Die DSGVO-Revolution
Am 25. Mai 2018 hat die Europäische Union mit der Datenschutz-Grundverordnung (DSGVO) den Datenschutz weltweit verändert. Es waren nicht nur neue Regeln – es war eine neue Philosophie. Datenschutz wurde zum Grundrecht und wird seitdem vorausschauend gedacht, nicht nachträglich. Verstöße wurden teuer: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
Die DSGVO gilt für jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet – unabhängig davon, wo die Organisation sitzt. Ein Start-up im Silicon Valley, ein SaaS-Anbieter in Singapur, eine Beratungsfirma in Kapstadt: Alle müssen die Vorgaben einhalten, wenn sie Daten aus der EU verarbeiten.
Doch was wäre, wenn Sie gar keine Daten verarbeiten würden?
Die Grundsätze der DSGVO
Artikel 5 DSGVO legt sechs Grundsätze für die Verarbeitung personenbezogener Daten fest, dazu kommt die Rechenschaftspflicht:
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz – rechtmäßig, fair und transparent verarbeiten (Artikel 5 Absatz 1 Buchstabe a)
- Zweckbindung – für festgelegte, eindeutige und legitime Zwecke erheben (Artikel 5 Absatz 1 Buchstabe b)
- Datenminimierung – angemessen, relevant und auf das notwendige Maß beschränkt (Artikel 5 Absatz 1 Buchstabe c)
- Richtigkeit – Daten aktuell und korrekt halten (Artikel 5 Absatz 1 Buchstabe d)
- Speicherbegrenzung – nicht länger als notwendig speichern (Artikel 5 Absatz 1 Buchstabe e)
- Integrität und Vertraulichkeit – mit geeigneten Maßnahmen sicher verarbeiten (Artikel 5 Absatz 1 Buchstabe f)
- Rechenschaftspflicht – der Verantwortliche muss die Einhaltung nachweisen können (Artikel 5 Absatz 2)
Betroffenenrechte: der Aufwand für die Einhaltung
Kapitel III der DSGVO gibt Einzelpersonen weitreichende Rechte an ihren Daten. Für Organisationen entsteht daraus erheblicher operativer Aufwand:
- Auskunftsrecht (Artikel 15): Betroffene können eine Kopie aller über sie gespeicherten personenbezogenen Daten verlangen. Organisationen müssen innerhalb von 30 Tagen antworten.
- Recht auf Berichtigung (Artikel 16): Unrichtige Daten müssen auf Verlangen korrigiert werden.
- Recht auf Löschung (Artikel 17): Das „Recht auf Vergessenwerden“ verlangt in vielen Fällen die Löschung personenbezogener Daten.
- Recht auf Einschränkung der Verarbeitung (Artikel 18): In bestimmten Situationen können Betroffene die Verarbeitung einschränken lassen.
- Recht auf Datenübertragbarkeit (Artikel 20): Betroffene können ihre Daten in einem maschinenlesbaren Format erhalten.
- Widerspruchsrecht (Artikel 21): Betroffene können der Verarbeitung auf Basis berechtigter Interessen oder für Direktwerbung widersprechen.
Jedes dieser Rechte verlangt Systeme, die Daten finden, herausgeben, ändern und löschen können. Für große Organisationen bedeutet das eine aufwendige Datenlandkarte und spezialisierte Teams für die Bearbeitung von Anfragen.
Zero-Knowledge-Architektur und die Rollen nach DSGVO
Die Pflichten der DSGVO richten sich an „Verantwortliche“ und „Auftragsverarbeiter“ personenbezogener Daten. Artikel 4 definiert diese Rollen:
Verantwortlicher: entscheidet über Zwecke und Mittel der Verarbeitung
Auftragsverarbeiter: verarbeitet Daten im Auftrag des Verantwortlichen
Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen
Für die Architektur von ZeyroVault heißt das konkret:
Kein Tracking durch uns: Wir erstellen keine Profile und protokollieren nicht, wie Sie unsere Tools nutzen. Unser Hoster Cloudflare verarbeitet technische Anfragedaten (IP-Adresse, URL), um die Website auszuliefern; hinzu kommt ein Cookie-freier Seitenaufruf-Ping. Beides ist in unserer Datenschutzerklärung beschrieben.
Keine von Ihnen bereitgestellten Daten: ZeyroVault erhebt, speichert und verarbeitet keine Daten, die Sie in die Tools eingeben. Die Zugriffsprotokolle unseres Hosting-Anbieters sind ein separater Vorgang und in unserer Datenschutzerklärung offengelegt.
Clientseitige Verarbeitung: Alle Tool-Operationen laufen vollständig in Ihrem Browser; Ihre Eingaben verlassen Ihr Gerät nicht. Im Netzwerk-Panel der Entwicklerwerkzeuge sehen Sie dabei unsere eigenen Dateien und Cloudflares Cookie-freien Seitenaufruf-Ping – aber keine Anfrage, die Ihre Eingabe enthält.
Das Ergebnis: Was Sie in ein Tool eingeben, verarbeiten Sie lokal; wir erhalten davon nichts. Ob und welche Pflichten aus Betroffenenrechten, aus der Meldung von Datenschutzverletzungen oder aus der Benennung einer Datenschutzbeauftragten für Ihre Prozesse gelten, hängt von Ihrer Organisation ab – das beurteilen wir nicht für Sie. Die Zugriffsprotokolle des Hostings sind davon getrennt zu betrachten und in unserer Datenschutzerklärung offengelegt. Ziehen Sie für Ihren konkreten Fall eine qualifizierte Beratung hinzu.
Schrems II und internationale Übermittlungen
Im Juli 2020 hat der Europäische Gerichtshof mit dem Urteil Schrems II das Privacy-Shield-Abkommen für ungültig erklärt. Für transatlantische Datenübermittlungen brach damit eine verlässliche Grundlage weg: Organisationen konnten sich nicht mehr auf Privacy Shield stützen und mussten Standardvertragsklauseln (SCC) mit zusätzlichen Schutzmaßnahmen vereinbaren.
Das Urteil machte ein grundsätzliches Problem sichtbar: US-Überwachungsgesetze (FISA 702, EO 12333) stehen mit dem Datenschutz in der EU in Konflikt. Auch mit Standardvertragsklauseln können in die USA übermittelte Daten für Nachrichtendienste zugänglich sein.
Die Zero-Knowledge-Architektur setzt an einer anderen Stelle an:
Keine Übermittlung Ihrer Eingaben: Was Sie in ein Tool eingeben, verlässt Ihr Gerät nicht und wird nicht an uns übertragen.
Kontrolle bleibt bei Ihnen: Sie verarbeiten Ihre Daten lokal auf Ihrem eigenen Gerät und behalten die Verfügungsgewalt darüber.
Technische Unmöglichkeit: Selbst auf Anfrage können wir keine Daten herausgeben, die wir nicht besitzen.
Für die Verarbeitung Ihrer Eingaben fehlt damit der Anknüpfungspunkt, den Schrems II betrifft: Es gibt nichts, was übermittelt würde. Ob Ihr Gesamtprozess die Anforderungen erfüllt, hängt von Ihren übrigen Systemen ab – auch das ist eine Bewertung, die Ihnen niemand abnehmen kann.
Häufig gestellte Fragen
Gilt die DSGVO für mein Unternehmen, wenn ich ZeyroVault nutze?
Die DSGVO gilt für jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet – unabhängig vom Standort. Wenn Sie ausschließlich die clientseitigen Tools von ZeyroVault nutzen und auf keinem anderen Weg personenbezogene Daten erheben, fallen bei diesen Tool-Aufrufen keine von Ihnen bereitgestellten personenbezogenen Daten an. Erheben Sie über andere Kanäle wie Kundenkonten oder Marketing personenbezogene Daten von Personen in der EU, gilt die DSGVO für diese Verarbeitung. Ob und wie sie in Ihrem Fall greift, klären Sie bitte mit Ihrer Rechtsberatung.
Brauche ich eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten (DSB)?
Artikel 37 DSGVO nennt drei Fälle, in denen eine benannte Person erforderlich ist: (1) Behörden und öffentliche Stellen, die personenbezogene Daten verarbeiten, (2) Organisationen, die umfangreich und systematisch überwachen, (3) Organisationen, die umfangreich besondere Kategorien personenbezogener Daten verarbeiten. Läuft Ihre einzige Verarbeitung über Zero-Knowledge-Tools, ist eine Benennung nach dieser Vorschrift in der Regel nicht erforderlich. Verarbeiten Sie an anderer Stelle in größerem Umfang personenbezogene Daten, kann sie nötig sein. Maßgeblich ist Ihre Gesamttätigkeit, nicht die Nutzung einzelner Tools – die Beurteilung bleibt bei Ihnen beziehungsweise bei Ihrer Datenschutzberatung.
Muss ich ein Verzeichnis von Verarbeitungstätigkeiten führen?
Artikel 30 DSGVO verlangt von Verantwortlichen und Auftragsverarbeitern ein Verzeichnis der Verarbeitungstätigkeiten. Wenn die Tools clientseitig arbeiten und Sie über sie keine personenbezogenen Daten an uns übermitteln, gibt es für diese Tool-Aufrufe keine Verarbeitungstätigkeit einzutragen. Es bleibt trotzdem sinnvoll, die eigene Zero-Knowledge-Architektur zu dokumentieren, damit Sie sie im Zweifel erklären können. Für alle übrigen Verarbeitungen bleibt das Verzeichnis nach Artikel 30 unverändert bestehen.
Welche Risiken drohen bei Verstößen gegen die DSGVO?
Bei schweren Verstößen sind Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher liegt. Für weniger schwerwiegende Verstöße liegt die Obergrenze bei 10 Millionen Euro oder 2 Prozent. Neben Bußgeldern drohen Reputationsverlust, Klagen von Betroffenen und Verfahren der Aufsichtsbehörden. Zero-Knowledge-Architektur verkleinert diese Angriffsfläche, weil sie die Datenmenge reduziert, die überhaupt gespeichert werden könnte.
Referenzen
Dieser Leitfaden stützt sich auf den DSGVO-Text und die offiziellen Leitlinien der EU:
Rechtshinweis und Richtigkeit der zitierten Vorschriften
Die Informationen auf dieser Seite dienen nur der allgemeinen Information und stellen keine Rechtsberatung dar. Gesetze, Verordnungen und Verwaltungsauslegungen ändern sich im Laufe der Zeit; die oben genannten Vorschriften sind Zusammenfassungen der zugrunde liegenden Regelungen. Maßgeblich ist der amtliche Wortlaut, wie er von der zuständigen Behörde veröffentlicht wird (z. B. eCFR und BIS für die USA, EUR-Lex oder die amtlichen Amtsblätter anderer Rechtsordnungen). ZeyroVault hat diese Seite am 13. August 2026 überprüft und beabsichtigt, sie regelmäßig zu überprüfen, kann jedoch nicht garantieren, dass sie zum Zeitpunkt Ihrer Lektüre den neuesten Stand widerspiegelt. Lassen Sie sich für Ihre konkrete Situation von einem qualifizierten Fachmann beraten.