DSGVO & digitale Visitenkarten: Compliance-Leitfaden 2026

George El-Hage 🔗 LinkedIn

Gründer, Wave Connect | SOC 2 Type II zertifizierte Plattform für über 150.000 Fachleute

Ich habe 6 Jahre damit verbracht, Unternehmen bei der Implementierung DSGVO-konformer digitaler Visitenkarten in regulierten Branchen zu unterstützen. Dieser Leitfaden basiert auf echten Compliance-Audits, AVV-Verhandlungen und Unternehmensimplementierungen.

DSGVO-Konformität für digitale Visitenkarten ist nicht optional, wenn Sie Geschäfte in oder mit der EU machen – und die Bußgelder bei Verstößen sind brutal. Wir sprechen von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist.

Ich habe Dutzende von Rechtsabteilungen in Unternehmen genau durch diese Frage geführt: „Ist unsere digitale Visitenkarten-Plattform DSGVO-konform?" Nach dem Aufbau der Wave Connect Enterprise-Lösung, die gleichzeitig SOC 2 Type II und DSGVO-Anforderungen erfüllt, habe ich gelernt, was wirklich zählt – und was nur Marketing-Gerede ist. Dieser Leitfaden gibt Ihnen die artikelweise Aufschlüsselung, die Bewertungs-Checkliste und die Fehler, die ich Teams aus erster Hand machen gesehen habe.

Warum DSGVO-Konformität für digitale Visitenkarten 2026 wichtig ist

Hier ist die Zahl, die Rechtsabteilungen aufhorchen lässt: 1,97 Milliarden Euro an DSGVO-Bußgeldern allein 2023 verhängt. Meta wurde mit 1,2 Milliarden Euro belegt. Amazon: 746 Millionen Euro. Google: 90 Millionen Euro. Das sind keine kleinen Unternehmen, die Anfängerfehler machen – sie hatten ganze Compliance-Abteilungen. (Quelle: DLA Piper DSGVO-Bußgeld-Bericht, Januar 2024.)

Warum sollten Sie sich also speziell um digitale Visitenkarten kümmern?

Weil jede digitale Visitenkarte personenbezogene Daten verarbeitet. Punkt. Ein Name, eine E-Mail-Adresse, eine Telefonnummer, eine Berufsbezeichnung – das sind alles personenbezogene Daten nach der DSGVO. Und in dem Moment, in dem Sie eine digitale Visitenkarten-Plattform für Ihr Team einsetzen, haben Sie eine neue Datenverarbeitungsaktivität eingeführt, über die Ihr Datenschutzbeauftragter Bescheid wissen muss.

Wer muss sich tatsächlich darum kümmern? Mehr Organisationen, als Sie denken:

• EU-Unternehmen – offensichtlich
• US- oder UK-Unternehmen mit EU-Kunden oder -Partnern – wenn ein EU-Bürger Ihre Karte scannt, gilt die DSGVO
• Regulierte Branchen überall – Finanzdienstleistungen, Gesundheitswesen und Anwaltskanzleien übernehmen die DSGVO oft als Basisstandard, auch außerhalb der EU
• Jedes Unternehmen mit einer EU-Tochtergesellschaft – ein Büro in Dublin bedeutet, dass die gesamte Plattform konform sein muss

Gilt die DSGVO für Ihre digitalen Visitenkarten?

Kurze Antwort: fast mit Sicherheit ja.

DSGVO Artikel 2 definiert ihren Anwendungsbereich weit gefasst. Jede Verarbeitung personenbezogener Daten – und eine digitale Visitenkarte mit Namen, E-Mail, Telefonnummer oder Berufsbezeichnung enthält personenbezogene Daten – fällt unter die Verordnung, wenn entweder der Verantwortliche oder die betroffene Person in der EU ist.

Hier ist der Teil, der die Leute stolpern lässt: Sie sind der Verantwortliche, nicht der Plattformanbieter. Ihre digitale Visitenkarten-Plattform ist der Auftragsverarbeiter. Das bedeutet, die rechtliche Verantwortung für die Konformität liegt bei Ihrer Organisation. Die Plattform muss Ihnen nur die Werkzeuge geben, um konform zu sein.

Das Schrems-II-Problem

Wenn Sie ein EU-Unternehmen sind, das eine in den USA gehostete Plattform nutzt, haben Sie eine zusätzliche Ebene zu bewältigen. Das Schrems-II-Urteil hat das EU-US-Privacy-Shield für ungültig erklärt, was bedeutet, dass die Übermittlung personenbezogener Daten an US-Server mindestens Standardvertragsklauseln (SCCs) erfordert – plus eine Transfer Impact Assessment, die dokumentiert, dass der US-Anbieter angemessenen Schutz bietet.

Meine Meinung? Suchen Sie nach Plattformen, die EU-Hosting-Optionen anbieten oder, noch besser, White-Label-Domains, bei denen die Daten unter Ihrer Kontrolle bleiben. Das umgeht das gesamte Schrems-II-Problem.

DSGVO-Anforderungen für digitale Visitenkarten (artikelweise)

Lassen Sie uns konkret werden. Hier sind die acht DSGVO-Artikel, die direkt beeinflussen, wie Sie digitale Visitenkarten einsetzen und verwalten. 📋

Artikel 5: Datenminimierung

Ihre digitalen Visitenkarten sollten nur Daten erfassen, die tatsächlich notwendig sind. Wenn die Plattform Gerätedaten, IP-Adressen oder Verhaltensanalysen über das hinaus sammelt, was Sie benötigen – das ist ein Verstoß. Fragen Sie Ihren Anbieter: Welche Daten erfassen Sie über das hinaus, was der Benutzer explizit bereitstellt?

Artikel 6: Rechtsgrundlage für die Verarbeitung

Sie benötigen einen rechtlichen Grund, um die Daten auf Ihren Karten zu verarbeiten. Bei den meisten Anwendungsfällen für digitale Visitenkarten ist das entweder Einwilligung (der Empfänger hat sich entschieden, Ihre Karte zu speichern) oder berechtigtes Interesse (Austausch von Kontaktinformationen in einem geschäftlichen Kontext). Dokumentieren Sie, auf welche Grundlage Sie sich stützen.

Artikel 17: Recht auf Löschung

Dieser ist enorm wichtig. Wenn jemand die Löschung seiner Daten anfordert, müssen Sie sie tatsächlich löschen. Nicht markieren. Nicht für 30 Tage planen. Löschen. Ich habe die Datenlöschung auf mehreren Plattformen getestet. Einige tun es sofort. Andere haben 30-Tage-Aufbewahrungsfristen in ihren Datenschutzrichtlinien vergraben – was eine Compliance-Lücke schafft.

Artikel 25: Datenschutz durch Technikgestaltung

Ihre Plattform sollte mit Datenschutz als Standard konzipiert sein, nicht nachträglich hinzugefügt. Hier haben browserbasierte Plattformen einen strukturellen Vorteil. Es gibt keine zu installierende App, was bedeutet, dass keine unnötigen Geräteberechtigungen zu prüfen sind – kein Zugriff auf Kontakte, Kamera, Standort oder Speicher, den Sie nach Artikel 25 rechtfertigen müssten.

Artikel 28: Anforderungen an Auftragsverarbeiter

Sie benötigen einen Auftragsverarbeitungsvertrag (AVV) mit Ihrem digitalen Visitenkarten-Anbieter. Nicht verhandelbar. Der AVV sollte spezifizieren, welche Daten verarbeitet werden, zu welchem Zweck, wie lange sie aufbewahrt werden und was passiert, wenn der Vertrag endet. Wenn ein Anbieter auf Anfrage keinen AVV vorlegen kann, gehen Sie weg.

Artikel 30: Verzeichnis von Verarbeitungstätigkeiten

Sie sind verpflichtet, ein Verzeichnis aller Verarbeitungsaktivitäten zu führen. Ihre digitale Visitenkarten-Implementierung muss dokumentiert werden: welche Daten erfasst werden, die Rechtsgrundlage, Aufbewahrungsfristen und eventuelle Drittübermittlungen. Ich habe Teams gesehen, die eine Plattform einsetzen und vergessen, ihre Artikel-30-Aufzeichnungen zu aktualisieren. Sechs Monate später entdeckt es der Datenschutzbeauftragte während eines internen Audits. Kein angenehmes Gespräch.

Artikel 32: Sicherheit der Verarbeitung

Verschlüsselung. Zugriffskontrollen. Regelmäßige Sicherheitsbewertungen. Hier werden Zertifizierungen wie SOC 2 Type II wirklich nützlich – sie sind der Beweis durch Dritte, dass der Anbieter Sicherheitsstandards erfüllt, nicht nur ein Marketing-Abzeichen.

Artikel 33-34: Meldung von Datenschutzverletzungen

Wenn Ihre digitale Visitenkarten-Plattform eine Datenpanne erleidet, haben Sie 72 Stunden Zeit, Ihre Aufsichtsbehörde zu benachrichtigen. Diese Uhr beginnt zu ticken, wenn der Auftragsverarbeiter (Ihr Plattformanbieter) Sie benachrichtigt. Stellen Sie sicher, dass Ihr AVV eine Klausel zur Meldung von Datenpannen mit einem spezifischen Zeitrahmen enthält – idealerweise 24-48 Stunden, damit Sie Zeit haben, die Situation zu bewerten, bevor die 72-Stunden-Frist abläuft.

So bewerten Sie digitale Visitenkarten-Plattformen auf DSGVO-Konformität

Ich verwende diese sieben Fragen bei jedem Unternehmenskunden. Wenn eine Plattform nicht alle sieben klar beantworten kann, ist das ein Warnsignal. 🔐

Wie eine DSGVO-konforme digitale Visitenkarten-Plattform tatsächlich aussieht

Lassen Sie mich Ihnen zeigen, wie echte Compliance in der Praxis aussieht, unter Verwendung von Wave Connect als Referenz, da es die Plattform ist, die ich speziell zur Erfüllung dieser Anforderungen aufgebaut habe.

Duale Zertifizierung: SOC 2 Type II + DSGVO

SOC 2 behandelt die Sicherheitskontrollen (Verschlüsselung, Zugriffsverwaltung, Incident Response). DSGVO behandelt die Datenrechte (Einwilligung, Löschung, Übertragbarkeit). Sie benötigen beides. Eine Plattform mit SOC 2, die aber DSGVO ignoriert, ist nur halb konform. Wave verfügt über beides, mit jährlichen SOC 2-Audits durch ein unabhängiges Unternehmen. Für die vollständige Aufschlüsselung, was SOC 2 für digitale Visitenkarten bedeutet, habe ich einen separaten Tiefengang geschrieben.

Datensouveränität durch White-Label-Domains

Hier ist etwas, woran die meisten Leute nicht denken: Wenn die digitalen Visitenkarten Ihres Teams unter cards.ihreunternehmen.com statt unter anbieter-name.com/ihre-karte laufen, behalten Sie die Datensouveränität. Die Daten fließen durch Ihre Domain. Das ist ein bedeutsamer Unterschied für Schrems-II-Konformität und für Organisationen mit Anforderungen an die Datenresidenz.

Browserbasierte Architektur = weniger Sicherheitslücken

Keine App bedeutet keine Geräteberechtigungen. Kein Zugriff auf Kontaktliste. Keine Hintergrunddatensynchronisierung. Aus einer DSGVO-Artikel-25-Perspektive sind browserbasierte Plattformen strukturell einfacher zu prüfen, weil es buchstäblich weniger Angriffsfläche gibt, bei der etwas schief gehen kann.

Sofortige Datenlöschung

Wenn ich sofort sage, meine ich es ernst. Nicht in die Warteschlange gestellt. Nicht „innerhalb von 30 Werktagen". Wenn ein Benutzer oder Administrator eine Löschung anfordert, sind die Daten weg. Das verlangt Artikel 17, und das ist es, wonach Ihr Datenschutzbeauftragter fragen wird.

Kein Branding, keine Akquise

Dieses Detail ist wichtiger, als die Leute für DSGVO erkennen. Wenn eine Plattform „Powered by [Anbieter]" zu Ihren Karten hinzufügt und dann Ihre Empfänger per E-Mail zur Anmeldung auffordert, ist dieser Anbieter gerade Verantwortlicher für die Daten Ihrer Kontakte geworden – ohne deren Einwilligung. Wave macht das nicht. Ihre Kontakte bleiben Ihre Kontakte.

AVV mit klaren Bedingungen

Wave stellt einen AVV bereit, der Haftungsobergrenzen, Transparenz bei Unterauftragsverarbeitern, Meldung von Datenpannen innerhalb von 24 Stunden und Datenlöschzertifikate bei Vertragsbeendigung umfasst. Wenn Sie Unternehmensplattformen bewerten, ist das der Standard, den Sie erwarten sollten.

Häufige DSGVO-Fehler bei digitalen Visitenkarten (und wie man sie vermeidet)

Ich habe alle diese gesehen. Mehr als einmal. 😬

Fehler 1: Annehmen, dass „DSGVO-konform" auf einer Website zertifiziert bedeutet

Es gibt keine DSGVO-Zertifizierungsstelle. Jeder kann „DSGVO-konform" auf seine Homepage schreiben. Was Sie wollen, sind Beweise: ein AVV, ein Verzeichnis von Verarbeitungstätigkeiten, Sicherheitsaudits durch Dritte (SOC 2, ISO 27001) und spezifische Dokumentation, wie sie mit Betroffenenrechten umgehen. Verlangen Sie Belege.

Fehler 2: Schrems II bei US-gehosteten Plattformen ignorieren

Wenn Ihr digitaler Visitenkarten-Anbieter Daten ausschließlich in den USA hostet und keine Standardvertragsklauseln plus Transfer Impact Assessment bereitstellen kann, haben Sie eine Compliance-Lücke. Das EU-US-Datenschutzrahmenwerk hilft, aber nur, wenn der Anbieter darunter zertifiziert ist. Überprüfen Sie – gehen Sie nicht davon aus.

Fehler 3: Den AVV überspringen

Artikel 28 erfordert einen AVV zwischen jedem Verantwortlichen und Auftragsverarbeiter. Ich habe Teams gesehen, die Hunderte von Karten einsetzen, ohne jemals einen AVV mit ihrem Anbieter zu unterzeichnen. Wenn eine Aufsichtsbehörde fragt: „Wo ist Ihr Verarbeitungsvertrag?" und die Antwort ist Schweigen, ist das ein Befund.

Fehler 4: Datenlöschung nicht testen

Nehmen Sie nicht das Wort des Anbieters dafür. Erstellen Sie ein Testprofil. Fordern Sie die Löschung an. Versuchen Sie dann, über direkte URL, API oder zwischengespeicherte Links darauf zuzugreifen. Wenn es nach der angegebenen Löschfrist noch da ist, haben Sie ein Problem.

Fehler 5: App-Berechtigungen übersehen

App-basierte Plattformen fordern oft Zugriff auf Ihre Kontaktliste, Kamera, Standort und Speicher an. Jede Berechtigung ist eine Datenverarbeitungsaktivität, die eine Rechtfertigung nach Artikel 5 und Dokumentation nach Artikel 30 benötigt. Browserbasierte Alternativen wie Wave überspringen dies vollständig.

Fehler 6: Artikel-30-Dokumentation vergessen

Ihr Verzeichnis von Verarbeitungstätigkeiten muss Ihre digitale Visitenkarten-Plattform enthalten. Ich empfehle, sie in derselben Woche hinzuzufügen, in der Sie sie einsetzen. Dokumentieren Sie: erfasste Datenkategorien, Rechtsgrundlage, Aufbewahrungsfrist, Unterauftragsverarbeiter und grenzüberschreitende Übermittlungen.

Branchenspezifische DSGVO-Überlegungen

Die DSGVO existiert nicht im luftleeren Raum. Je nach Branche haben Sie es mit mehrschichtigen Compliance-Anforderungen zu tun.

Finanzdienstleistungen (DSGVO + MiFID II)

Finanzinstitute haben doppelte Verpflichtungen. MiFID II erfordert die Aufbewahrung von Aufzeichnungen über Kundenkommunikation, während die DSGVO Datenminimierung verlangt. Ihre digitale Visitenkarten-Plattform muss diesen Spagat schaffen – Aufzeichnungen aufbewahren, wo erforderlich, während Daten auf Anfrage gelöscht werden. Vertriebsteams in Finanzdienstleistungen benötigen Plattformen mit granularen Admin-Kontrollen und Audit-Trails.

Anwaltskanzleien (Anwalt-Mandant-Privileg + DSGVO)

Das Anwalt-Mandant-Privileg fügt eine zusätzliche Sensibilitätsebene hinzu. Kontaktdaten, die über digitale Visitenkarten ausgetauscht werden, könnten sich auf privilegierte Angelegenheiten beziehen. Anwaltskanzleien sollten Plattformen mit Ende-zu-Ende-Verschlüsselung und Datensouveränitätsoptionen priorisieren – Sie möchten nicht, dass Mandanten-Kontaktdaten auf einer gemeinsam genutzten Infrastruktur eines Anbieters liegen.

Gesundheitswesen (DSGVO + nationale Gesundheitsdatengesetze)

Gesundheitsorganisationen verarbeiten besondere Kategorien von Daten nach DSGVO Artikel 9. Während eine digitale Visitenkarte selbst möglicherweise keine Gesundheitsdaten enthält, könnte die Verbindung zwischen einem Gesundheitsdienstleister und einem Kontakt als sensibel betrachtet werden. EU-gehostete, SOC-2-zertifizierte Plattformen mit strengen Zugriffskontrollen sind hier die Mindestanforderung.

SaaS und Tech (DSGVO als Kundenanforderung)

Selbst wenn Sie ein in den USA ansässiges SaaS-Unternehmen sind, werden Ihre EU-Kunden während der Beschaffung nach Ihrer DSGVO-Position fragen. Wenn die digitalen Visitenkarten Ihres Teams auf einer nicht konformen Plattform laufen, ist das ein Befund in der Lieferantenbewertung Ihres Kunden. Mit einer zertifizierten Plattform voranzugehen, erspart Ihnen später Beschaffungskopfschmerzen.

DSGVO-Compliance-Checkliste für Ihre digitale Visitenkarten-Implementierung

Ich verwende diese dreiphasige Checkliste bei jeder Unternehmensimplementierung. Drucken Sie sie aus, teilen Sie sie mit Ihrem Datenschutzbeauftragten und haken Sie jedes Kästchen ab. ✅

Wenn Sie nach einer Plattform suchen, die jedes Kästchen dieser Liste von Anfang an abhakt, wurde Wave Connect's Enterprise-Plan genau für diesen Anwendungsfall entwickelt. SOC 2 + DSGVO duale Compliance, White-Label-Domains, sofortige Löschung und ein AVV, der unterschriftsbereit ist.

Möchten Sie das Wasser testen, bevor Sie sich auf Enterprise festlegen? Wave's Forever Free-Plan lässt Sie die DSGVO-Position der Plattform aus erster Hand bewerten – keine Kreditkarte, kein Branding auf Ihren Karten, keine Bedingungen.