Prüfung externer Auftragsverarbeiter

Was ist Prüfung externer Auftragsverarbeiter?

Artikel 28 besagt, dass Sie nur einen Auftragsverarbeiter beauftragen dürfen, der ausreichende Garantien bietet, und haftbar bleiben, wenn dieser versagt. Bei der Überprüfung eines SaaS-Anbieters für die Verarbeitung von Kundendaten überprüfen Sie Zertifizierungen, Datenverarbeitung, Vereinbarungen mit Unterauftragsverarbeitern und Benachrichtigungen über Verstöße und lesen dann eine Datenverarbeitungsvereinbarung mit Klauseln, die unzureichend sind: keine Benachrichtigung für Unterauftragsverarbeiter, vage Löschverpflichtungen, geringe Prüfungsrechte. Wenn sich ihre Infrastruktur außerhalb des EWR befindet, überprüfen Sie die Schutzmaßnahmen in Kapitel V. Am Ende erhalten Sie einen Bewertungsrahmen, den die Beschaffung beim nächsten Anbieter wiederverwenden kann.

Was Sie lernen in Prüfung externer Auftragsverarbeiter

• Beurteilen Sie anhand dokumentierter Nachweise, ob ein Auftragsverarbeiter ausreichende Garantien nach Artikel 28 DSGVO bietet
• Prüfen Sie Auftragsverarbeitungsverträge auf Pflichtklauseln, insbesondere Regelungen zu Unterauftragsverarbeitern, Auditrechte und Löschpflichten
• Bewerten Sie die Mechanismen eines Anbieters für internationale Datenübermittlungen, wenn er Infrastruktur außerhalb des EWR nutzt
• Erkennen Sie häufige DPA-Mängel, die zu Compliance-Lücken führen, und verhandeln Sie die notwendigen Korrekturen vor Vertragsschluss
• Erstellen Sie ein wiederverwendbares Schema zur Lieferantenbewertung, das die DSGVO-Sorgfaltsprüfung in die Beschaffungsabläufe integriert

Prüfung externer Auftragsverarbeiter — Trainingsschritte

1. Einführung

   Heute hat das Marketingteam beantragt, einen neuen Anbieter für E-Mail-Analysen namens DataPulse Analytics einzubinden. Bevor ein Vertrag unterzeichnet werden kann, müssen Sie dessen DPA auf DSGVO-Konformität prüfen.

2. Die eigene Verantwortung verstehen

   Unternehmen, die externe Auftragsverarbeiter einsetzen, müssen nach Artikel 28 DSGVO sicherstellen, dass diese personenbezogene Daten ordnungsgemäß verarbeiten. Das bedeutet: Ein schriftlicher Auftragsverarbeitungsvertrag ist gesetzlich vorgeschrieben. Die DPA muss bestimmte Pflichtklauseln enthalten. Sie haften, wenn Ihr Auftragsverarbeiter gegen die DSGVO verstößt. Die sorgfältige Prüfung muss VOR der Unterzeichnung eines Vertrags erfolgen. Ihre Aufgabe ist es, TechForward vor Compliance-Risiken zu schützen, indem Sie Probleme erkennen, bevor daraus Haftungsrisiken entstehen.

3. Zugriff auf das Beschaffungsportal

   Sie erhalten eine Benachrichtigung, dass eine neue Lieferantenanfrage zur Prüfung ansteht. Das Marketingteam freut sich darauf, DataPulse Analytics für die Kampagnenverfolgung im ersten Quartal zu nutzen. Melden Sie sich beim Beschaffungsportal an, um die Anfrage und die vom Anbieter vorgeschlagene DPA zu prüfen.

4. Überprüfung der Lieferantenanfrage

   Sie sehen die ausstehende Anfrage des Marketingteams. DataPulse Analytics analysiert E-Mail-Kampagnen und erfasst dabei Öffnungs- und Klickraten sowie die Interaktionen der Abonnenten. Das bedeutet, dass sie personenbezogene Daten einschließlich E-Mail-Adressen, Verhaltensdaten und möglicherweise Geräteinformationen von TechForward-Kunden verarbeiten. Der Anbieter hat seine Standard-DPA beigefügt. Sehen Sie sie sich sorgfältig an.

5. Erstes Warnsignal – vage Sicherheitsmaßnahmen

   Wenn Sie die DPA lesen, fällt Ihnen sofort das erste Problem auf. Im Abschnitt „Sicherheitsmaßnahmen“ heißt es in der Vereinbarung lediglich: „DataPulse Analytics setzt zum Schutz personenbezogener Daten branchenübliche Sicherheitsmaßnahmen ein.“ Das ist viel zu vage. Artikel 32 der DSGVO erfordert konkrete, angemessene technische und organisatorische Maßnahmen – keine allgemeinen Versprechen.

6. Zweites Warnsignal: Keine Klausel zu Unterauftragsverarbeitern

   Bei der weiteren Prüfung suchen Sie nach Regelungen zu Unterauftragsverarbeitern. Das ist besonders wichtig, weil DataPulse für den Betrieb seiner Plattform wahrscheinlich Anbieter von Cloud-Infrastruktur, E-Mail-Zustelldienste oder andere Dienstleister einsetzt. Sie finden … nichts. In der DPA werden Unterauftragsverarbeiter überhaupt nicht erwähnt. Gemäß der DSGVO müssen Auftragsverarbeiter eine Genehmigung einholen, bevor sie Unterauftragsverarbeiter beauftragen, und alle Unterauftragsverarbeiter müssen denselben Datenschutzverpflichtungen unterliegen.

7. Drittes Warnsignal: Keine Prüfungsrechte

   Sie suchen nach Audit- und Inspektionsregelungen – einem weiteren Pflichtbestandteil nach Artikel 28. Als Verantwortlicher darf TechForward überprüfen, ob die Auftragsverarbeiter ihren Pflichten tatsächlich nachkommen. Die DPA enthält keinerlei Auditregelungen. Ohne Auditrechte können Sie die Angaben von DataPulse zur DSGVO-Konformität nicht überprüfen. Sie müssten dem Anbieter blind vertrauen.

8. Viertes Warnsignal: Probleme bei internationalen Datenübermittlungen

   In der DPA steht, dass die Daten auf Servern in den Vereinigten Staaten verarbeitet werden. Sie enthält jedoch weder Standardvertragsklauseln (SCCs) noch einen Verweis auf Angemessenheitsbeschlüsse oder andere Übermittlungsmechanismen. Für die Übermittlung personenbezogener Daten außerhalb des EWR sind konkrete rechtliche Garantien erforderlich. Ohne solche Garantien wäre die Übermittlung nach Kapitel V der DSGVO rechtswidrig.

9. Fünftes Warnsignal: Kein Zeitplan für die Datenlöschung

   Abschließend prüfen Sie, was mit den Daten von TechForward geschieht, wenn der Vertrag endet. In der DPA heißt es: „Bei Vertragsende löscht DataPulse Analytics die Daten auf Verlangen des Verantwortlichen oder gibt sie zurück.“ Das klingt zunächst vernünftig, es gibt jedoch keinen festgelegten Zeitplan. Ohne eine Frist könnten die Daten auf unbestimmte Zeit auf ihren Systemen verbleiben. Die DSGVO verlangt, dass Daten nach Beendigung der Verarbeitung unverzüglich gelöscht oder zurückgegeben werden.

10. Bewertung dokumentieren

    Sie haben fünf kritische Probleme mit der DPA von DataPulse identifiziert: 1. Vage Sicherheitsmaßnahmen (keine spezifischen technischen Kontrollen) 2. Keine Benachrichtigungs- oder Genehmigungspflichten für Unterauftragsverarbeiter 3. Keine Audit- oder Inspektionsrechte für TechForward 4. Internationale Datenübermittlungen ohne Standardvertragsklauseln oder andere Garantien 5. Keine Frist für die Datenlöschung nach Vertragsende Nun müssen Sie diese Ergebnisse im Lieferantenbewertungsformular dokumentieren und die erforderlichen Änderungen festhalten, bevor der Vertrag abgeschlossen werden kann.