Ihre Cookie-Einstellungen
EDSA-Leitlinien · Art. 7 DSGVO
Wir verwenden technisch notwendige Cookies für den Betrieb der Plattform (Anmeldung, Sicherheit, Sitzungen). Zusätzlich möchten wir Analyse-Cookies verwenden, um die Plattform zu verbessern.
Sie können alles annehmen, alles ablehnen oder auswählen, welche Kategorien aktiv sein sollen.Ihre Einwilligung gilt 6 Monate und kann jederzeit über die Fußzeile widerrufen werden.
Alles Weitere finden Sie in unserer Datenschutzerklärung.
Der erste Arbeitsbereich, der von einem DSB entworfen wurde. Fuer die echte Arbeit des DSB.
Kundenprofile, Dokumentenarchiv, Verarbeitungsverzeichnis, Fristen und Data-Breach-Log. Entworfen von einem zertifizierten DSB, der taeglich mehrere Mandate verwaltet.
Dott. Pietro Cravero
Entwickelt von einem DSB, für DSB.
Ich bin Pietro Cravero, zertifizierter Data Protection Officer und Gründer von Studio Cravero Consulting. DPO Workspace entstand aus meiner täglichen DSGVO-Beratungsarbeit für öffentliche Verwaltungen und private Organisationen.
Jede Funktion wurde entwickelt, um ein operatives Problem zu lösen, das ich selbst erlebt habe. Keine Vaporware. Keine magischen Automatisierungsversprechen. Nur Werkzeuge, die Sie wirklich täglich verwenden.
Bei 5+ Kunden bricht das System zusammen.Verstreute Drive-Ordner, veraltete Tabellen, Fristen auf Post-its. Funktioniert, solange Sie einen Kunden haben.
Verzeichnisse Art. 30 in 5 verschiedenen Tabellen — Mit unterschiedlichen Datumsangaben aktualisiert — Sie wissen nicht mehr, welches die richtige ist.
Fristen von Kunde A im Kalender von Kunde B — Sie vergessen eine periodische Überprüfung und merken es erst hinterher.
Datenpanne: 20 Minuten, um die Dokumente zu finden — Wenn ein Kunde anruft, verschwenden Sie wertvolle Zeit der 72-Stunden-Frist.
Regulatorische Updates nur an Anrufer — Sie geben sie nur an Kunden weiter, die anrufen. Die anderen bleiben zurück.
Von einem DSB gebaut. Fuer die echte Arbeit des DSB.
Kein generisches Tool, das auf Datenschutz angepasst wurde. Ein Arbeitsbereich, der nach dem echten Arbeitsablauf des externen DSB entworfen wurde.
Same structure, every client
Not just an archive. A workspace that brings order, continuity, and traceability.
Der Mandant meldet. Sie haben die Akte schon offen.
Das Schwierigste an der Arbeit eines externen Datenschutzbeauftragten ist nicht die Dokumentation, sondern überhaupt zu erfahren, dass etwas passiert ist. Hier sagt es der Mandant selbst, mit Link und Code, und die Meldung entsteht bereits als nachvollziehbares Ereignis.
Sie geben einen Link, keinen Zugang
Jeder Mandant erhält eine eigene Adresse mit Code. Keine Passwörter zu verwalten, keine zusätzlichen Nutzer zu bezahlen.
Der Mandant beschreibt das Ereignis
Ein kurzes Formular in normaler Sprache: was passiert ist, wann, wer betroffen ist. DSGVO-Kenntnisse sind nicht nötig.
Es erreicht Sie, bevor das Telefon klingelt
Die Meldung landet in der Warteschlange des richtigen Mandanten, mit fester Datums- und Zeitangabe. Wer wann was gesagt hat, bleibt dokumentiert.
Daraus wird ein Ereignis mit eigener Frist
Sie wählen die Ereignisart und der Ablauf startet: die Schritte und die aus dem Gesetz berechnete Frist, nicht geschätzt. Eine Datenschutzverletzung startet die 72 Stunden nach Art. 33.
Vom Fragebogen zum übergabefertigen Dokument
Beantworten Sie einige geführte Fragen und erhalten Sie einen professionell gesetzten Entwurf mit den Daten Ihres Mandanten. Schluss mit Copy-and-paste aus alten Dateien.
Ausfüllen und Vorschau frei. Export ab dem Pro-Tarif enthalten.
Datenschutzdokument
Patienteninformation
Erteilt gemäß Art. 13 DSGVO
Verantwortlicher
Centro Medico Esempio
Erstellt am
20/06/2026
Referenz
DPOW-PAZ
Konformität nachweisen wird konkret.
Alles, was Sie für eine Aufsichtsbehörden-Prüfung oder ein Kunden-Audit benötigen, ohne in Panik zu geraten.
Upload and last modified date
Every document shows creation date, last modification, and author.
Document status
Draft, in review, complete, to update. Quick filters per client.
Per-client audit log
History of every operation (creation, modification, deletion) append-only.
Operational notes
Free annotations linked to the client to contextualize decisions.
Per-client deadlines
Configurable review frequency, alerts on upcoming or overdue deadlines.
Exportable client report
PDF package with client profile, Art. 30 register, and operational timeline.
Auf einem echten Arbeitsablauf aufgebaut.
Keine allgemeine Bürosoftware. Ein Arbeitsbereich für alle, die DSB als Beruf ausüben, mehrere Mandate betreuen und Rechenschaftspflicht nachweisen müssen.
Independent DPOs
Certified professionals acting as external DPO for multiple entities or companies.
Privacy consultants
Consultants supporting clients on GDPR compliance without formally holding the role.
Law firms and privacy practices
Structured firms with multiple professionals managing privacy matters in parallel.
Public sector and healthcare experts
DPOs serving municipalities, schools, health authorities, with specific documentary needs.
SME and hospitality consultants
Specialists for SMEs, hospitality, retail with recurring mandates.
Consultant networks
Networks and cooperatives of privacy consultants sharing methods and tools.
EU-Hosting, Verschlüsselung, Audit.
DPO Workspace ist nach den Prinzipien Privacy by Design und by Default entwickelt.
Verschluesselt im Ruhezustand und bei der Uebertragung
Alle Dateien und Metadaten sind bei Google Cloud im Ruhezustand verschluesselt (AES-256) und bei der Uebertragung ueber TLS 1.3. Kein Klartextzugriff entlang der Kette.
Hosting in der EU
Ihre Daten und Dokumente liegen auf der Infrastruktur von Google Firebase, Region europe-west1 (Belgien). Im regulaeren Betrieb keine Drittlandsuebermittlung.
Getrennte Kundenbereiche
Jeder Nutzer arbeitet in einem eigenen Bereich. Zugriffsregeln der Datenbank verhindern, dass ein Konto die Daten eines anderen liest.
Nachvollziehbarkeit der Vorgaenge
Jeder Upload, jede Aenderung und jede Loeschung wird in einem internen, nur anfuegbaren Protokoll erfasst - nuetzlich im Pruefungsfall.
DPO Workspace ist ein operatives Werkzeug zur Unterstützung des DSB. Es ersetzt weder die fachliche Beurteilung des Datenschutzbeauftragten noch die Verantwortung des Verantwortlichen.
Mehr zu Sicherheit und Compliance →Alles, was ein DSB verwaltet, an einem Ort.
31 vorkonfigurierte Dokumentationsbereiche. Dokumente hochladen, Status zuweisen, Notizen hinzufügen. Alles am richtigen Platz, für jeden Mandanten.
Datenschutzhinweise
art. 13-14Erfassung, Versionierung und Ueberpruefung der Hinweise nach Art. 13-14 DSGVO.
Benennungen und Autorisierungen
art. 29Benennungsschreiben und Autorisierungen der zur Verarbeitung befugten Personen.
Verarbeitungsverzeichnis
art. 30Verzeichnis nach Art. 30 mit bearbeitbarem Formular und Branchenvorlagen.
Auftragsverarbeiter
art. 28Liste externer Auftragsverarbeiter und Vereinbarungen nach Art. 28.
DSFA und Folgenabschaetzungen
art. 35Risikobewertungen und Datenschutz-Folgenabschaetzungen nach Art. 35.
Datenschutzverletzungen
art. 33-34Verzeichnis der Vorfaelle mit 72-Stunden-Frist nach Art. 33.
Cookies und Web
ePrivacyCookie-Richtlinie, Banner und Erfassung der Web-Verarbeitungen.
Videoueberwachung
art. 88Hinweisschilder, Lageplaene, Bewertungen zum Einsatz von Kamerasystemen.
Datenschutzschulung
art. 39Bescheinigungen, Unterlagen und Nachverfolgung der Schulungen.
Betroffenenanfragen
art. 15-22Nachverfolgung der Anfragen nach Art. 15-22 DSGVO.
Pruefungen und Fristen
art. 24Pruefunterlagen, Nachverfolgung und Dokumentfristen.
KI-Dokumentation
AI ActAutomatisierte Systeme, KI-Verordnung, Nachvollziehbarkeit algorithmischer Entscheidungen.
Drittlandsuebermittlungen
art. 44-49Verzeichnis der Uebermittlungen in Drittlaender und TIA-Bewertung (Kapitel V, Art. 44-49).
NIS2 und Netzsicherheit
NIS2Dokumentation zu Sicherheitsmassnahmen und NIS2-Pflichten ueber die klassische DSGVO hinaus.
Zehn Dinge, die andere Archiv nennen.
Keines davon ist ein Versprechen: alles ist bereits in Produktion. Zeigen Sie auf eine Karte, um sie anzuhalten.
Mandantenportal
Ein eigener Link pro Mandant: Meldungen ohne eigenen Zugang.
Fristen am Gesetz verankert
Die Frist wird nicht geschätzt: der Artikel berechnet sie. Die 72 Stunden aus Art. 33 laufen ab der genauen Uhrzeit.
Termin-Feed als .ics
Alle Mandantenfristen im eigenen Kalender, automatisch aktualisiert.
OCR und Volltextsuche
Sie suchen eine Klausel in einem drei Jahre alten Scan-PDF und finden sie.
50 Dokumentvorlagen
Hinweise, Bestellungen, Einwilligungen, KI-Verordnung: Fragebogen ausfüllen, Entwurf mitnehmen.
Jährliches Audit-Pack als PDF
Eine vorlegbare Gesamtakte: Mandantenblatt, Verzeichnis nach Art. 30, Zeitleiste der Vorgänge.
Konformitätsbewertung
Für jeden Mandanten: was fehlt und wo. Damit entscheiden Sie, wohin die Stunden gehen.
REST-API und Schlüssel
Ihre Daten gehören Ihnen auch außerhalb: Lesezugriff über API mit widerrufbaren Schlüsseln.
Team und Rollen
Einladungen, Rechte owner, editor, viewer, und 2FA für jedes Konto.
Wochenübersicht
Montagmorgen wissen Sie, was fällig ist, bei welchem Mandanten und was aus den Portalen kam.
Einfache Preise. Jederzeit kündbar.
30 Tage kostenlose Testphase auf jedem Plan. Keine Kreditkarte erforderlich.
Solo
To get started
30 Tage kostenlos
- Up to 3 clients
- 1 user
- Alle 82 Dokumentationsbereiche
- Art. 30 register
- Data breach 72h
- Betroffenenanfragen (Art. 15-22)
- Schulungsregister fuer Personal
- Drittlandtransfers und TIA
- Audit log
- 5 GB storage
Pro
Most chosen plan
30 Tage kostenlos
- Unbegrenzte Mandanten
- 1 user
- Everything in Solo
- DPIA Wizard (WP248)
- OCR full-text search
- PDF client report
- Sector templates
- Monthly ZIP backup
- Public DPO profile
- Weekly digest
- 25 GB storage
Studio
For small firms
30 Tage kostenlos
- Unlimited clients
- Up to 5 users
- Everything in Pro
- Client relations map
- Annual PDF Audit Pack
- Read-only REST API
- Granular roles
- Priority support
- 100 GB storage
MwSt. enthalten, soweit anwendbar.
Aktuelle Entscheidungen und Neuerungen
Analysen aus der Sicht eines praktizierenden DSB.
Das unsichtbare Pixel im Newsletter: am 29. Oktober läuft die Zeit ab
Mit dem Bescheid Nr. 284 vom 17. April 2026, veröffentlicht im Amtsblatt Nr. 98 vom 29. April, hat die italienische Datenschutzbehörde die Regeln für Tracking-Pixel in E-Mails festgelegt und sechs Monate zur Anpassung eingeräumt: Frist ist der 29. Oktober 2026. Die individuelle Öffnungsmessung zu Marketingzwecken erfordert, vorbehaltlich Ausnahmen, die Einwilligung des Empfängers. Die Prüfung gehört zum Kontrollplan des zweiten Halbjahres. Für einen Datenschutzbeauftragten ist der Punkt nicht ein Verbot — es gibt keines — sondern dass eine seit zwanzig Jahren selbstverständliche Verarbeitung nun eine Grundlage, eine Information und einen eigenen Ausschalter braucht.
Die vom Algorithmus beschlossene Kündigung ist nichtig: ab 23. Oktober in Italien
Veröffentlicht im Amtsblatt Nr. 234 vom 8. Oktober 2026 und seit dem 23. Oktober in Kraft, bestimmt das Dekret Nr. 179/2026, dass Endentscheidungen über das Arbeitsverhältnis nicht ausschließlich auf automatisierter Verarbeitung beruhen dürfen, dass die beschäftigte Person eine verständliche Begründung verlangen kann und dass dagegen verstoßende Entscheidungen nichtig sind. Parallel dazu gehen KI-Systeme, die die Arbeitsorganisation beeinflussen, in die Gefährdungsbeurteilung nach Art. 28 des Dekrets 81/2008 ein. Für einen Datenschutzbeauftragten ist das der seltene Fall, in dem die Folge nicht wirtschaftlich, sondern zivilrechtlich ist.
Italienische Datenschutzbehörde verhängt 16,7 Millionen gegen Wind Tre: Telemarketing trotz Widerspruch und ohne Wissen der Kunden aktivierte Verträge
Menschen, die widersprochen hatten, wurden weiter angerufen, und manche Verträge wurden ohne Wissen der Betroffenen aktiviert. Der Garante verhängt 16,7 Millionen gegen Wind Tre und erinnert an einen Grundsatz für jedes Unternehmen mit Agenturnetz: Verantwortung wird nicht mit dem Vertrieb ausgelagert.
Griechenland: 350.000 Euro für eine Datenpanne — Ministerium und Auftragsverarbeiter mit veralteten Systemen sanktioniert, ein Vertrag nach Art. 28 fehlte
Ein Angriff auf die Systeme der Agentur, die Programme eines Ministeriums umsetzte, legte Identifikations-, Finanz- und Gesundheitsdaten sehr vieler Menschen offen. Die griechische Behörde verhängt 200.000 Euro gegen den Verantwortlichen und 150.000 gegen den Auftragsverarbeiter: Gut melden reicht nicht, wenn der Dienstleister veraltete Systeme nutzt und die Beziehung nicht vertraglich geregelt ist.
Smart Glasses: Der EDSA bezieht Stellung — Nutzer können Verantwortliche sein, und Gefilmte müssen es merken können
Sie sehen aus wie normale Brillen, haben aber Kamera, Mikrofon und Internetverbindung. Der EDSA veröffentlicht seine erste Erklärung zu Smart Glasses: wann der Nutzer Verantwortlicher wird, warum Hersteller und App-Anbieter ihre Pflichten nicht auf ihn abwälzen können und was es konkret heißt, eine Aufnahme sichtbar zu machen.
Leitfäden und Ressourcen
Praxisbeiträge aus dem Produkt und der täglichen Arbeit als Datenschutzbeauftragter.
Software fuer Datenschutzbeauftragte
Was man braucht, wenn man mehr als eine Organisation betreut.
Verarbeitungsverzeichnis (Art. 30 DSGVO)
Pflichtinhalt, wer es fuehren muss, Excel vs. Software.
Software für Berater und externe Datenschutzbeauftragte
Mandantenfähig von Grund auf: ein Workspace, alle Mandanten.
KI-Verordnung: Pflichten und Dokumente
Fristen und Dokumente, um bis August 2026 bereit zu sein.
Vergleich von Software für Datenschutzbeauftragte
DPO Workspace im Vergleich mit 5 Alternativen, ohne Umschweife.
Fristen mit rechtlicher Grundlage
Warum jedes Überprüfungsintervall seine Quelle nennt.
Praxisnachrichten für Datenschutzbeauftragte
Entscheidungen und Neuerungen, übersetzt in konkrete Schritte.
DSGVO Software: Ueberblick
Verarbeitungsverzeichnis, DSFA, Datenpannen und AI Act fuer jeden Mandanten.
Software fuer Datenschutzbeauftragte
Intern oder extern: die Pflichten aus Art. 38-39 DSGVO und Paragraph 6 BDSG.
DSFA Software
Wann eine DSFA Pflicht ist und wie man sie mit einem Assistenten fuehrt.
Datenpannen Software
72-Stunden-Timer, internes Verzeichnis und Meldevorlagen.
Wie funktioniert die kostenlose Testphase?
+
30 volle Tage, ohne Kreditkarte. Danach können Sie einen Plan aktivieren oder ablaufen lassen — Ihre Daten bleiben 90 Tage gespeichert.
Ersetzt DPO Workspace den DSB?
+
Nein. DPO Workspace ist ein operatives Werkzeug zur Unterstützung des DSB. Es ersetzt weder die fachliche Beurteilung noch die Verantwortung des Verantwortlichen.
Sind die Daten sicher?
+
Ja. EU-Hosting (europe-west1), TLS-1.3-Verschlüsselung im Transit, AES-256 at rest. Tägliche Backups. Art.-28-AVV auf Anfrage verfügbar.
Kann ich meine Daten exportieren?
+
Ja, jederzeit. Kundenexport als CSV/Excel, Verzeichnis Art. 30 als PDF/Word.
Passt es zu meiner kleinen Praxis?
+
Ja, das Tool ist genau für unabhängige DSB, kleine Kanzleien und Datenschutzberater konzipiert, die 30-50 Kunden gleichzeitig betreuen.
Was passiert bei einer Kündigung?
+
Der Plan bleibt bis zum Ende des bereits bezahlten Zeitraums aktiv. Danach wird der Zugang gesperrt, bis Sie reaktivieren. Daten bleiben 90 Tage nach Kündigung erhalten.