woher weiß ich, ob die von mir verwendete Software der DSGVO entspricht

Eine SaaS-Software ist DSGVO-konform, wenn der Vertrag und die Praxis übereinstimmen

Es gibt keine Zertifizierung oder Häkchen, das eine SaaS-Software offiziell als "DSGVO-konform" erklärt — die DSGVO prüft nicht die Software selbst, sondern wie ein Anbieter mit personenbezogenen Daten umgeht und welche Absprachen darüber bestehen. In den meisten Fällen kann ein Tool ohne nennenswerten Risiko verwendet werden, wenn drei Dinge stimmen: Es liegt eine Auftragsverarbeitungsvereinbarung mit dem Anbieter vor, diese Vereinbarung regelt die erforderlichen Bestandteile wie den Zweck der Verarbeitung und die Sicherheitsmaßnahmen, und es ist klar, wo die Daten physisch verarbeitet und gespeichert werden.

Diese letzten beiden Punkte sind dort, wo es in der Praxis oft schiefgeht. Viele SaaS-Tools schalten selbst wieder andere Parteien ein — einen Hosting-Anbieter, einen Support-Desk in einem anderen Land — und das nennt sich Auftragsverarbeiter. Es kommt auch vor, dass Daten außerhalb der EU verarbeitet werden, was an zusätzliche Bedingungen geknüpft ist. Wer unsicher ist, ob ein Anbieter bei seinem Unternehmen die Rolle eines Auftragsverarbeiters oder eines für die Verarbeitung Verantwortlichen hat, findet mehr Informationen unter dem Unterschied zwischen Auftragsverarbeiter und für die Verarbeitung Verantwortlichem. Und wer wissen möchte, was genau im Vertrag mit dem Anbieter stehen muss, liest das auf der Seite über den Inhalt einer Auftragsverarbeitungsvereinbarung.

Die Grundlage dafür: Artikel 28 und 44 DSGVO

Die Verpflichtung, Absprachen mit einer Partei, die personenbezogene Daten verarbeitet, schriftlich festzuhalten, ergibt sich aus Artikel 28 der DSGVO, der auch angibt, was diese Vereinbarung mindestens regeln muss — einschließlich der Inanspruchnahme eines Auftragsverarbeiters. Die Verarbeitung von Daten außerhalb der EU fällt unter Artikel 44 der DSGVO, der eine Übermittlung an ein Drittland an zusätzliche Bedingungen knüpft. Diese Bestimmungen gelten unmittelbar in der gesamten EU, daher ändert sich der Kern der Bewertung — gibt es eine Auftragsverarbeitungsvereinbarung, und ist die Übermittlung außerhalb der EU ordnungsgemäß geregelt — nicht von Land zu Land. Der EDPB arbeitet in seinen Leitlinien weiter aus, wie diese Artikel in der Praxis umgesetzt werden, beispielsweise bei der Bewertung von Auftragsverarbeitern und internationalen Übermittlungen.