FAQ · Verträge und laufende Steuerung
Wie gelingt es, den Datenschutz schon in der Dienstleistersteuerung zu verankern bevor der Vertrag steht?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Der Datenschutz gehört an den Anfang der Beziehung: Vor der Auftragsvergabe hat der Verantwortliche zu prüfen, ob der Dienstleister geeignet ist. Er darf sich nur solcher Auftragsverarbeiter bedienen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Zuerst klärt die Steuerung deshalb die Rolle des Anbieters. Nach der Auffassung des Bayerischen Landesamts für Datenschutzaufsicht ist eine Dienstleistung, bei der die Datenverarbeitung nicht zumindest einen wichtigen Kernbestandteil ausmacht, keine Auftragsverarbeitung. Ob die Abgrenzung im Einzelfall trägt, ist gesondert zu prüfen (Artikel 28 Absatz 1 DSGVO).
Aus der Rolle folgt, was die Steuerung weitergibt: Der Auftragsverarbeiter verarbeitet nur auf Anweisung, auch bei einer Übermittlung in ein Land außerhalb des EWR. Er unterstützt bei Anträgen Betroffener und bei der Meldung von Datenschutzverletzungen. Weitere Auftragsverarbeiter setzt er nur mit vorheriger Genehmigung des Verantwortlichen ein und nach Ende der Leistung löscht er die Daten oder gibt sie zurück.
In der Praxis
Die Datenschutzfragen stehen im frühen Prüfschritt vor der Beschaffung und werden bei Bedarf vertieft.
- Rollen und Datenflüsse sind geklärt.
- Auftragsverarbeitung und Drittlandbezug sind geprüft.
- Löschung, Untervergabe und Kontrollen sind vertraglich verankert und der Weg für Vorfälle und Betroffenenanfragen zwischen den Beteiligten ist festgelegt.
Nachweis: Eine Datenschutzprüfung samt Nachweisen liegt vor dem Vertragsabschluss vor.
Belege
- Auftragsverarbeitung, Bayerisches Landesamt für Datenschutzaufsicht, Prüfung vor Auftragsvergabe
- Auftragsverarbeitung, Bayerisches Landesamt für Datenschutzaufsicht, hinreichende Garantien
- Auftragsverarbeitung, Bayerisches Landesamt für Datenschutzaufsicht, Abgrenzung
- Datenverantwortlicher oder Auftragsverarbeiter, Datenschutzleitfaden für kleine Unternehmen, Europäischer Datenschutzausschuss, Weisung
- Datenverantwortlicher oder Auftragsverarbeiter, Datenschutzleitfaden für kleine Unternehmen, Europäischer Datenschutzausschuss, Unterstützung
- Datenverantwortlicher oder Auftragsverarbeiter, Datenschutzleitfaden für kleine Unternehmen, Europäischer Datenschutzausschuss, Betroffenenrechte
- Datenverantwortlicher oder Auftragsverarbeiter, Datenschutzleitfaden für kleine Unternehmen, Europäischer Datenschutzausschuss, Unterauftragsverarbeiter
- Datenverantwortlicher oder Auftragsverarbeiter, Datenschutzleitfaden für kleine Unternehmen, Europäischer Datenschutzausschuss, Löschung
- Auftragsverarbeitung, Bayerisches Landesamt für Datenschutzaufsicht, Artikel 28
- Datenverantwortlicher oder Auftragsverarbeiter, Datenschutzleitfaden für kleine Unternehmen, Europäischer Datenschutzausschuss, Verantwortlichkeiten