CEAVEO PRIVACYinhouse PRIVACYinhouse · Datenschutz im Unternehmen Beratung anfordern
GESCHLOSSENE BETA · ANFRAGE

PRIVACYinhouse

Ihr Datenschutz —
im Unternehmen, KI-gestützt.

Ein laufend gepflegtes DSGVO-Datenschutzmanagement: das Datenschutzmodul DSMS (engl. DPMS) von CEAVEO LEGALinhouse — auf Wunsch ergänzt durch einen externen Datenschutzbeauftragten und persönliche Datenschutzberatung. Werkzeug und Mensch, aus einer Hand.

Ein Datenschutz-Angebot von CEAVEO · auf Basis von CEAVEO® LEGALinhouse

PRIVACYinhouse befindet sich in einer geschlossenen Beta. Es gibt keine offene Selbstregistrierung — Sie melden über eine Anfrage Ihr Interesse an, und wir nehmen Sie in die Warteliste auf. Detaillierte Konditionen erhalten Sie im persönlichen Gespräch über ceaveo.com/kontakt.

Datenschutz kostet Zeit — und Nerven

Im Mittelstand bleibt der Datenschutz oft liegen, bis er dringend wird. Diese vier Themen kennen die meisten Unternehmen.

Zeit, die fehlt

Verarbeitungsverzeichnis, TOM und Betroffenenanfragen sauber zu führen, bindet Stunden — meist neben dem eigentlichen Tagesgeschäft.

Haftung und Bußgeld

Lücken in der Dokumentation werden im Ernstfall teuer. Nachweisfähigkeit ist keine Kür, sondern Pflicht.

Teure Pauschalen

Externe Kanzlei- und Beraterpauschalen sind für viele KMU kaum kalkulierbar — und der laufende Aufwand bleibt trotzdem im Unternehmen.

Bestellpflicht

Wer mindestens 20 Beschäftigte ständig mit personenbezogenen Daten betraut, muss einen Datenschutzbeauftragten bestellen.

Drei Wege zum Datenschutz

Vom selbst betriebenen Werkzeug bis zum bestellten Datenschutzbeauftragten — Sie wählen, wie viel Sie selbst übernehmen.

Weg 1 · Werkzeug

Das Datenschutz-Werkzeug

Sie betreiben Ihr Datenschutzmanagement selbst — mit dem DSMS-Modul auf Ihrer CEAVEO LEGALinhouse-Plattform. Self-Service, KI-gestützt, jederzeit im Zugriff.

Funktionsumfang ansehen
Weg 2 · Mandat

Externer Datenschutzbeauftragter

Ein qualifizierter externer Datenschutzbeauftragter übernimmt das Mandat nach Art. 37–39 DSGVO. Die benötigten Modullizenzen sind im Paket enthalten.

Mehr erfahren
Weg 3 · Beratung

Datenschutzberatung

Punktuelle Unterstützung ohne dauerhaftes Mandat — Ersteinrichtung, Standortbestimmung, Begleitung bei Anfragen oder Vorfällen.

Mehr erfahren
Das Werkzeug dokumentiert. Der Mensch verantwortet.
Die KI liefert Entwürfe und hält das System aktuell — die fachliche Letztverantwortung trägt stets ein qualifizierter Anwender, bei der Dienstleistung der bestellte Datenschutzbeauftragte.

Funktionsumfang DSMS — die Grundlage

Ein vollständiges DSGVO-Datenschutzmanagementsystem — durchgehend KI-gestützt, mit automatischer Pseudonymisierung bei jedem KI-Aufruf. Darauf setzt die zweite Ebene auf: Register, Konzept und Richtlinien.

VVT · Art. 30 DSGVO

Verarbeitungsverzeichnis

Verarbeitungstätigkeiten anlegen und pflegen. Export als amtsnahes Art.-30-Muster-PDF, als Vollbericht und als CSV/PDF-Register.

TOM · Art. 32 DSGVO

Technische & organisatorische Maßnahmen

Katalog über die acht BDSG-Kontrollkategorien, Bibliothek mit 41 Standardmaßnahmen, Zuordnung zu Tätigkeiten und Assets.

DSR · Art. 12–22 DSGVO

Betroffenenanfragen

KI-Erfassung, Identitätsprüfungs-Gate, auf das VVT gestützter Antwortentwurf, versandfertiger DIN-5008-Brief, 30-Tage-Fristverfolgung.

Art. 33/34 DSGVO

Datenschutzvorfälle

72-Stunden-Uhr, Risikobewertung und Melde-Schreiben an Aufsichtsbehörde und betroffene Personen als Entwürfe.

AVV · Art. 28 DSGVO

Auftragsverarbeitung

KI-Import des AVV-PDFs, 28-Punkte-Prüfung, Verwaltung des Unterauftragsverarbeiter-Status. Der AVV ist fest mit dem Auftragsverarbeiter verknüpft, statt ihn nur zu benennen — damit erreicht die Art.-28-Prüfung ein Ergebnis am richtigen Objekt.

Stammdaten

Import & Export

131 deutsche Löschfristen (HGB/AO), vorbefüllte Branchen-Vorlagen, Staging-Prüfung, dublettenfreier Rund-um-Export — mit DSMS-Dashboard und Zugriffssteuerung je Benutzer.

Vom Verzeichnis zum Werkzeug

Die meisten Unternehmen haben ein Verarbeitungsverzeichnis. Fast keines kann damit die Frage beantworten, die im Ernstfall zählt.

„An wen haben wir die Daten dieser Person eigentlich herausgegeben — und wie erreichen wir die alle?“ Genau dort setzt die zweite Ebene an: Empfänger als echtes Register, eine Datenlandkarte, ein ableitbares Auskunftsdossier, ein ausführbares Löschkonzept — und ein Datenschutzkonzept, das sich aus den vorhandenen Daten schreibt statt von Hand.

Art. 19 DSGVO

Empfängerregister

Bisher standen die Empfänger einer Verarbeitung als freier Text in der Verarbeitungstätigkeit. Das reicht, um ein Art.-30-Verzeichnis zu drucken, und für nichts sonst: „Steuerberater Müller“ in der einen Tätigkeit und „StB Müller“ in der nächsten sind zwei zusammenhanglose Zeichenketten.

Der Preis dafür ist Art. 19 DSGVO. Die Vorschrift verlangt, dass Sie allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung, Löschung oder Einschränkung mitteilen — und dass Sie die betroffene Person über diese Empfänger unterrichten, wenn sie es verlangt. Eine Freitextliste lässt sich nicht aufzählen.

Im Register wird jeder Empfänger einmal erfasst und von jeder Verarbeitung referenziert, die an ihn offenlegt. Damit wird Art. 19 überhaupt erst durchführbar.

Was das Register führt

Drei Angaben, die zählen

  • Empfängerkategorie — das, was Art. 30 Abs. 1 lit. d tatsächlich verlangt, einschließlich Empfängern in Drittländern oder internationalen Organisationen.
  • Art des Empfängers — Auftragsverarbeiter, gemeinsam Verantwortlicher, eigenverantwortlicher Dritter, Behörde, Web-Dienst oder interne Stelle.
  • Übermittlungsinstrument bei Drittlandsbezug — Angemessenheitsbeschluss, Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften, sonstige Garantie oder Ausnahme nach Art. 49.

„Unbekannt“ ist eine zulässige und beabsichtigte Antwort. Wer neben einem Drittlandsempfänger „unbekannt“ liest, sucht das Instrument. Wer dort eine zuversichtliche Vorbelegung liest, hört auf zu suchen. Das Register rät deshalb nicht.

Übersicht

Datenlandkarte

Beantwortet die Frage, an der Auskunft und Löschung praktisch scheitern: In welchem System liegen die Daten dieser Person? Entsteht aus Ihren Verarbeitungstätigkeiten und deren Systemen — nicht als Prosa in einem Konzept.

Art. 12–22 DSGVO

Auskunftsdossier

Die Arbeitsliste zu einer konkreten Betroffenenanfrage: welche Verarbeitungen betroffen sind, welche Systeme zu durchsuchen sind, welche Empfänger nach Art. 19 zu benachrichtigen sind. Ableitbar statt handgeschrieben — und damit reproduzierbar.

Art. 13 DSGVO

Transparenz-Register

Führt die Art.-13-Hinweise je Kontaktpunkt — Formular, Website, Bewerbung, Vertrag — und stellt sie der zugehörigen Verarbeitungstätigkeit gegenüber. Weicht die Außendarstellung von der geführten Innensicht ab, wird das gemeldet.

Art. 5 Abs. 2 DSGVO

Ausführbares Löschkonzept

Aus den Löschfristen der Verarbeitungstätigkeiten entstehen Löschläufe, und jeder Lauf hinterlässt ein Löschprotokoll — was, wann, auf welcher Grundlage, durch wen freigegeben. Aus der Rechenschaftspflicht wird ein Beleg statt einer Behauptung.

Organisation

Governance-Ebene

Die organisatorische Seite, die sonst in Ordnern liegt: Bestellung des Datenschutzbeauftragten, Verpflichtungen auf das Datengeheimnis und Kontrollen mit Ergebnis und Wiedervorlage.

Ohne KI gerechnet

Quickcheck & Registersuche

Der Quickcheck rechnet die Klassiker gegen Ihren tatsächlichen Bestand: Verarbeitungen ohne Rechtsgrundlage, ohne Löschfrist, ohne zugeordnete TOM; Drittlandsempfänger ohne Übermittlungsinstrument; Auftragsverarbeiter ohne AVV. Kein Fragebogen — eine Rechnung auf Ihren Daten. Dazu eine Suche über alle Register hinweg und Maßnahmen zur Entsorgung von Akten, Datenträgern und Geräten.

Was die Abweichungserkennung nicht tut

Die Prüfung im Transparenz-Register schlägt nicht bei jedem Tippfehler an. Sie ist bewusst auf substanzielle Abweichungen ausgelegt — ein Empfänger, der innen steht und außen fehlt; eine Rechtsgrundlage, die sich geändert hat. Eine Prüfung, die bei jeder Umformulierung rot wird, ist eine Prüfung, die man abschaltet.

Ein Verzeichnis beweist, dass Sie es aufgeschrieben haben. Ein Register beweist, dass Sie es können.
Die Bausteine dieser Ebene entstehen aus dem, was bereits im Verzeichnis steht — nicht aus einer zweiten Erfassung.

Datenschutzkonzept & Richtlinien

Ein lebendes Dokument je Unternehmen, erzeugt aus dem vorhandenen DSMS-Bestand — statt aus einer leeren Vorlage.

20 Abschnitte

Das Konzept schreibt sich aus Ihren Daten

Organisation, Verantwortlichkeiten, Rechtsgrundlagen, Löschfristen, TOM, Auftragsverarbeitung, Betroffenenrechte, Vorfälle, Schulung. Was im Verzeichnis steht, muss nicht ein zweites Mal geschrieben werden.

  • Jeder abgeleitete Abschnitt trägt seinen Stand und lässt sich einzeln neu erzeugen.
  • Wo Sie eigenen Text schreiben, bleibt dieser erhalten.
  • Ein Abschnitt ohne Datengrundlage wird als offener Punkt ausgewiesen — und eine veröffentlichte Fassung sagt auf dem Deckblatt, dass sie unvollständig ist, statt sich als fertig zu lesen.
  • Branchen-Textvorlagen für alle acht Branchen — Dienstleister, Softwarehäuser, Finanzdienstleister, Produktion und Fertigung, Handel und Online-Shops, Handwerk und Bau, Personaldienstleister sowie Marketing- und Werbeagenturen.
Die lesbare Ebene darunter

Richtlinien mit Kenntnisnahme je Fassung

Je Bereich, Funktion, Vorgang oder als Querschnittsthema — etwa Datenpannen oder Home-Office.

  • Der Datenschutzbeauftragte prüft, die Geschäftsleitung gibt frei — zwei getrennte, nachvollziehbare Schritte.
  • Zu jeder veröffentlichten Richtlinie wird festgehalten, wer welche Fassung zur Kenntnis genommen hat. Eine neue Fassung verlangt eine neue Bestätigung.
  • Die Übersicht zeigt offen, wer noch aussteht.
  • Die DSB-Einbindungsmatrix legt einmal fest, wann der Datenschutzbeauftragte einzubinden ist — je Anlass mit Einbindungsstufe, Zeitpunkt und Vertretung. Solange keine Vertretung benannt ist, wird das als offener Punkt ausgewiesen.

Drei Grenzen, die wir offen nennen

Der umgekehrte Weg. Ein Unternehmen ohne Verzeichnis kann das Konzept zuerst schreiben; die darin genannten Zwecke, Rechtsgrundlagen, Löschfristen und Datenkategorien lassen sich anschließend als Katalogeinträge übernehmen. Sie landen zuerst im Prüfbereich — geschrieben wird erst nach Ihrer Freigabe.

Die Prüfung Ihrer eigenen Anweisungen arbeitet mit festen Suchbegriffen, nicht mit KI. Sie beantwortet deshalb ausdrücklich nur, ob der Datenschutz in Ihren Arbeitsanweisungen erwähnt wird — nicht, ob die Erwähnung ausreicht. Ein Treffer ist ein Prüfauftrag, keine Feststellung eines Mangels.

Die englische Fassung übersetzt unsere Struktur — Überschriften und Beschriftungen. Die Inhalte aus Ihrem Verzeichnis bleiben so stehen, wie Sie sie erfasst haben. Eine englische Fassung wird nie automatisch mitveröffentlicht, und sie weist dieselben offenen Punkte aus wie das Original, damit eine Übersetzung nicht vollständiger wirkt, als das Original ist.

Sicherheit & Vertrauen

Von Grund auf für deutsche Datenschutzstandards gebaut.

Hosting in Deutschland

Datenstandort Deutschland und EU. Ihre Daten verlassen den europäischen Rechtsraum nicht.

Automatische Pseudonymisierung

Personenbezogene Daten werden vor jedem KI-Aufruf maskiert und in der Antwort wieder eingesetzt — pro Mandant schaltbar, standardmäßig an.

Vollständiger Audit-Trail

Jede Verarbeitung und jede KI-Operation wird protokolliert — nachweisbar und prüffest.

KI-gestützt, menschlich geprüft

Alle KI-Ergebnisse sind Entwürfe und durchlaufen einen verpflichtenden menschlichen Prüf-Workflow.

Wenn Sie mehr als ein Werkzeug brauchen

Auf Wunsch wird aus dem Werkzeug eine geschlossene Leistung — mit einem Menschen, der verantwortet.

Derzeit auf Anfrage

Externer Datenschutzbeauftragter

Ein qualifizierter externer Datenschutzbeauftragter übernimmt das Mandat nach Art. 37–39 DSGVO — persönliche Bestellung, laufende Betreuung, Ansprechpartner für Aufsichtsbehörde und Betroffene.

  • Der Datenschutzbeauftragte ist stets eine benannte natürliche Person — bei CEAVEO angesiedelt oder ein Partner-DSB nach Absprache.
  • Das DSMS-Werkzeug ist sein Dokumentations- und Arbeitsinstrument; eine Schulungskomponente lässt sich nach Art. 39 Abs. 1 lit. b ergänzen.
  • Modullizenzen inklusive: die DSMS-Modullizenz und — sofern genutzt — die Schulungs-Modullizenz sind Teil des Pakets. Das Trägerprodukt LEGALinhouse buchen Sie selbst.

Die Dienstleistung ist kapazitätsabhängig und wird über eine qualifizierte Anfrage angebahnt — keine sofort buchbare Self-Service-Leistung.

DSB-Anfrage stellen
Auf Anfrage

Datenschutzberatung

Punktuelle Unterstützung ohne dauerhaftes Mandat — erbracht durch CEAVEO oder einen Partner-DSB nach Absprache.

  • Ersteinrichtung von VVT und TOM, Standortbestimmung und Schulungskonzepte.
  • Begleitung bei Betroffenenanfragen oder Datenschutzvorfällen.
  • Anknüpfungspunkt für das optionale DSMS-Onboarding — die initiale Erfassung als echte Einrichtungsarbeit.
  • Modullizenzen inklusive: auch das Beratungspaket enthält die benötigten Modullizenzen; das Trägerprodukt LEGALinhouse buchen Sie selbst.

Konditionen werden anforderungsabhängig als individuelles Angebot berechnet.

Beratung anfordern

DSGVO trifft EU-KI-Verordnung

Anders als reine DSGVO-Werkzeuge ist das DSMS in das Fall- und Vertragsmanagement von CEAVEO LEGALinhouse eingebettet — und wird vom dauerhaft aktiven EU-KI-VO-Inventarregister mit KI-Folgenabschätzung (AIA/FRIA) flankiert. Eine Abdeckung, die reine DSGVO- oder ISMS-Werkzeuge nicht bieten. Die EU-KI-Verordnung gilt seit dem 2. August 2026 (Art. 113 KI-VO); die Pflichten zu Hochrisiko-KI nach Art. 6 Abs. 1 folgen am 2. August 2027.

EU-KI-VO-Inventarregister, dauerhaft aktiv
KI-Folgenabschätzung (AIA) mit bedingter FRIA
Eingebettet in Fall- und Vertragsmanagement
Gemeinsame Datenbasis statt Datensilos
Datenschutz und KI-Compliance in einem System
KI-VO seit 02.08.2026 anwendbar — Art. 6 Abs. 1 ab 02.08.2027

Preise & Konditionen

Transparente, faire Konditionen ohne Mindestlaufzeit. Das DSMS wird wie ein weiteres inhouse-Produkt abgerechnet — als Aufschlag auf Ihren Monatsbeitrag, bei gemeinsamem KI-Guthaben über alle gebuchten Produkte. KI-Aktionen laufen modellneutral und unter der Bill-on-Success-Garantie (Abrechnung nur bei erfolgreichem Ergebnis).

Die DSB- und Beratungspakete werden anforderungsabhängig als individuelles Angebot berechnet und enthalten die benötigten Modullizenzen.

Zur Preisübersicht

Alle Preise netto, zzgl. 19 % MwSt. Es gelten die AGB. Das DSMS ist nur in Verbindung mit einem aktiven CEAVEO-LEGALinhouse-Abonnement buchbar.

Häufige Fragen

Brauche ich überhaupt einen Datenschutzbeauftragten?
Eine Bestellpflicht besteht, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — daneben gibt es weitere Auslöser. Auch ohne Bestellpflicht müssen Verarbeitungsverzeichnis, TOM und Betroffenenrechte sauber geführt werden; dafür genügt der Werkzeug-Weg.
Wie hängt PRIVACYinhouse mit LEGALinhouse zusammen?
PRIVACYinhouse ist die Außendarstellung des Datenschutz-Angebots. Technisch ist das DSMS ein optionales, separat lizenziertes Untermodul von CEAVEO LEGALinhouse und setzt ein aktives LEGALinhouse-Abonnement voraus — eigenständig (ohne LEGALinhouse) ist es nicht buchbar.
Was kostet das DSMS?
Das DSMS wird wie ein weiteres inhouse-Produkt abgerechnet — als Aufschlag auf Ihren Monatsbeitrag, bei gemeinsamem KI-Guthaben über alle Produkte. Die Tarifstufen finden Sie in der Preisübersicht auf ceaveo.com; DSB- und Beratungspakete werden individuell nach Anforderung berechnet.
Wir haben weniger als 250 Mitarbeiter — gilt die Verzeichnispflicht überhaupt für uns?
Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Mitarbeitern von der Verzeichnispflicht aus — aber nur, wenn die Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien (Art. 9 Abs. 1) oder Daten über Straftaten (Art. 10) einschließt. Wer Personaldaten führt, verliert die Ausnahme an „nicht nur gelegentlich“. Wer Gesundheits-, Gewerkschafts- oder Bewerberdaten verarbeitet, verliert sie an Art. 9. In der Praxis greift die Ausnahme für ein Unternehmen mit eigener Belegschaft fast nie — und die Beweislast dafür, dass sie greift, liegt bei Ihnen.
Muss ich die Empfänger wirklich einzeln führen?
Art. 19 DSGVO kennt eine Ausnahme — „es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden“. Genau darauf hat sich die Praxis bisher gestützt. Ein geführtes Empfängerregister nimmt Ihnen diese Ausrede — und gibt Ihnen dafür die Antwort: Sie können aufzählen, wen Sie benachrichtigen müssen, statt es zu schätzen. Ist ein Empfänger zugleich Auftragsverarbeiter, verweist die Zeile auf den vorhandenen Katalogeintrag, statt den Namen ein zweites Mal zu führen.
Wo liegen meine Daten?
Datenstandort ist Deutschland und die EU. Vor jedem KI-Aufruf werden personenbezogene Daten automatisch pseudonymisiert; ein vollständiger Audit-Trail dokumentiert jede Verarbeitung.
Ist das eine Rechtsberatung?
Nein. Das DSMS ist ein Workflow- und Produktivitätswerkzeug, kein Rechtsdienstleister — alle KI-Ergebnisse sind Entwürfe und erfordern fachliche Prüfung. Die Tätigkeit als externer Datenschutzbeauftragter ist eine persönliche fachliche Leistung einer benannten natürlichen Person, kein KI-Ergebnis und keine Leistung der Gesellschaft.
Kann ich PRIVACYinhouse jetzt buchen?
PRIVACYinhouse ist in einer geschlossenen Beta. Statt einer offenen Registrierung melden Sie Ihr Interesse über eine Anfrage an — wir nehmen Sie in die Warteliste auf und besprechen die Konditionen persönlich.

Datenschutz im Unternehmen — sprechen Sie uns an

Ob Werkzeug, externer Datenschutzbeauftragter oder Beratung: Wir finden den passenden Weg für Ihr Unternehmen.