德国企业GDPR合规指南：DSGVO检查清单与核心要求

2025年，GDPR（德国称DSGVO）罚款创下历史新高。再加上NIS2、欧盟《人工智能法案》和DORA带来的新要求，德国企业面临的合规环境越来越复杂。下面是一份实用检查清单。

DSGVO的核心义务

1. 数据处理的合法依据

每一项数据处理活动都需要合法依据：同意、合同、法定义务或正当利益。

2. 数据保护官（DPO）

经常处理个人数据且员工达20人及以上的企业必须任命数据保护官。数据保护官须保持独立，并直接向管理层汇报。

3. 数据泄露通报

须在72小时内通报监管机构。如存在高风险，还须通知受影响的个人。

4. 数据主体权利

须在1个月内处理以下请求：查阅、更正、删除（“被遗忘权”）、数据可携带。

5. 处理活动记录

保存书面记录，内容包括处理目的、数据类别、接收方和保存期限。

合规检查清单

• 梳理所有个人数据处理活动
• 记录每项活动的合法依据
• 如有需要（20名及以上员工），任命数据保护官
• 落实技术和组织措施（TOMs）
• 制定并维护隐私政策
• 建立数据泄露通报流程
• 对高风险处理开展数据保护影响评估（DPIA）
• 确保已签订数据处理协议（AVV）
• 对全体员工进行数据保护培训
• 建立数据主体权利请求的处理流程

处罚

违规等级	最高罚款
较低档	1000万欧元或年营业额的2%
较高档	2000万欧元或年营业额的4%

新要求

NIS2指令（2024-2025）

适用范围扩大，强制上报安全事件，管理层须对网络安全承担责任。

欧盟《人工智能法案》（2026年8月起执行）

AI系统风险分级、透明度要求、强制人工监督。

DORA（金融行业，2025年1月）

ICT风险管理框架、数字运营韧性测试。

安全地处理合规文件

分享合规文件时——例如隐私影响评估、数据泄露报告、员工数据处理记录——请使用安全的渠道。LOCK.PUB可以让你通过密码保护备忘录分享敏感的合规信息。开通Pro后，还可以把备忘录设为只能打开一次——被查看后链接就无法再次打开，分享出去的记录不会变成数据隐患。

请用LOCK.PUB可设置到期时间（Pro）的密码保护链接来安全保存DSGVO合规清单和敏感内部文件，而不是作为未加密的邮件附件发送。

---

DSGVO合规不是可选项——它是法律。从上面的清单开始，按要求任命数据保护官，并把一切记录在案。