GDPR-guide för tyska företag: checklista och viktigaste kraven

Böterna enligt GDPR (DSGVO) nådde rekordnivåer 2025. Eftersom NIS2, EU:s AI-förordning och DORA dessutom tillför nya krav står tyska företag inför ett allt mer komplext regelverk. Här är din praktiska checklista.

Centrala skyldigheter enligt DSGVO

1. Rättslig grund för behandling

Varje personuppgiftsbehandling kräver en rättslig grund: samtycke, avtal, rättslig förpliktelse eller berättigat intresse.

2. Dataskyddsombud (DPO)

Obligatoriskt för företag med minst 20 anställda som regelbundet behandlar personuppgifter. Ombudet ska vara oberoende och rapportera direkt till ledningen.

3. Anmälan av personuppgiftsincidenter

72 timmar för att anmäla till tillsynsmyndigheten. Informera berörda personer om risken är hög.

4. De registrerades rättigheter

Hantera begäranden inom 1 månad: tillgång, rättelse, radering ("rätten att bli bortglömd") och dataportabilitet.

5. Register över behandlingar

För skriftliga register som omfattar ändamål, kategorier av uppgifter, mottagare och lagringstider.

Checklista för efterlevnad

• Identifiera all behandling av personuppgifter
• Dokumentera den rättsliga grunden för varje behandling
• Utse ett dataskyddsombud vid behov (minst 20 anställda)
• Inför tekniska och organisatoriska åtgärder (TOM)
• Ta fram och underhåll integritetspolicyer
• Fastställ rutiner för anmälan av personuppgiftsincidenter
• Genomför konsekvensbedömningar (DPIA) för behandling med hög risk
• Se till att personuppgiftsbiträdesavtal (AVV) finns på plats
• Utbilda alla anställda i dataskydd
• Inför rutiner för de registrerades begäranden

Sanktioner

Nya krav

NIS2-direktivet (2024–2025)

Utökat tillämpningsområde, obligatorisk incidentrapportering och ledningsansvar för cybersäkerhet.

EU:s AI-förordning (tillämpas från augusti 2026)

Riskklassificering av AI-system, transparenskrav och obligatorisk mänsklig tillsyn.

DORA (finanssektorn, januari 2025)

Ramverk för hantering av IKT-risker och tester av digital operativ motståndskraft.

Säker dokumentation av efterlevnad

När du delar efterlevnadsdokument – konsekvensbedömningar, incidentrapporter, register över behandling av personaldata – bör du använda säkra kanaler. Med LOCK.PUB kan du dela känsliga efterlevnadsuppgifter i lösenordsskyddade memon. Med Pro kan du ställa in att ett memo bara kan öppnas en gång – efter att det har visats går länken inte att öppna igen, så delade register inte blir en dataskyddsrisk.

Förvara dina DSGVO-checklistor och känsliga interna dokument säkert med lösenordsskyddade länkar från LOCK.PUB som du kan ställa in att sluta öppnas efter en viss tid (Pro), i stället för okrypterade e-postbilagor.

---

Efterlevnad av DSGVO är inte frivilligt – det är lag. Börja med checklistan ovan, utse ett dataskyddsombud vid behov och dokumentera allt.