GDPR-Datenkarte für Hosting-Reseller

Sie betreiben ein Hosting-Reseller-Geschäft. Ein Kunde schreibt: „Ich möchte eine Kopie aller personenbezogenen Daten, die Sie über mich gespeichert haben.“ Sie haben 30 Tage Zeit zu antworten. Wissen Sie, in jeder Tabelle, jedem Protokoll, jedem Support-Ticket, wo seine Daten liegen? Wenn nicht, benötigen Sie eine GDPR-Datenkarte. Dieser Artikel zeigt Ihnen, wie Sie eine erstellen und dann einen Ein-Klick-Export automatisieren, der Auskunfts- und Portabilitätsanfragen erfüllt.

Was ist eine GDPR-Datenkarte und warum braucht ein Hosting-Reseller eine?

Eine GDPR-Datenkarte ist ein Inventar aller Orte, an denen personenbezogene Daten gespeichert sind, wie sie dorthin gelangt sind und wer darauf zugreifen kann. Für einen Hosting-Reseller bedeutet das Ihr Abrechnungssystem, Ihren Support-Desk, Ihr Control Panel und alle Drittanbieter-Tools, die Sie verwenden. Ohne sie können Sie Betroffenenanfragen (SARs) oder Datenportabilitätsanfragen nicht zuverlässig beantworten. Sie riskieren Bußgelder und verlieren das Vertrauen der Kunden.

Die Karte ist kein einmaliges Dokument. Sie ändert sich, wenn Sie Dienste hinzufügen. Aber wenn Sie sie einmal erstellen, haben Sie einen wiederholbaren Prozess.

Wo liegen personenbezogene Daten in einem typischen Reseller-Stack?

Personenbezogene Daten verstecken sich an mehr Orten, als Sie denken. Hier sind die wichtigsten Systeme und die Daten, die sie enthalten.

Abrechnung und Rechnungsstellung

• Kundenname, Firma, Adresse, E-Mail, Telefon
• Zahlungsmethodendetails (oft tokenisiert, aber dennoch personenbezogen)
• Rechnungsverlauf, Gutschriften, Steuer-IDs
• Anmeldeinformationen und Sicherheitsfragen

Support-System

• Ticket-Inhalt, Anhänge, Chat-Protokolle
• IP-Adressen und Browser-User-Agents
• Interne Notizen, die persönliche Meinungen oder Daten enthalten können

Control Panel und Hosting-Dienste

• Kontobenutzernamen, E-Mail-Adressen, FTP/SFTP-Anmeldeinformationen
• Domain-Registrierungsdaten (WHOIS)
• SSL-Zertifikatsdetails
• Zugriffsprotokolle, Fehlerprotokolle, E-Mail-Protokolle
• Backups, die Kundendateien und Datenbanken enthalten

Drittanbieter-Tools

• Live-Chat-Widgets
• Analyseplattformen
• E-Mail-Marketing-Dienste
• Zahlungsgateways

Jedes davon ist eine potenzielle Quelle für eine SAR. Kartieren Sie sie alle.

Wie Sie Ihre Datenkarte Schritt für Schritt erstellen

Beginnen Sie mit einer einfachen Tabellenkalkulation. Listen Sie jedes System auf, die Daten, die es enthält, wo sie gespeichert sind (Datenbank, Datei, Cloud), wer Zugriff hat und die Rechtsgrundlage für die Verarbeitung. Notieren Sie dann, wie Sie Daten für eine bestimmte Person extrahieren würden.

Zum Beispiel könnten Sie in Ihrem Abrechnungssystem die Tabelle customers nach E-Mail abfragen. Im Support suchen Sie Tickets nach der E-Mail des Anfragenden. Im Control Panel suchen Sie das Hosting-Konto nach Benutzername.

Dokumentieren Sie die genauen Schritte. Dies wird Ihr Runbook für SARs.

Wie sieht ein Ein-Klick-Export aus?

Ein Ein-Klick-Export ist ein Skript oder eine Funktion, die alle personenbezogenen Daten für eine bestimmte Person in einem einzigen Archiv (ZIP oder JSON) zusammenfasst. Es sollte alle Systeme in Ihrer Karte abdecken. Sie können es selbst erstellen oder integrierte Tools Ihrer Abrechnungsplattform verwenden.

Zum Beispiel enthält Teculiar, eine Plattform für Hosting-Reseller zur Verwaltung von Abrechnung, Bereitstellung und Support, API-Zugriff, der zur Automatisierung solcher Exporte genutzt werden kann. Aber auch ohne das können Sie ein Skript schreiben, das jedes System abfragt.

Der Export sollte enthalten:

• Profildaten (Name, Kontaktdaten)
• Transaktionsverlauf
• Support-Tickets und Antworten
• Nutzungsprotokolle der Dienste (wenn sie personenbezogene Daten enthalten)
• Alle Einwilligungsnachweise

Formatieren Sie die Daten in einem strukturierten, gängigen, maschinenlesbaren Format wie JSON oder CSV. Das erfüllt die Portabilitätsanforderung.

Wie Sie den Exportprozess automatisieren

Manuelle Exporte skalieren nicht. Automatisieren Sie, indem Sie Ihre Systeme über API verbinden. Die meisten Abrechnungsplattformen haben eine API. Support-Desks oft auch. Control Panels wie cPanel oder Plesk haben APIs für Kontodaten.

Schreiben Sie ein Skript, das:

1. Eine E-Mail-Adresse als Eingabe nimmt.
2. Jedes System nach dieser E-Mail abfragt.
3. Ergebnisse in einem Ordner sammelt.
4. Den Ordner zippt und einen Download-Link bereitstellt.

Wenn Sie eine Plattform wie Teculiar verwenden, können Sie dies als benutzerdefiniertes Modul erstellen. Andernfalls verwenden Sie einen Cron-Job oder eine kleine Web-App.

Testen Sie es mit einem Dummy-Konto. Messen Sie, wie lange es dauert. Ein gutes Ziel ist unter 5 Minuten für einen typischen Kunden.

Was ist mit Daten in Backups und Protokollen?

Backups und Protokolle werden oft übersehen. Wenn ein Kunde alle Daten anfordert, müssen Sie relevante Protokolle und Backups einschließen, es sei denn, sie unterliegen einer gesetzlichen Ausnahme. Allerdings ist die Extraktion aus Backups unpraktisch. Stattdessen dokumentieren Sie, dass Backups der Notfallwiederherstellung dienen und dass Sie bei Bedarf wiederherstellen und extrahieren werden. Für Protokolle können Sie nach Benutzer-ID oder IP filtern.

Seien Sie transparent in Ihrer Datenschutzrichtlinie über Aufbewahrungsfristen. Wenn Sie Protokolle 30 Tage aufbewahren, sagen Sie das.

Checkliste für die Compliance

• Erstellen Sie eine Datenkarte, die alle Systeme abdeckt.
• Dokumentieren Sie Extraktionsmethoden für jede Datenquelle.
• Erstellen Sie ein automatisiertes Export-Tool.
• Testen Sie das Tool regelmäßig.
• Schulen Sie Mitarbeiter im Umgang mit SARs.
• Führen Sie Aufzeichnungen über alle SARs und Ihre Antworten.

Weitere Details zur Integration mit Ihrem Abrechnungssystem finden Sie in unserer Dokumentation.

Was als Nächstes zu tun ist

• Beginnen Sie noch heute mit Ihrer Datenkarte: Listen Sie jedes System und jeden Datentyp auf.
• Identifizieren Sie ein System, das Sie zuerst automatisieren, normalerweise die Abrechnung.
• Schreiben Sie ein einfaches Skript, um Daten für einen Testkunden zu exportieren.
• Sehen Sie sich unsere Preise an, um zu prüfen, ob unsere Plattform den Prozess vereinfachen kann.

Machen Sie den ersten Schritt, indem Sie diese Woche Ihre Datenflüsse kartieren.