiert. ### Rechtmäßige Verarbeitung und Rechtsgrundlage Papermark verarbeitet personenbezogene Daten auf vier Rechtsgrundlagen, je nach Anwendbarkeit: - **Vertrag**: Verarbeitung erforderlich zur Erbringung der Dienstleistung (Kontoverwaltung, Dokumentenspeicherung, Analytics). - **Berechtigtes Interesse**: Sicherheitsüberwachung, Betrugsprävention, Plattformbetrieb. - **Einwilligung**: Marketing-Kommunikation und optionale Analytics-Erweiterungen. - **Gesetzliche Verpflichtung**: Buchhaltung, Steuern und regulatorische Compliance. ### Unterstützte Rechte der betroffenen Personen Betroffene Personen (die Personen, deren Daten verarbeitet werden) können die folgenden Rechte über ihr Konto oder durch einen formellen Antrag ausüben: - **Recht auf Auskunft** (Artikel 15): Anforderung einer Kopie der verarbeiteten personenbezogenen Daten. - **Recht auf Berichtigung** (Artikel 16): Korrektur unrichtiger oder unvollständiger Daten. - **Recht auf Löschung** (Artikel 17, „Recht auf Vergessenwerden“): Anforderung der Löschung, wenn die Rechtsgrundlage nicht mehr gilt. - **Recht auf Datenübertragbarkeit** (Artikel 20): Export personenbezogener Daten in einem strukturierten, gängigen Format. - **Widerspruchsrecht** (Artikel 21): Widerspruch gegen die Verarbeitung aufgrund berechtigten Interesses oder Direktmarketing. - **Recht auf Einschränkung der Verarbeitung** (Artikel 18): Einschränkung der Verarbeitung bis zur Prüfung einer Berichtigung oder eines Widerspruchs. - **Recht, nicht einer automatisierten Entscheidung unterworfen zu werden** (Artikel 22). ### Technische Schutzmaßnahmen ![Dynamisches Wasserzeichen auf einem Papermark-Dokument](https://img.papermarkassets.com/upload/file_K5YrPULdsZpdY6zaxnGHsN-Screenshot-2025-03-27-at-1.47.20-PM.png) Technische Kontrollen von Papermark zur Unterstützung der DSGVO-Compliance: - **Verschlüsselung im Ruhezustand** (AES-256) für alle gespeicherten Dokumente, Metadaten und Audit-Protokolle. - **Verschlüsselung bei der Übertragung** (TLS 1.3) für die gesamte Client-Server-Kommunikation. - **Zugriffskontrollen** mit MFA, rollenbasierten Berechtigungen und begrenzten API-Tokens. - **Netzwerksicherheit** mit WAF, Rate-Limiting und Intrusion Detection. - **Regelmäßige Sicherheitsaudits** einschließlich jährlichem SOC 2 Type II-Audit und Penetrationstests. - **Append-Only-Audit-Protokollierung** für jedes Datenzugriffs- und Änderungsereignis. ### Organisatorische Schutzmaßnahmen - **Privacy by Design** ist in die Produktspezifikationen integriert und wird nicht nachträglich hinzugefügt. - **DSGVO-Schulungen für Mitarbeiter** für alle Beschäftigten mit Datenzugriff. - **Datenschutzbeauftragter**, der für die Einhaltung der Datenschutzbestimmungen und die Koordination mit Aufsichtsbehörden verantwortlich ist. - **Verfahren zur Vorfallreaktion** mit 72-Stunden-Meldepflicht bei Datenschutzverletzungen gemäß Artikel 33. - **Auftragsverarbeitungsverträge (AVV)** stehen allen Unternehmenskunden zur Unterzeichnung zur Verfügung. ## AVV, Unterauftragsverarbeiter und Datenspeicherort Drei Dokumente bilden die DSGVO-Dokumentation auf Beschaffungsebene, die EU-Käufer typischerweise bei Lieferantenbewertungen anfordern. ### Auftragsverarbeitungsvertrag (AVV) Ein **AVV** ist der rechtliche Vertrag zwischen einem Verantwortlichen (Kunde) und einem Auftragsverarbeiter (Papermark), der die Bedingungen der Verarbeitung, die Rechte der betroffenen Personen, Sicherheitsverpflichtungen und Meldeverfahren bei Datenschutzverletzungen gemäß Artikel 28 der DSGVO festlegt. Papermark stellt einen Standard-AVV zur Verfügung, der zur Prüfung und Unterzeichnung bereitsteht, und unterstützt kundenspezifische Anpassungen für Unternehmensverträge. ### Liste der Unterauftragsverarbeiter Papermark führt eine **öffentliche Liste der Unterauftragsverarbeiter**, die alle Drittparteien identifiziert, die im Rahmen der Leistungserbringung Kundendaten verarbeiten (Infrastrukturanbieter, E-Mail-Zustellung, Analyse-Tools). Für jeden Unterauftragsverarbeiter dokumentiert die Liste die erbrachte Leistung, die verarbeiteten Daten und das Tätigkeitsland. Kunden werden im Voraus über wesentliche Änderungen bei Unterauftragsverarbeitern informiert. ### Optionen für den Datenspeicherort Für Kunden, die verlangen, dass ihre Daten innerhalb der EU verbleiben (grenzüberschreitende Übermittlungsbeschränkungen nach Schrems II, regulierte Branchen, Anforderungen an Datensouveränität), unterstützt Papermark: - **Cloud-Bereitstellung in der EU-Region** auf der gehosteten Papermark-Plattform für Unternehmensverträge. - **Selbst gehostete Bereitstellung** unter Verwendung des Open-Source-Codes von Papermark auf kundeneigener Infrastruktur in beliebigen Rechtsräumen. - **Hybride Bereitstellungen**, bei denen bestimmte hochsensible Datenräume selbst gehostet werden, während allgemeine Workflows die Cloud-Plattform nutzen. ## DSGVO-Artikel abgebildet auf Papermark-Funktionen | DSGVO-Artikel | Anforderung | Wie Papermark dies umsetzt | | ------------- | ---------------------------------------- | --------------------------------------------------------------------------------------------- | | Art. 5 | Grundsätze der Verarbeitung | Dokumentierte Rechtsgrundlage, zweckgebundene, minimierte Datenerhebung | | Art. 6 | Rechtmäßigkeit | Vertrag, berechtigtes Interesse, Einwilligung, rechtliche Verpflichtung je nach Anwendbarkeit | | Art. 12-14 | Transparenz und Information | Datenschutzerklärung, Cookie-Hinweis, kontobezogene Verarbeitungsaufzeichnungen | | Art. 15-22 | Rechte der betroffenen Person | Produktintegrierte Kontrollen und formalisierter Antragsworkflow | | Art. 25 | Datenschutz durch Technikgestaltung | Datenschutz als Teil der Produktentwicklung geprüft | | Art. 28 | Pflichten des Auftragsverarbeiters | Unterzeichnete AVV, dokumentierte Verarbeitungstätigkeiten | | Art. 30 | Verzeichnis von Verarbeitungstätigkeiten | Internes VVT geführt | | Art. 32 | Sicherheit der Verarbeitung | AES-256, TLS 1.3, MFA, Audit-Protokoll, SOC 2 Type II | | Art. 33-34 | Meldung von Datenschutzverletzungen | 72-Stunden-Meldung, dokumentierte Incident Response | | Art. 35 | Datenschutz-Folgenabschätzung | Durchgeführt für risikoreiche Verarbeitungstätigkeiten | | Art. 44-50 | Grenzüberschreitende Übermittlungen | EU-Residenzoptionen, Standardvertragsklauseln für internationale Übermittlungen | ## Was DSGVO-Konformität für Papermark-Nutzer bedeutet **Für in der EU ansässige Kunden.** Papermark erfüllt die lokalen Datenschutzanforderungen, unterstützt Ihre Compliance-Verpflichtungen und stellt die AVV- und Unterauftragsverarbeiter-Dokumentation bereit, die Ihr Rechtsteam für Lieferantenbewertungen benötigt. **Für internationale Kunden, die EU-Daten verarbeiten.** Die DSGVO-Ausrichtung von Papermark ermöglicht es Ihnen, M&A-, Fundraising- und Due-Diligence-Workflows mit EU-Bürgern durchzuführen, ohne zusätzliche Compliance-Risiken zu schaffen. **Für Due-Diligence-Workflows.** Rechts- und Finanzfachleute können grenzüberschreitende Prüfungen durchführen in dem Wissen, dass die Plattform die DSGVO-Anforderungen für die Verarbeitung personenbezogener Daten erfüllt. **Für Fundraising-Aktivitäten.** Startups, die Kapital von europäischen LPs einwerben, können durch ihre Wahl des VDR DSGVO-Konformität nachweisen, was zunehmend eine Beschaffungsanforderung für institutionelle europäische LPs darstellt. ## So sieht es im Produkt aus Seiten-für-Seiten-Dokumentenanalysen liefern die von Artikel 30 geforderte Prüfspur: ![Papermark Seiten-für-Seiten-Analysen](https://img.papermarkassets.com/upload/file_VnvhR1hNWeJAbmwPYyMnPA-pitch-deck-analytics-Papermark-v2-.png) Die vollständige Liste der Zertifizierungen, Hosting-Regionen, Verschlüsselungsstandards sowie die öffentliche AVV- und Auftragsverarbeiterliste finden Sie auf der **[Papermark-Sicherheitsseite](https://www.papermark.com/de/security.md)**. ## Papermark Sicherheit und Compliance auf einen Blick | Funktion | Papermark | | ------------------------------------- | ----------------------------------- | | DSGVO-konform | ✔️ | | AVV verfügbar | ✔️ | | Öffentliche Auftragsverarbeiterliste | ✔️ | | EU-Datenresidenz | ✔️ (Enterprise, Self-Hosted) | | SOC 2 Type II | ✔️ | | ISO 27001 | Über Self-Hosted-Bereitstellung | | HIPAA | Über Self-Hosted + BAA (Enterprise) | | Verschlüsselung im Ruhezustand | AES-256 | | Verschlüsselung bei Übertragung | TLS 1.3 | | MFA | ✔️ | | Audit-Protokollierung | Nur-Anhängen, exportierbar | | 72-Stunden-Meldepflicht bei Verstößen | ✔️ | | Self-Hosted-Option | ✔️ (AGPL Open-Source) | ## Häufig gestellte Fragen ### Ist Papermark DSGVO-konform? Ja. Papermark ist als Auftragsverarbeiter DSGVO-konform und arbeitet im Rahmen eines unterzeichneten Auftragsverarbeitungsvertrags (AVV) mit Kunden. Wir unterstützen alle anwendbaren Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch, Einschränkung), wenden AES-256-Verschlüsselung im Ruhezustand und TLS 1.3 bei der Übertragung an und führen eine öffentliche Auftragsverarbeiterliste. ### Bietet Papermark einen AVV an? Ja. Papermark stellt einen Standard-Auftragsverarbeitungsvertrag zur Verfügung, der für alle Enterprise-Kunden zur Unterzeichnung bereitsteht. AVV-Ergänzungen für spezifische regulatorische oder branchenspezifische Anforderungen werden für Enterprise-Verträge unterstützt. Kontaktieren Sie privacy@papermark.com, um einen AVV-Unterzeichnungsworkflow einzuleiten. ### Bietet Papermark EU-Datenresidenz an? Ja, über zwei Wege: EU-Region-Cloud-Bereitstellung auf der gehosteten Papermark-Plattform für Enterprise-Verträge und Self-Hosted-Bereitstellung unter Verwendung des Open-Source-Codes von Papermark auf Ihrer eigenen EU-basierten Infrastruktur. Hybrid-Setups werden ebenfalls unterstützt. ### Wer sind die Auftragsverarbeiter von Papermark? Papermark führt eine öffentliche Auftragsverarbeiterliste, die jeden Dritten identifiziert, der Kundendaten im Rahmen der Leistungserbringung verarbeitet. Dabei werden die erbrachte Leistung, die verarbeiteten Daten und die Gerichtsbarkeit des Betriebs für jeden dokumentiert. Kunden werden im Voraus über wesentliche Änderungen bei Auftragsverarbeitern informiert. ### Wie behandelt Papermark Anträge betroffener Personen? Betroffene Personen können ihre DSGVO-Rechte (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch, Einschränkung) über produktinterne Steuerungsfunktionen oder durch formelle Anfrage an privacy@papermark.com ausüben. Anträge werden innerhalb der in der DSGVO vorgeschriebenen Frist von einem Monat bearbeitet, mit Verlängerungen für komplexe Anträge gemäß Artikel 12 Absatz 3. ### Was geschieht bei einer Datenschutzverletzung? Papermark befolgt dokumentierte Verfahren zur Reaktion auf Vorfälle mit 72-Stunden-Meldepflicht gemäß Artikel 33. Betroffene Kunden werden mit Einzelheiten zur Verletzung, zu den betroffenen Datenkategorien, wahrscheinlichen Folgen und ergriffenen Abhilfemaßnahmen benachrichtigt. Verletzungen mit hohem Risiko lösen die direkte Benachrichtigung der betroffenen Personen gemäß Artikel 34 aus. ### Gilt die DSGVO für Unternehmen außerhalb der EU? Ja. Die DSGVO gilt für jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet, unabhängig vom eigenen Standort der Organisation. Ein US-Unternehmen, das Kapital von europäischen LPs einwirbt, ein Unternehmen aus Singapur, das Due Diligence bei einem EU-Zielunternehmen durchführt, oder ein australisches Unternehmen, das in Deutschland einstellt, müssen alle die DSGVO für diese Verarbeitung einhalten. ### Kann ich Papermark für strengere Datenresidenz selbst hosten? Ja. Papermark ist AGPL Open-Source und kann auf Ihrer eigenen Infrastruktur in jeder Gerichtsbarkeit selbst gehostet werden. Self-Hosted-Bereitstellung gibt Ihnen die volle Kontrolle über Datenspeicherort, Verschlüsselungsschlüssel und Aufbewahrungsrichtlinien, was für regulierte Branchen und Anforderungen an Datensouveränität wichtig ist. ## Verwandte Ressourcen - [Papermark SOC 2-Konformität](/de/blog/papermark-soc2-compliance.md) - [Was ist ein virtueller Datenraum?](/de/blog/what-is-virtual-data-room.md) - [15 wichtige Funktionen für virtuelle Datenräume](/de/blog/virtual-data-room-features.md) - [Vollständiger Leitfaden zum Due-Diligence-Datenraum](/de/blog/best-virtual-data-rooms-for-due-diligence.md) - [Die besten virtuellen Datenräume 2026](/de/blog/best-virtual-data-rooms.md) - [Virtueller Datenraum für Biotech (HIPAA)](/de/blog/virtual-data-room-for-biotech.md) - [Papermark Sicherheitsseite](https://www.papermark.com/de/security.md) --- _Markdown version of [this article](https://www.papermark.com/de/blog/papermark-gdpr-compliance) for AI agents and LLMs._ _More Papermark content: [llms.txt](https://www.papermark.com/de/llms.txt) · [full index (English)](https://www.papermark.com/llms-full.txt)._