Prüfung externer Auftragsverarbeiter

Was ist Prüfung externer Auftragsverarbeiter?

Artikel 28 besagt, dass Sie nur einen Auftragsverarbeiter beauftragen dürfen, der ausreichende Garantien bietet, und haftbar bleiben, wenn dieser versagt. Das Marketing möchte ein neues Analysetool einsetzen, und der Auftragsverarbeitungsvertrag (DPA) des Anbieters trifft im Beschaffungsportal ein. Sie finden fünf Mängel: vage „branchenübliche“ Sicherheitsvorgaben, keine Kontrollen für Unterauftragsverarbeiter, keine Auditrechte, eine Verarbeitung in den USA ohne Übermittlungsmechanismus und keine Löschfrist. Anschließend halten Sie diese in der Anbieterbewertung fest und senden dem Anbieter eine präzise Änderungsforderung.

Was Sie lernen in Prüfung externer Auftragsverarbeiter

• Erklären Sie, warum ein Verantwortlicher nach Artikel 28 DSGVO für seine Auftragsverarbeiter haftbar bleibt
• Prüfen Sie Auftragsverarbeitungsverträge auf Pflichtklauseln, insbesondere Regelungen zu Unterauftragsverarbeitern, Auditrechte und Löschpflichten
• Bewerten Sie die Mechanismen eines Anbieters für internationale Datenübermittlungen, wenn er Infrastruktur außerhalb des EWR nutzt
• Erkennen Sie häufige DPA-Mängel, die zu Compliance-Lücken führen, und verhandeln Sie die notwendigen Korrekturen vor Vertragsschluss
• Verfassen Sie eine Änderungsforderung, die einem Anbieter genau sagt, was seine DPA vor Vertragsschluss ergänzen muss

Prüfung externer Auftragsverarbeiter — Trainingsschritte

1. Einführung

   Heute hat das Marketingteam beantragt, einen neuen Anbieter für E-Mail-Analysen namens DataPulse Analytics einzubinden. Bevor ein Vertrag unterzeichnet werden kann, müssen Sie dessen DPA auf DSGVO-Konformität prüfen.

2. Die eigene Verantwortung verstehen

   Unternehmen, die externe Auftragsverarbeiter einsetzen, müssen nach Artikel 28 DSGVO sicherstellen, dass diese personenbezogene Daten ordnungsgemäß verarbeiten. Das bedeutet: Ein schriftlicher Auftragsverarbeitungsvertrag ist gesetzlich vorgeschrieben. Die DPA muss bestimmte Pflichtklauseln enthalten. Sie haften, wenn Ihr Auftragsverarbeiter gegen die DSGVO verstößt. Die sorgfältige Prüfung muss VOR der Unterzeichnung eines Vertrags erfolgen. Ihre Aufgabe ist es, TechForward vor Compliance-Risiken zu schützen, indem Sie Probleme erkennen, bevor daraus Haftungsrisiken entstehen.

3. Zugriff auf das Beschaffungsportal

   Sie erhalten eine Benachrichtigung, dass eine neue Lieferantenanfrage zur Prüfung ansteht. Das Marketingteam freut sich darauf, DataPulse Analytics für die Kampagnenverfolgung im ersten Quartal zu nutzen. Melden Sie sich beim Beschaffungsportal an, um die Anfrage und die vom Anbieter vorgeschlagene DPA zu prüfen.

4. Überprüfung der Lieferantenanfrage

   Sie sehen die ausstehende Anfrage des Marketingteams. DataPulse Analytics analysiert E-Mail-Kampagnen und erfasst dabei Öffnungs- und Klickraten sowie die Interaktionen der Abonnenten. Das bedeutet, dass sie personenbezogene Daten einschließlich E-Mail-Adressen, Verhaltensdaten und möglicherweise Geräteinformationen von TechForward-Kunden verarbeiten. Der Anbieter hat seine Standard-DPA beigefügt. Sehen Sie sie sich sorgfältig an.

5. Erstes Warnsignal – vage Sicherheitsmaßnahmen

   Wenn Sie die DPA lesen, fällt Ihnen sofort das erste Problem auf. Im Abschnitt „Sicherheitsmaßnahmen“ heißt es in der Vereinbarung lediglich: „DataPulse Analytics setzt zum Schutz personenbezogener Daten branchenübliche Sicherheitsmaßnahmen ein.“ Das ist viel zu vage. Artikel 32 der DSGVO erfordert konkrete, angemessene technische und organisatorische Maßnahmen – keine allgemeinen Versprechen.

6. Zweites Warnsignal – Keine Klausel zu Unterauftragsverarbeitern

   Bei der weiteren Prüfung suchen Sie nach Regelungen zu Unterauftragsverarbeitern. Das ist besonders wichtig, weil DataPulse für den Betrieb seiner Plattform wahrscheinlich Anbieter von Cloud-Infrastruktur, E-Mail-Zustelldienste oder andere Dienstleister einsetzt. Sie finden … nichts. In der DPA werden Unterauftragsverarbeiter überhaupt nicht erwähnt. Gemäß der DSGVO müssen Auftragsverarbeiter eine Genehmigung einholen, bevor sie Unterauftragsverarbeiter beauftragen, und alle Unterauftragsverarbeiter müssen denselben Datenschutzpflichten unterliegen.

7. Drittes Warnsignal – Keine Auditrechte

   Sie suchen nach Audit- und Inspektionsregelungen – einem weiteren Pflichtbestandteil nach Artikel 28. Als Verantwortlicher darf TechForward überprüfen, ob die Auftragsverarbeiter ihren Pflichten tatsächlich nachkommen. Die DPA enthält keinerlei Auditregelungen. Ohne Auditrechte können Sie die Angaben von DataPulse zur DSGVO-Konformität nicht überprüfen. Sie müssten dem Anbieter blind vertrauen.

8. Viertes Warnsignal – Probleme bei internationalen Datenübermittlungen

   In der DPA steht, dass die Daten auf Servern in den Vereinigten Staaten verarbeitet werden. Sie enthält jedoch weder Standardvertragsklauseln (SCCs) noch einen Verweis auf Angemessenheitsbeschlüsse oder andere Übermittlungsmechanismen. Für die Übermittlung personenbezogener Daten außerhalb des EWR sind konkrete rechtliche Garantien erforderlich. Ohne solche Garantien wäre die Übermittlung nach Kapitel V der DSGVO rechtswidrig.

9. Fünftes Warnsignal – Kein Zeitplan für die Datenlöschung

   Abschließend prüfen Sie, was mit den Daten von TechForward geschieht, wenn der Vertrag endet. In der DPA heißt es: „Bei Vertragsende löscht DataPulse Analytics die Daten auf Verlangen des Verantwortlichen oder gibt sie zurück.“ Das klingt zunächst vernünftig, es gibt jedoch keinen festgelegten Zeitplan. Ohne eine Frist könnten die Daten auf unbestimmte Zeit auf ihren Systemen verbleiben. Die DSGVO verlangt, dass der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen löscht oder zurückgibt, sobald die Leistungen enden – erst eine klare Frist macht das durchsetzbar.

10. Bewertung dokumentieren

    Sie haben fünf kritische Probleme mit der DPA von DataPulse identifiziert: 1. Vage Sicherheitsmaßnahmen (keine spezifischen technischen Kontrollen) 2. Keine Benachrichtigungs- oder Genehmigungspflichten für Unterauftragsverarbeiter 3. Keine Audit- oder Inspektionsrechte für TechForward 4. Internationale Datenübermittlungen ohne Standardvertragsklauseln oder andere Garantien 5. Keine Frist für die Datenlöschung nach Vertragsende Nun müssen Sie diese Ergebnisse im Lieferantenbewertungsformular dokumentieren und die erforderlichen Änderungen festhalten, bevor der Vertrag abgeschlossen werden kann.