Unternehmen, die sowohl amerikanische als auch europäische Kunden bedienen, sehen sich irgendwann mit zwei Anfragen gleichzeitig konfrontiert: „Senden Sie uns Ihren SOC 2-Bericht“ und „Bestätigen Sie die GDPR-Konformität“. Beides wird oft als austauschbar behandelt — das ist es nicht. SOC 2 ist eine freiwillige Sicherheitsprüfung nach AICPA-Standards; die GDPR ist verbindliches EU-Datenschutzrecht. Dennoch kann ein großer Teil der Arbeit einmal erledigt und für beides wiederverwendet werden. So geht es.
SOC 2 und GDPR in je einem Absatz
SOC 2 ist ein Bericht einer unabhängigen CPA-Gesellschaft, der feststellt, dass die Kontrollen einer Dienstleistungsorganisation die Trust Services Criteria (TSC) erfüllen: Security, Availability, Confidentiality, Processing Integrity und Privacy. Er ist freiwillig und wird von Kunden verlangt, nicht von Aufsichtsbehörden. Er ist kein Zertifikat — er ist ein Prüfungsbericht (Attestation Report).
Die GDPR (Datenschutz-Grundverordnung, DSGVO) ist EU-Recht, das für jeden gilt, der personenbezogene Daten von Personen mit Wohnsitz in der EU verarbeitet, unabhängig vom Sitz des Unternehmens. Ein Softwareunternehmen, das ein Produkt für einen deutschen Kunden entwickelt und mit Nutzerdaten in Berührung kommt, ist nach der GDPR ein Auftragsverarbeiter, wo auch immer es eingetragen ist; ein Unternehmen mit Sitz in der EU fällt mit allem, was es tut, in den Anwendungsbereich. Verstöße führen zu Bußgeldern, nicht nur zu verlorenen Aufträgen.
Wesentliche Unterschiede
| Aspekt | SOC 2 | GDPR |
|---|---|---|
| Wesen | Freiwillige Prüfung | Verbindliches EU-Recht |
| Gegenstand | Sicherheits- und Betriebskontrollen | Betroffenenrechte und rechtmäßige Verarbeitung |
| Wer prüft | Unabhängige CPA-Gesellschaft | EU-Aufsichtsbehörden, Kunden, Datenschutzbeauftragter |
| Ergebnis | Type 1- / Type 2-Bericht | Konformität; kein offizielles Zertifikat |
| Geografie | Vorwiegend USA | EU / EWR, extraterritorial |
| Folge bei Nichterfüllung | Verlorene Kunden | Bußgelder bis zu 4 % des weltweiten Umsatzes |
Ersetzt SOC 2 die GDPR-Konformität?
Nein. Ein SOC 2-Bericht zeigt, dass Sie Daten gut schützen, sagt aber nichts darüber aus, ob Sie eine Rechtsgrundlage für die Verarbeitung haben, ob die Betroffenen informiert wurden, ob ein Auftragsverarbeitungsvertrag (AVV bzw. DPA) existiert oder ob Löschanträge erfüllt werden. Umgekehrt beweist GDPR-Konformität nicht, dass Ihre technischen Kontrollen ein Jahr lang funktioniert haben — genau das zeigt SOC 2 Type 2.
In der Praxis kann ein EU-Kunde SOC 2 als Nachweis „geeigneter technischer und organisatorischer Maßnahmen“ nach Artikel 32 GDPR akzeptieren, wird aber weiterhin einen AVV, ein Verarbeitungsverzeichnis und andere rechtliche Dokumente verlangen.
Wo sich SOC 2 und GDPR überschneiden
Die gute Nachricht: Die Überschneidung ist erheblich. Artikel 32 GDPR verlangt geeignete technische und organisatorische Maßnahmen, und genau diese beschreibt SOC 2. Gemeinsame Elemente sind unter anderem:
- Zugriffskontrolle — Least Privilege, MFA, Zugriffsüberprüfungen.
- Verschlüsselung im Ruhezustand und bei der Übertragung.
- Incident Management — eine Kontrolle in SOC 2, eine 72-Stunden-Meldepflicht in der GDPR.
- Lieferantenmanagement — Überprüfung der Unterauftragsverarbeiter in beiden Rahmenwerken.
- Risikobeurteilung — allgemein in SOC 2, eine Datenschutz-Folgenabschätzung (DSFA) bei risikoreicher Verarbeitung in der GDPR.
- Mitarbeiterschulungen und Richtlinien zur zulässigen Nutzung.
- Backups und Kontinuität — die Availability-Kriterien und die Belastbarkeitsanforderung des Artikels 32.
- Aufbewahrung und Löschung — die Kriterien Confidentiality/Privacy und der Grundsatz der Speicherbegrenzung.
Was die GDPR über SOC 2 hinaus verlangt
Selbst mit einem einwandfreien SOC 2-Bericht benötigen Sie zusätzlich:
- Ein Verzeichnis von Verarbeitungstätigkeiten (Artikel 30).
- Rechtsgrundlagen und Datenschutzhinweise für die Betroffenen.
- Auftragsverarbeitungsverträge mit Kunden und Unterauftragsverarbeitern.
- Einen Übermittlungsmechanismus für Daten, die den EWR verlassen — Standardvertragsklauseln (SCCs) oder, für US-Empfänger, das EU-US Data Privacy Framework; für britische und Schweizer Daten die entsprechenden lokalen Instrumente.
- Verfahren für die Betroffenenrechte: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit.
- Einen Datenschutzbeauftragten, wo erforderlich, und einen EU-Vertreter nach Artikel 27, wenn das Unternehmen keine Niederlassung in der EU hat.
- Datenschutz-Folgenabschätzungen bei risikoreicher Verarbeitung.
Sollten Sie die Kategorie Privacy in SOC 2 aufnehmen?
SOC 2 hat eine eigene Kategorie Privacy, die der GDPR im Geiste nahesteht: Information, Wahlmöglichkeit und Einwilligung, Erhebung, Nutzung, Aufbewahrung, Weitergabe, Qualität. Nehmen Sie sie nur auf, wenn Sie personenbezogene Daten als Verantwortlicher verarbeiten oder Kunden ausdrücklich danach fragen. Für die meisten B2B-SaaS- und Outsourcing-Unternehmen genügen Security plus Confidentiality für das Audit, während die GDPR durch ein separates rechtliches Paket abgedeckt wird. Das ist günstiger als eine Erweiterung des Prüfungsumfangs.
So führen Sie ein kombiniertes Projekt SOC 2 + GDPR durch
Unser Ansatz ist ein Managementsystem mit zwei Sätzen von Ergebnissen:
- Gemeinsame Gap-Analyse gegen die TSC und die Artikel 5, 25, 28, 30 und 32–36 GDPR.
- Ein einziger Richtliniensatz, in dem die GDPR-Anforderungen in die Richtlinien zu Sicherheit, Aufbewahrung, Vorfällen und Lieferanten eingebettet sind.
- Eine gemeinsame Risikobeurteilung, die sowohl die SOC 2-Kontrollen als auch die DSFA speist.
- Der rechtliche GDPR-Block: Verarbeitungsverzeichnis, AVVs, SCCs, Datenschutzhinweise, Verfahren für Betroffenenrechte.
- Das SOC 2-Audit durch eine unabhängige CPA-Gesellschaft; die GDPR-Konformität wird durch interne Dokumentation und bei Bedarf eine externe Überprüfung gestützt.
So ist unser kombiniertes Paket SOC 2 + ISO 27001 + GDPR + Cyber Essentials für Unternehmen strukturiert, die die USA, die EU und Großbritannien bedienen. Den Vorbereitungsplan selbst finden Sie in unserer SOC 2 Readiness-Checkliste; zu den britischen Anforderungen siehe Cyber Essentials erklärt.
Beispiel: ein Softwareunternehmen mit Kunden in den USA und in Deutschland
Betrachten wir einen typischen Fall: Ein Team von 80 Ingenieuren mit Sitz in Polen und Portugal entwickelt und betreut Produkte für einen US-Fintech-Kunden und einen deutschen Einzelhändler. Der US-Kunde verlangt SOC 2 Type 2 mit Security und Availability. Der deutsche Kunde verlangt einen unterzeichneten AVV, Standardvertragsklauseln, ein Verarbeitungsverzeichnis und die Bestätigung technischer Maßnahmen nach Artikel 32.
Die rationale Antwort ist ein Projekt. Die Richtlinien zu Zugriffskontrolle, Verschlüsselung, Vorfällen und Lieferanten werden einmal geschrieben und stellen beide Seiten zufrieden. Die Risikobeurteilung bildet die Grundlage sowohl für die SOC 2-Kontrollen als auch für die DSFA. Ein separater rechtlicher GDPR-Block wird erstellt, und nach Abschluss des Audits wird der SOC 2-Bericht als Nachweis geeigneter Maßnahmen in das Dokumentenpaket des deutschen Kunden aufgenommen. Das Unternehmen vermeidet die Pflege zweier paralleler Dokumentationssysteme und muss Prüfern und Juristen nie unterschiedliche Versionen desselben Prozesses erklären.
Häufige Fehler
- Annehmen, der SOC 2-Bericht „decke“ die GDPR ab, und den AVV auslassen.
- Die Kategorie Privacy „sicherheitshalber“ in den SOC 2-Geltungsbereich aufnehmen.
- Getrennte, widersprüchliche Richtliniensätze für SOC 2 und GDPR pflegen.
- Einen Übermittlungsmechanismus vergessen, wenn von außerhalb des EWR auf Kundendaten zugegriffen wird, zum Beispiel durch US-Supportmitarbeiter oder Auftragnehmer außerhalb der EU.
Wenn Ihre Kunden sowohl SOC 2 als auch GDPR-Konformität verlangen, fordern Sie ein Angebot an — wir entwerfen ein einheitliches Kontrollsystem, erstellen das rechtliche GDPR-Paket und begleiten Ihr SOC 2-Audit durch die US-CPA-Gesellschaft der BALTUM-Gruppe, deren Prüfungsteam unabhängig von den Beratern ist.