.svg)
Du baust gerade einen Support-Ticket-Workflow in monday.com und Intercom. Felder: Name, E-Mail, Fall-ID, Betreff. Klingt harmlos. Aber sobald diese Daten in einen Konnektor fließen, ein Webhook sie weiterleitet oder eine KI-Komponente sie verarbeitet, greift die DSGVO vollständig. Mach sofort diese drei Dinge: (1) Datenminimierung auf Pflichtfelder — kein Freitext-Feld ohne Zweck, (2) EU-Hosting oder On-Premise für alle personenbezogenen Daten prüfen und dokumentieren, (3) AVV nach Art. 28 DSGVO abschließen und eine DSFA-Prüfung initiieren, bevor der Workflow live geht.
Kurz-Checkliste zum Abhaken:
Profi-Tipp: Wenn du noch keinen AVV mit monday.com oder Intercom abgeschlossen hast, ist das der erste Stopp. Noliam hilft dir beim Clarity Audit, bevor du weiter baust.
DSGVO-konforme Workflows entstehen durch Prozessdesign vor der Tool-Konfiguration, technisch erzwungene Datenminimierung und automatisierte Löschroutinen, die von Anfang an eingeplant sind.
ThemaDetailsProzessdesign zuerstDatenfluss und Zweck klären, bevor ein Board oder Konnektor konfiguriert wird.Technische DatenminimierungNur Pflichtfelder, Pseudonymisierung vor externen Schritten, automatische Löschung nach Frist.AVV und EU-HostingAVV nach Art. 28 vor Go-Live; EU-Hosting reduziert Transferrisiken und Prüfaufwand.Externe Hilfe einplanenBei KI, komplexen Drittstaatentransfers oder erster DSFA Fachberatung hinzuziehen.Noliam als UmsetzungspartnerNoliam liefert Clarity Audit, Board-Templates und Automationen für DSGVO-konforme Workflows.
Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.
DSGVO-konformes Prozessmanagement beginnt nicht mit der Tool-Auswahl, sondern mit der Frage: Welche Rechtsgrundlage trägt die Verarbeitung? Art. 6 DSGVO nennt die zulässigen Grundlagen — Einwilligung, Vertragserfüllung, berechtigtes Interesse. Für Support-Workflows ist meist Art. 6 Abs. 1 lit. b (Vertragserfüllung) oder lit. f (berechtigtes Interesse) einschlägig. Ohne klare Grundlage ist der Workflow von Anfang an rechtswidrig, egal wie gut er technisch gebaut ist.
Art. 5 DSGVO setzt die Prinzipien: Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Rechenschaftspflicht. Letztere (Art. 5 Abs. 2) bedeutet: Du musst nicht nur compliant sein, du musst es auch nachweisen können. RoPA (Verzeichnis der Verarbeitungstätigkeiten), Audit-Logs und Löschprotokolle sind keine Bürokratie, sie sind dein Nachweis im Prüffall.
Drei Artikel betreffen Workflows besonders direkt:
Betroffenenrechte müssen technisch abbildbar sein. Das heißt konkret: Auskunft (Welche Daten habt ihr von mir?), Berichtigung, Löschung und Portabilität brauchen jeweils einen Workflow-Baustein. Intake, Identitätsverifikation, systemübergreifende Löschroutine, Benachrichtigung und Audit-Trail — diese Schritte lassen sich automatisieren und dokumentieren, wenn sie von Anfang an eingeplant sind.
Art. 32 DSGVO fordert „geeignete technische und organisatorische Maßnahmen“ (TOMs). Was das für Workflows bedeutet, ist weniger abstrakt als es klingt:
TOM-KategorieKonkrete Workflow-UmsetzungVerschlüsselungTLS in Transit, AES-256 at Rest; Konnektoren nur über verschlüsselte EndpunkteZugriffskontrolle (IAM)Rollen in monday.com: Viewer, Member, Admin; Servicekonto nur auf notwendiges Board/PostfachProtokollierungAudit-Log für alle Statusänderungen, Datenzugriffe und Exporte; WORM-gesichertPseudonymisierungFall-ID statt Klarnamen in Automatisierungsschritten; Klarnamen nur in gesichertem FeldLöschroutinenAutomatisierte Löschung nach definierter Frist; Löschprotokoll als NachweisBackup/RestoreRegelmäßige Backups, getestete Wiederherstellung, dokumentierte RTO/RPOMonitoringAnomalie-Alerts bei ungewöhnlichen API-Transaktionen oder Zugriffsmustern
In einem monday.com-Board sieht IAM so aus: Boards mit PII-Feldern bekommen eigene Workspace-Berechtigungen, Gastzugriffe werden deaktiviert, und Automationen laufen über ein dediziertes Servicekonto mit minimalem Scope. Connector-Scopes technisch einzuschränken — also ein Servicekonto nur auf ein bestimmtes Postfach oder einen Ordner zu begrenzen — ist effektiver als organisatorische Vorgaben allein.
ISO 27001 ist kein DSGVO-Ersatz, aber ein starkes Signal: Zertifizierte Anbieter haben Zugangskontrolle, Verschlüsselung und eine Informationssicherheits-Policy nachweislich implementiert. Auditoren sehen das als Indiz für reife TOMs.
Profi-Tipp: Logs und Zwischenergebnisse automatisch löschen — aber trotzdem Revisionsnachweis liefern. Ein guter Default: 90-Tage-Lifecycle für operative Logs, separates Archiv für Compliance-relevante Ereignisse mit längerer Aufbewahrung. Fehlende Löschroutinen für Logs sind einer der häufigsten Prüfungsfunde.
Wo deine Daten liegen, entscheidet über deinen Prüfaufwand. EU-Hosting bedeutet: kein Drittstaatentransfer, keine SCCs nötig, weniger Fragen im Audit. Sobald ein Konnektor Daten in die USA oder ein anderes Drittland überträgt, greift Art. 44 ff. DSGVO.
Das konkrete Risiko: US-Cloud-Anbieter unterliegen dem Cloud Act, der US-Behörden unter bestimmten Bedingungen Zugriff auf Daten erlaubt, auch wenn diese physisch in der EU liegen. Für viele Workflows ist das kein theoretisches Problem, sondern ein reales Audit-Risiko.
Entscheidungspfade:
Praktische Schritte bei Drittstaatentransfer:
EU-Hosting oder On-Premise-Betrieb reduziert den Prüfaufwand bei Drittstaatentransfers erheblich und erfüllt gleichzeitig viele Auditor-Erwartungen an Datenlokalität. On-Premise lohnt sich vor allem dann, wenn besonders sensible Datenkategorien (Art. 9 DSGVO) verarbeitet werden oder wenn Souveränitätsanforderungen aus dem öffentlichen Sektor bestehen.
Erst Prozessdesign, dann Tool — das ist die Reihenfolge, die in der Praxis den Unterschied macht. Wer zuerst die Software wählt und danach Datenschutz drüberstülpt, baut Schulden auf, die beim ersten Audit sichtbar werden.
Mapping-Template für jeden Workflow:
Input → Verarbeitung → Output → Retention
Beispiel Support-Ticket: Intercom-Anfrage (Name, E-Mail, Betreff) → Kategorisierung + Zuweisung in monday.com → Antwort an Kunden + internes Protokoll → Löschung nach 90 Tagen, Audit-Log 12 Monate.
Board-Spalten für einen Support-Ticket-Workflow:
Automation-Snippet:
Berechtigungsrollen: Board-Owner (Admin), Bearbeiter (Member, kein Export-Recht), DSB (Read-only auf PII-Felder, Benachrichtigungsempfänger).
Welche Felder dürfen durchgereicht werden? Nur Fall-ID, Status und Kategorie. Name und E-Mail bleiben in Intercom und werden nicht in monday.com gespiegelt. Pseudonymisierung vor dem Konnektor: Der Webhook überträgt ausschließlich die Fall-ID; die Verknüpfung zu Klarnamen bleibt in Intercom unter eigenem Zugriffsschutz. Für Consent-Management und rechtssichere Einwilligungsimplementierung in vorgelagerten Web-Formularen lohnt sich ein separater Blick auf die technische Umsetzung.
Profi-Tipp: Simuliere eine vollständige Löschanfrage (DSAR) als Test-Case. Durchlaufe jeden Schritt: Intake, Verifikation, systemübergreifende Löschung in Intercom und monday.com, Benachrichtigung, Audit-Trail. Dokumentiere das Ergebnis. Das ist dein Nachweis, dass der Workflow Betroffenenrechte technisch umsetzt.
Ein AVV nach Art. 28 DSGVO muss vor Beginn der Verarbeitung bestehen. Nicht danach, nicht „in Kürze“. Die Prüf-Checkliste für AVVs umfasst:
Subprozessoren sind ein häufig unterschätztes Risiko. monday.com nutzt AWS, Intercom nutzt verschiedene Sub-Dienstleister. Du musst wissen, wer das ist, und sicherstellen, dass auch diese Kette durch AVVs und SCCs abgesichert ist. KI-gestützte AVV-Reviews können den Erstdurchlauf beschleunigen, ersetzen aber nicht die juristische Finalkontrolle.
Governance-Artefakte, die jedes Projekt liefern muss:
ArtefaktVerantwortlichZweckRoPA (Verarbeitungsverzeichnis)Prozessowner + DSBRechenschaftspflicht Art. 5 Abs. 2DSFA-DokumentationDSB + LegalNachweis bei risikoreichen VerarbeitungenIncident-Response-PlanIT/Security + DSBArt. 33/34 DSGVO, 72-Stunden-FristSOPs für BetroffenenrechteOps + LegalAuskunft, Löschung, PortabilitätChange-LogProjektmanagerNachvollziehbarkeit von Änderungen
Wer muss intern involviert sein? Legal für AVV und DSFA, IT/Security für TOMs und Logging, DSB für Freigabe und Monitoring, Prozessowner für Datenfluss-Mapping. Externe Beratung ist sinnvoll bei komplexen Drittstaatentransfers, KI-Projekten und der ersten DSFA — nicht weil es Pflicht ist, sondern weil Fehler hier teuer werden.
Bevor du eine Plattform für datenschutzkritische Workflows einsetzt, prüfe:
monday.com und Intercom erfüllen diese Kriterien bei richtiger Konfiguration. Entscheidend ist die Konfiguration, nicht nur das Vorhandensein der Features.
PhaseDauerWesentliche DeliverablesDiscovery und RoPA2–4 WochenDatenfluss-Mapping, Zweckdefinition, DSFA-VorprüfungDesign2–4 WochenBoard-Struktur, Automationen, TOM-Konzept, AVV-PrüfungImplementierung4–8 WochenBoard-Setup, Konnektoren, Löschroutinen, LoggingTest und Go-Live2–4 WochenDSAR-Simulation, Penetrationstest, Freigabe DSBStabilisierung4–12 WochenMonitoring, Anpassungen, Managed Service
Kostentreiber sind: Anzahl der Integrationen, DSFA- und Legal-Aufwand, Hosting-Entscheidung (On-Premise ist teurer im Setup, günstiger im Transferrisiko), Anpassungen an Security und TOMs sowie die Frage Managed Service versus In-House-Betrieb. Die Faustregel: Je reifer das Prozessdesign vor Projektstart, desto kürzer die Discovery-Phase und desto geringer der Gesamtaufwand.
Zur Meldepflicht: Art. 33 DSGVO verpflichtet zur Meldung einer Datenschutzverletzung an die zuständige Aufsichtsbehörde zeitnah nach Bekanntwerden, wenn ein Risiko für Betroffene besteht. Art. 34 regelt die Benachrichtigung der Betroffenen bei hohem Risiko. Wer keinen Incident-Response-Plan hat, verliert in diesen 72 Stunden wertvolle Zeit.
Noliam geht Projekte in einer festen Reihenfolge an: Prozessdesign kommt vor der Tool-Konfiguration. Immer.
Unser Prozessablauf:
Wo Noliam konkret Mehrwert liefert: fertige Board-Templates mit PII-Flag, Löschdatum und DSB-Benachrichtigung; Automationen wie „Wenn Status = Erledigt, dann Löschdatum setzen und DSB informieren“; DSFA-Unterstützung und AVV-Checkliste als Projektbestandteil. Für Teams, die Compliance-Workflows strukturiert einrichten wollen, ohne monatelange Beratungsprojekte, ist das der direkte Weg.
Profi-Tipp: Starte mit dem Clarity Audit, bevor du irgendetwas baust. Zwei bis vier Wochen Discovery sparen dir vier bis acht Wochen Nacharbeit. Und sie liefern dir das RoPA, das du für den Nachweis brauchst.
DSGVO-konformes Workflow-Management ist kein Einmal-Projekt, sondern ein kontinuierlicher Betriebszustand — und der beginnt mit dem richtigen Prozessdesign.
ThemaDetailsProzessdesign vor ToolErst Datenfluss und Zweck klären, dann konfigurieren — spart Nacharbeit und Audit-Risiken.Datenminimierung technisch durchsetzenNur Pflichtfelder, Pseudonymisierung vor externen Schritten, Löschroutine automatisieren.EU-Hosting und AVVEU-Hosting reduziert Transferrisiken; AVV nach Art. 28 muss vor Go-Live vorliegen.Externe Hilfe bei DSFA und KIBei KI-Anbindung, komplexen Transfers oder erster DSFA externe Beratung einplanen.Noliam als UmsetzungspartnerNoliam liefert Clarity Audit, Board-Templates und Automationen für DSGVO-konforme monday.com/Intercom-Workflows.
Die Konventionalweisheit lautet: „Erst Tool kaufen, dann Datenschutz prüfen lassen.“ Das ist rückwärts. Und es ist kein Versehen, sondern ein Strukturproblem: Tool-Demos sind überzeugend, DSFA-Dokumentation ist es nicht.
Was ich in der Praxis immer wieder sehe: Teams bauen einen Workflow, der technisch funktioniert und rechtlich ein Problem ist. Nicht weil sie fahrlässig waren, sondern weil Datenschutz als Nacharbeit behandelt wird statt als Designprinzip. Das Ergebnis sind Felder, die niemand braucht, Konnektoren mit Vollzugriff und Logs, die niemand löscht.
Der eigentliche Hebel liegt nicht in der Plattformwahl. monday.com und Intercom sind gut. Aber ein schlecht konfiguriertes Board mit zu vielen Feldern und einem Konnektor ohne Scope-Einschränkung ist kein DSGVO-Problem des Anbieters, sondern des Projekts. ISO 27001 eines Anbieters schützt nicht vor eigenen Konfigurationsfehlern.
Was wirklich zählt: ein klares Datenfluss-Mapping vor dem ersten Board, ein AVV vor dem ersten Webhook und eine Löschroutine, die automatisch läuft, ohne dass jemand daran denken muss. Das ist kein Aufwand, der Projekte verlangsamt. Es ist der Aufwand, der Projekte vor dem Audit rettet.
Wer DSGVO als Checkliste behandelt, die man am Ende abhakt, wird immer Lücken haben. Wer sie als Designprinzip versteht, baut Workflows, die beim ersten Prüffall standhalten.
DSGVO-konforme Workflows in monday.com und Intercom zu bauen ist lösbar. Aber es braucht die richtige Reihenfolge: Prozessdesign, Datenminimierung, Konfiguration, dann Betrieb.
Noliam liefert genau das: vom Clarity Audit über fertige Board-Templates mit Löschroutinen und DSB-Benachrichtigungen bis zur laufenden Administration. Kein Overengineering, kein monatelanges Beratungsprojekt. Wir starten mit dem, was du wirklich brauchst, und bauen von dort aus.
👉 Schau dir an, wie wir monday.com-Projekte umsetzen, oder starte direkt mit einem Clarity Audit. Schreib uns — wir melden uns innerhalb eines Werktags.
%20invert.svg)