DSGVO 2026: 8 kostenlose Einstiegs-Tools für KMU

Welche DSGVO-Pflicht deckt welches Werkzeug ab?

Kostenlose Werkzeuge decken vor allem Dokumentations- und Informationspflichten ab: das Verarbeitungsverzeichnis nach Art. 30 Abs. 1 DSGVO, die Informationspflichten nach Art. 13 und Art. 14 DSGVO, die Einwilligungsfrage bei Cookies und die Vorbereitung einer Datenpannen-Meldung nach Art. 33 Abs. 1 DSGVO. Was Vorlagen nicht leisten — die Bewertungsentscheidungen —, steht am Ende unter „Wo kostenlose Werkzeuge an ihre Grenze kommen“.

Die folgende Übersicht ordnet jede Pflicht ihrer Norm zu. Spalte 2 nennt jeweils die Norm, aus der die Pflicht folgt; Spalte 3 ist Praxiseinschätzung der Redaktion und keine Rechtsfolge.

Zur Reihenfolge: erst VVT (Nr. 2), dann Datenpannen (Nr. 5 und Nr. 8), dann AVV (Nr. 8), dann Schulungen (kein Werkzeug in dieser Liste) — eine Praxisempfehlung, keine gesetzliche Reihenfolge. Sie beginnt wie die Prüfreihenfolge der Aufsicht mit dem Verarbeitungsverzeichnis; deren weitere Schritte (AVV, TOM, DSFA) weichen von dieser Reihenfolge ab (Praxiseinschätzung). Die vierte Stufe, Schulungen, hat dort einen Normanker, wo ein Datenschutzbeauftragter benannt ist: Art. 39 Abs. 1 DSGVO weist ihm die Unterrichtung und Beratung (lit. a) sowie die Überwachung der Einhaltung einschließlich Sensibilisierung und Schulung der beteiligten Mitarbeitenden (lit. b) zu. Ohne benannten Datenschutzbeauftragten bleibt Schritt 4 eine Organisationsentscheidung: Naheliegender Inhalt sind nach Praxiseinschätzung die Themen, an denen in diesem Artikel Fristen hängen — der Meldeweg bei einer Datenpanne (Art. 33 Abs. 1 DSGVO) und der Umgang mit Anträgen betroffener Personen (Art. 12 Abs. 3 DSGVO); halten Sie Inhalt, Datum und Teilnehmende fest, damit die Durchführung im Rahmen der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) belegbar bleibt.

1. DSGVO-Selbsttest in 8 Fragen

Der Selbsttest ist eine Standortbestimmung, keine Pflichterfüllung. 8 Fragen online, ohne Anmeldung. Score mit individueller Maßnahmen-Empfehlung; das Ergebnis lässt sich über die Druckfunktion des Browsers als PDF speichern. Hier starten.

Sein Wert liegt in der Priorisierung: Sie sehen, welche Pflichten offen sind, bevor Sie Zeit in einzelne Werkzeuge investieren. Zwei Fragen sollten Sie unabhängig vom Score klären, weil an ihnen eigene Pflichten hängen. Erstens: Verarbeiten Sie besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO — unter anderem Gesundheitsdaten, genetische und biometrische Daten zur eindeutigen Identifizierung, Gewerkschaftszugehörigkeit? Für diese gilt ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen. Zweitens: Führt eine Ihrer Verarbeitungen voraussichtlich zu einem hohen Risiko und löst damit eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO aus? In Deutschland hängt an der zweiten Frage zusätzlich die Pflicht, unabhängig von der Beschäftigtenzahl einen Datenschutzbeauftragten zu benennen (§ 38 Abs. 1 Satz 2 BDSG).

2. VVT als Excel-Tabelle selbst anlegen

Das Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO lässt sich ohne Spezialsoftware als eigene Tabelle (Excel/CSV) führen — zur Form siehe unten. 9 Spalten: 7 Pflichtangaben nach Art. 30 Abs. 1 lit. a–g DSGVO plus 2 Praxisfelder (Aufteilung von lit. c, Rechtsgrundlage). Eine VVT-Vorlage als Excel samt Beispielverarbeitungen ist im DSGVO-Kit enthalten.

Die Spaltenlogik dahinter: Art. 30 Abs. 1 DSGVO zählt sieben Pflichtangaben auf (lit. a bis g). Weil lit. c zwei Punkte bündelt — Kategorien betroffener Personen und Kategorien personenbezogener Daten — führt die Praxis daraus acht Felder je Verarbeitungstätigkeit. Als neuntes Feld kommt die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO hinzu; sie ist in Art. 30 Abs. 1 nicht genannt, folgt aber aus der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

1. Name und Kontaktdaten des Verantwortlichen (und, sofern benannt, des Datenschutzbeauftragten)
2. Zwecke der Verarbeitung
3. Kategorien betroffener Personen
4. Kategorien personenbezogener Daten
5. Kategorien der Empfänger
6. Drittlandübermittlungen samt dokumentierter Garantien
7. Geplante Löschfristen
8. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen — als Verweis auf das zentrale TOM-Konzept (Art. 32 DSGVO)
9. Rechtsgrundlage (Praxisfeld, Art. 6 Abs. 1 DSGVO)

Sind Sie Auftragsverarbeiter, gilt der kürzere Katalog des Art. 30 Abs. 2 DSGVO mit vier Angaben (lit. a bis d), darunter die allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1 DSGVO.

Die Ausnahme in Art. 30 Abs. 5 DSGVO greift nur kumulativ: weniger als 250 Beschäftigte und kein Risiko für die Rechte und Freiheiten der betroffenen Personen und keine regelmäßige Verarbeitung und keine besonderen Kategorien nach Art. 9 oder strafrechtlichen Daten. Der amtliche Wortlaut stellt auf „ein Risiko“ ab, nicht auf ein hohes Risiko — die Schwelle „hohes Risiko“ gehört nicht zu Art. 30 Abs. 5, sondern zu anderen Normen, etwa der DSFA (Art. 35 Abs. 1 DSGVO) und der Benachrichtigung der Betroffenen (Art. 34 Abs. 1 DSGVO). Zur Form: Das Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann (Art. 30 Abs. 3 DSGVO) — eine Excel-Tabelle ist ein solches Format. Nach Praxiseinschätzung kommt es darüber hinaus nicht auf ein bestimmtes Werkzeug an, solange Inhalt, Aktualität und Lesbarkeit stimmen; ein bearbeitbares Format (Excel/CSV) ist einem PDF vorzuziehen. Eigenständige Werkzeuge werden nach Praxiseinschätzung erst ab rund 50 Verarbeitungstätigkeiten oder bei Multi-Standort-Strukturen sinnvoll. Vorzulegen ist das Verzeichnis der Aufsichtsbehörde auf Anfrage (Art. 30 Abs. 4 DSGVO).

3. Datenschutzerklärung-Generator

Generatoren liefern den Rohtext für die Informationspflichten nach Art. 13 und Art. 14 DSGVO — die Zuordnung zu Ihren tatsächlichen Verarbeitungen leisten sie nicht. Kostenlose Generatoren bieten unter anderem Kammern und Verbraucherstellen an — ein konkretes, von uns geprüftes Gratis-Angebot nennt dieser Artikel nicht; prüfen Sie das Angebot Ihrer Kammer gegen die folgende Kriterienliste. Anpassung ist in jedem Fall erforderlich — dieser Abschnitt ist deshalb eine Auswahl- und Abgleich-Anleitung, keine Bezugsquelle.

Die Kriterienliste vor der Nutzung (Praxisempfehlung):

1. Der Generator bildet die Pflichtangaben nach Art. 13 Abs. 1 und 2 DSGVO vollständig ab.
2. Er lässt die individuellen Angaben aus Ihrem Verarbeitungsverzeichnis als Felder offen — Empfänger-Kategorien, Drittlandübermittlungen samt dokumentierter Garantien, geplante Löschfristen.
3. Er gibt bearbeitbaren Text aus, kein reines PDF — die Erklärung muss bei jeder VVT-Änderung nachziehbar sein.
4. Er erlaubt die Angabe der Kontaktdaten eines Datenschutzbeauftragten, falls einer benannt ist.
5. Er lässt die zuständige Beschwerdestelle wählbar — in Deutschland die Landesbehörde, in Österreich die Datenschutzbehörde.

Der Abgleich nach dem Generatorlauf: Für jede in Nr. 2 geführte Verarbeitungstätigkeit müssen Zweck, Rechtsgrundlage, Empfänger, eine etwaige Drittlandübermittlung mit Garantie und die Löschfrist in der Erklärung wiederzufinden sein. Beim Hinweis auf das Beschwerderecht trennen sich die Rechtsräume: In Österreich ist die Datenschutzbehörde zu nennen (Art. 13 Abs. 2 lit. d DSGVO); ein eigener nationaler Paragraf existiert dort nicht, die Informationspflichten folgen unmittelbar aus Art. 13 und Art. 14 DSGVO. In Deutschland ist die für Sie zuständige Landesbehörde zu nennen; die Zuständigkeitsabgrenzung steht unter Nr. 5.

4. DSK-Bußgeldkatalog studieren

Der Bußgeldkatalog auf datenschutzkonferenz-online.de macht die deutsche Bußgeld-Praxis transparent; den gesetzlichen Rahmen setzt Art. 83 DSGVO.

Für die Einordnung brauchen Sie beide Stufen des Rahmens. Verstöße gegen Pflichten wie Verarbeitungsverzeichnis, Auftragsverarbeitung oder Meldepflichten (u. a. Art. 25 bis 39 DSGVO) liegen bei bis zu 10.000.000 EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Verstöße gegen die Verarbeitungsgrundsätze und die Einwilligungsbedingungen (Art. 5, 6, 7 und 9 DSGVO) sowie gegen die Betroffenenrechte (Art. 12 bis 22 DSGVO) liegen bei bis zu 20.000.000 EUR oder 4 % (Art. 83 Abs. 5 DSGVO). Ergänzend stellt § 43 BDSG in Deutschland die fehlerhafte Behandlung eines Auskunftsverlangens sowie die Verbraucherunterrichtung nach § 30 BDSG als Ordnungswidrigkeit unter Bußgeld; die Geldbuße beträgt bis zu 50.000 Euro (§ 43 Abs. 2 BDSG), gegen Behörden und sonstige öffentliche Stellen werden keine Geldbußen verhängt (§ 43 Abs. 3 BDSG). Ergänzend zu Art. 83 DSGVO sieht § 62 Abs. 1 DSG in Österreich für bestimmte Tatbestände — etwa den vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung oder die vorsätzliche Übermittlung in Verletzung des Datengeheimnisses (§ 6 DSG) — Verwaltungsstrafen bis zu 50.000 EUR vor, sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht; zuständig ist die Datenschutzbehörde (§ 62 Abs. 5 DSG). Nach § 11 DSG ist Art. 83 DSGVO verhältnismäßig anzuwenden, insbesondere durch Verwarnung statt Geldbuße bei erstmaligen Verstößen. So nutzen Sie den Katalog: Ordnen Sie die aus Nr. 1 und Nr. 2 offen gebliebenen Punkte den beiden Stufen zu — Dokumentations- und Organisationspflichten (u. a. Art. 25 bis 39 DSGVO) der Stufe nach Art. 83 Abs. 4, Verarbeitungsgrundsätze und Einwilligung (Art. 5, 6, 7 und 9 DSGVO) sowie Betroffenenrechte (Art. 12 bis 22 DSGVO) der Stufe nach Art. 83 Abs. 5. Halten Sie die Zuordnung je offenem Punkt schriftlich fest — Stufe, betroffene Norm und Stand-Datum —, damit die Priorisierung nachvollziehbar bleibt. Zur Einordnung der Größenordnung steht im Werkzeug-Block unten der Bußgeld-Rechner; eine Bußgeldhöhe für Ihren Einzelfall lässt sich daraus nicht ableiten (siehe „Wo kostenlose Werkzeuge an ihre Grenze kommen“).

5. BfDI-Tätigkeitsbericht 2025

Der Tätigkeitsbericht ist Lesestoff zur Aufsichtspraxis des Bundes — er ist nicht Ihr Meldeweg. bfdi.bund.de — Berichtszeitraum 2025.

Der Unterschied ist praktisch relevant: Der oder die BfDI ist zuständig für die öffentlichen Stellen des Bundes sowie für bestimmte Anbieter von Telekommunikationsdiensten (§ 9 Abs. 1 BDSG). Unternehmen als nichtöffentliche Stellen unterstehen den nach Landesrecht zuständigen Behörden (§ 40 Abs. 1 BDSG) — in Bayern etwa dem Bayerischen Landesamt für Datenschutzaufsicht (lda.bayern.de), während der Bayerische Landesbeauftragte für den Datenschutz für den öffentlichen Bereich zuständig ist. Eine Meldung nach Art. 33 DSGVO geht deshalb an das Meldeportal des für Sie zuständigen Bundeslandes; bei grenzüberschreitender Verarbeitung ist die federführende Aufsichtsbehörde Adressat. Jedes Bundesland betreibt ein eigenes Meldeportal — ermitteln Sie Portal und Kontakt einmal und hinterlegen Sie beides mit Stand-Datum im Pannen-Protokoll, damit der Weg feststeht, bevor die 72 Stunden laufen. Für den Bericht selbst lohnt der Umweg über Nr. 2: Nehmen Sie Ihre Verarbeitungsliste daneben und suchen Sie im Inhaltsverzeichnis des Berichts nach den Themen, die zu den Verarbeitungen in Ihrem Verzeichnis passen.

Für Österreich: DSK und BfDI sind deutsche Einrichtungen. Für österreichische Betriebe ist die Datenschutzbehörde zuständig — sie ist nach § 18 Abs. 1 DSG als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet; ihr Tätigkeitsbericht auf dsb.gv.at ist das Pendant zum BfDI-Bericht. Auch die Datenpannen-Meldung nach Art. 33 DSGVO geht dort an die Datenschutzbehörde, nicht an eine deutsche Stelle.

6. EDSA-Leitlinien: die drei KMU-Themen und ihre Normanker

Nach Praxiseinschätzung sind für KMU drei Themen einschlägig — Cookies, Drittlandübermittlung und Einwilligung —, für die Bußgeldseite zusätzlich die Berechnung von Geldbußen. edpb.europa.eu — kostenlose Leitfäden zu Cookies, Drittland, Einwilligung.

Jedes dieser Themen hängt an einer konkreten Norm, und ohne diese Zuordnung bleibt die Lektüre folgenlos. Cookies: § 25 Abs. 1 TDDDG mit den Ausnahmen des Abs. 2 (Wortlaut und Prüfplan unter Nr. 7), in Österreich § 165 TKG 2021 — Prüfschritt: jedes auf Ihrer Website eingebundene Werkzeug einer der beiden Kategorien zuordnen, einwilligungsbedürftig oder nicht. Drittland: Übermittlungen in ein Drittland sind samt der dokumentierten geeigneten Garantien im Verarbeitungsverzeichnis zu führen — für Verantwortliche nach Art. 30 Abs. 1 DSGVO, für Auftragsverarbeiter nach Art. 30 Abs. 2 lit. c DSGVO; Prüfschritt: für jeden Drittland-Empfänger im VVT (Nr. 2) die dokumentierte Garantie benennen (SCC, DPF oder BCR). Einwilligung: Beruht eine Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass eingewilligt wurde (Art. 7 Abs. 1 DSGVO), und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO); Prüfschritt: je Verarbeitung festhalten, wie der Nachweis geführt wird und über welchen Weg der Widerruf läuft. Mit Nummer nennt dieser Abschnitt eine Leitlinie: die EDSA-Leitlinien 04/2022 zur Berechnung von Geldbußen (EDPB) für die Bußgeldseite. Zu den drei KMU-Themen liefert er die Normanker; die passende Leitlinie suchen Sie auf edpb.europa.eu und gleichen sie gegen den jeweils genannten Prüfschritt ab.

7. Pirsch Analytics testen

Der Trial klärt die Vorfrage, ob Ihre Webanalyse überhaupt eine Einwilligung braucht. Kostenlose Testphase, nach Anbieterangabe der Erstfassung (Stand 02.05.2026) 14 Tage — Dauer und Bedingungen vor dem Start beim Anbieter prüfen. Prüfen, ob cookielose Analytics für Sie reicht.

Maßgeblich ist in Deutschland § 25 Abs. 1 TDDDG: Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits gespeicherte Informationen sind nur zulässig, wenn der Endnutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat; Information und Einwilligung richten sich nach der DSGVO. Keine Einwilligung ist erforderlich, wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung ist oder der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann (§ 25 Abs. 2 TDDDG). In Österreich ist § 165 TKG 2021 die Parallelnorm mit Opt-in für Tracking-Cookies. Unabhängig davon braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO — und die Webanalyse gehört als eigene Verarbeitungstätigkeit ins Verarbeitungsverzeichnis.

So beantworten Sie die Vorfrage innerhalb der Testphase:

1. Testseite mit dem eingebundenen Werkzeug in einem frischen Browserprofil aufrufen und in den Entwicklerwerkzeugen des Browsers unter Anwendung/Speicher prüfen, ob Cookies, localStorage oder sessionStorage gesetzt oder ausgelesen werden.
2. Befund mit Datum, geprüfter URL und Bildschirmfoto ablegen — die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einordnung belegen können.
3. Befund in die Konsequenz übersetzen: kein Speicher- oder Zugriffsvorgang, dann ist keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich; Speicher- oder Zugriffsvorgang, dann Einwilligung vor dem ersten Zugriff — vorher gegen die Ausnahmen des § 25 Abs. 2 TDDDG abgleichen. Rechtsgrundlage und VVT-Eintrag bleiben davon unberührt.

Der Trial ist befristet und klärt die Vorfrage einmalig; der dokumentierte Befund aus Schritt 2 trägt die Einordnung auch nach Trial-Ende. Konditionen für den Dauerbetrieb klären Sie vor der Einführung beim Anbieter.

8. Compliance-Kit Praxis-Werkzeuge nutzen

Die kostenlosen Werkzeuge dieser Seite ordnen ein und priorisieren; Dokumentvorlagen erzeugen sie nicht. Auf compliance-kit.eu/tools stehen fünf interaktive Werkzeuge, dazu Selbsttests — für den DSGVO-Einstieg einschlägig sind DSGVO-Selbsttest, Cookie-Banner-Audit, DSGVO-Checkliste und Bußgeld-Rechner. Ohne Anmeldung.

Die Zuordnung der vier Werkzeuge: Der Selbsttest sortiert die Reihenfolge (Nr. 1), die DSGVO-Checkliste prüft die Breite, das Cookie-Banner-Audit die Einwilligungsfrage (Nr. 7), der Bußgeld-Rechner ordnet die Größenordnung ein (Nr. 4). Für die Dokumente selbst bleiben die Normanker: Das Verzeichnis bedient Art. 30 DSGVO (Details unter Nr. 2). Die Datenpannen-Dokumentation adressiert die Meldepflicht nach Art. 33 Abs. 1 DSGVO und die Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO, die auch für nicht gemeldete Pannen gilt (Fristen siehe FAQ). Der Auftragsverarbeitungsvertrag muss Art. 28 Abs. 3 DSGVO abdecken: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen sind im Vertrag festzulegen. Vorgelagert verlangt Art. 28 Abs. 1 DSGVO, dass Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Vorlagen dafür sind nicht kostenlos, sondern im DSGVO-Kit enthalten: VVT-Vorlage (Excel), AV-Vertragsmuster, Data-Breach-Response-Plan mit 72-h-Meldeformular. Direkt verlinkt sind DSGVO-Selbsttest, Cookie-Banner-Audit, DSGVO-Checkliste und Bußgeld-Rechner.

Wo kostenlose Werkzeuge an ihre Grenze kommen

Kostenlose Werkzeuge liefern Dokumente und Struktur, aber keine Bewertung — und die Bewertung müssen Sie selbst verantworten. Ob eine Verarbeitung eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO auslöst, ob eine Panne voraussichtlich zu einem Risiko führt (Art. 33 Abs. 1 DSGVO) oder ein hohes Risiko für die Betroffenen bedeutet (Art. 34 Abs. 1 DSGVO), entscheidet Ihr Unternehmen, nicht die Vorlage. Vier weitere Grenzen, ehrlich benannt:

• Vorlagen überwachen keine Fristen. Führen Sie Eingangs- und Fälligkeitsdatum in einem Kalender mit benannter, vertretungsfähiger Zuständigkeit — die Fristen für Datenpanne (Art. 33 Abs. 1 DSGVO) und Betroffenenanträge (Art. 12 Abs. 3 DSGVO) stehen in der FAQ.
• Katalog und Rechner ordnen ein, sie prognostizieren nicht. Eine Bußgeldhöhe für Ihren Einzelfall lässt sich daraus nicht ableiten; belastbar ist nur die Zuordnung Ihrer offenen Punkte zu den beiden Stufen (Nr. 4).
• Kein Werkzeug benennt einen Datenschutzbeauftragten. Prüfen Sie die Schwellen bei jeder Änderung der Beschäftigtenzahl und der Verarbeitungsarten und halten Sie das Ergebnis mit Datum fest — DE/AT-Schwellen in der FAQ.
• Wann der Wechsel ansteht. Nach Praxiseinschätzung: ab rund 50 Verarbeitungstätigkeiten, bei Multi-Standort-Strukturen, bei besonderen Kategorien nach Art. 9 Abs. 1 DSGVO und bei Verarbeitungen, die eine DSFA nach Art. 35 Abs. 1 DSGVO auslösen.

Aufwand und Skalierung sind Erfahrungswerte, keine Rechtsfolge: 8 bis 16 Stunden Einarbeitung, danach rund 1 Stunde Pflege pro Woche; ab mehr als 250 Mitarbeitenden wird nach dieser Einschätzung eine kommerzielle Lösung effizienter. Diese Erfahrungszahl hat nichts mit der 250-Beschäftigten-Schwelle des Art. 30 Abs. 5 DSGVO zu tun — jene betrifft allein die VVT-Ausnahme und greift nur kumulativ (siehe Nr. 2). Ob ein Dienst in einem Drittland eingebunden ist, lässt sich dagegen direkt im Verzeichnis ablesen: Fließen keine Daten an einen Empfänger in einem Drittland, bleibt diese Angabe leer; für Auftragsverarbeiter nennt Art. 30 Abs. 2 lit. c DSGVO sie ausdrücklich nur „gegebenenfalls“. Garantien wie SCC, DPF oder BCR verlangt die Praxis nur für Drittlandempfänger.