Der häufigste Fehler bei der Bewertung einer Auftragsverarbeitungsvereinbarung besteht darin, dass Unternehmen das Dokument unterzeichnen, ohne zu überprüfen, welche Rolle jede Partei in dieser Beziehung hat. Eine Auftragsverarbeitungsvereinbarung regelt die Absprachen zwischen einem Verantwortlichen, der bestimmt, warum und wie Daten verarbeitet werden, und einem Auftragsverarbeiter, der dies im Auftrag tut. Wird diese Rollenverteilung nicht überprüft, unterzeichnen Sie möglicherweise ein Dokument, das auf Ihre Situation überhaupt nicht zutrifft, oder es fehlt Ihnen möglicherweise eine Vereinbarung, die hätte vorhanden sein sollen.
Darüber hinaus treten oft drei weitere Probleme auf: Unterauftragsverarbeiter, die nicht genannt sind, Sicherheitsmaßnahmen, die nur in allgemeinen Begriffen beschrieben sind, und keine Abmachung darüber, was mit den Daten geschieht, sobald die Zusammenarbeit endet. Dies sind keine kleinen Details, sondern der Kern dessen, wofür eine Auftragsverarbeitungsvereinbarung dient: festzuhalten, wer wofür verantwortlich ist, solange die Zusammenarbeit andauert und auch danach.
Die Rollenverteilung nicht überprüfen
Eine Auftragsverarbeitungsvereinbarung geht von einer festen Verteilung aus: Die eine Partei bestimmt Zweck und Mittel der Verarbeitung, die andere führt diese Verarbeitung nach Anweisung durch. In der Praxis wechseln diese Rollen manchmal je nach Auftrag. Ein Buchhaltungsbüro ist Auftragsverarbeiter für die Gehaltsabrechnung eines Kunden, aber Verantwortlicher für die eigenen Personaldaten. Wer eine Vereinbarung unterzeichnet, ohne diese Rolle zu bestimmen, ist sich nicht sicher, ob das richtige Dokument unterzeichnet wird. Die DSGVO selbst beschreibt diese Rollenverteilung, und die Richtlinien der EDPB gehen ausführlich darauf ein.
Unterauftragsverarbeiter, die unbenannt bleiben
Viele SaaS-Tools schalten ihrerseits wieder andere Parteien ein, beispielsweise für Hosting oder für Kundenservice. Eine Auftragsverarbeitungsvereinbarung sollte erwähnen, ob dies erlaubt ist, unter welchen Bedingungen und ob Sie vorher informiert werden. Fehlt diese Bestimmung, wissen Sie einfach nicht, welche Parteien in der Praxis Zugang zu den Daten haben, die Sie bereitstellen. Das ist genau die Art von Informationen, die Sie in der Wissensdatenbank nach Thema recherchieren können bevor Sie unterschreiben.
Sicherheit, die nur in allgemeinen Begriffen dargelegt ist
Ein Satz wie "angemessene technische und organisatorische Maßnahmen werden getroffen" sagt an sich wenig. Eine Vereinbarung, die weitergeht, nennt konkret, was diese Maßnahmen beinhalten: Verschlüsselung, Zugriffskontrolle, Sicherungen, Meldeverfahren bei einem Vorfall. Je spezifischer dies festgehalten ist, desto deutlicher ist, was ein Anbieter tatsächlich tut. Zum Vergleich: auf der Seite darüber, wie wir selbst mit Daten und Sicherheit umgehen sehen Sie, wie eine solche Erläuterung in der Praxis aussehen kann.
Keine Abmachung über das Ende der Zusammenarbeit
Was geschieht mit den Daten, sobald der Vertrag endet? Werden sie zurückgegeben, gelöscht oder bleiben sie irgendwo erhalten? Dies ist einer der Punkte, der am häufigsten fehlt, obwohl es genau nach Ablauf einer Zusammenarbeit schwierig ist, Absprachen nachzutreffen. Eine Auftragsverarbeitungsvereinbarung, die hierzu nichts sagt, lässt Sie mit einer Lücke in der Dokumentation genau in dem Moment zurück, in dem Sie diese am wenigsten gebrauchen können.
Wie Sie dies vermeiden
Die meisten dieser Fehler entstehen nicht aus mangelndem Willen, sondern aus Zeitmangel: Eine Auftragsverarbeitungsvereinbarung wird als Formalie betrachtet, obwohl es inhaltlich um vier oder fünf konkrete Punkte geht. Überprüfen Sie diese Punkte, bevor Sie unterzeichnen, und fragen Sie bei Ihrem Anbieter nach, wenn etwas fehlt oder unklar formuliert ist. Wenn Sie Zweifel an einer bestimmten Bestimmung haben, konsultieren Sie einen Juristen oder, bei Fragen zur Auslegung der DSGVO selbst, die Autorität Persoonsgegevens. Antworten auf häufig gestellte Fragen zu solchen Dokumenten finden Sie auch unter die häufig gestellten Fragen zu Datenverarbeitungsverträgen.
Diese Erklärung soll Ihnen dabei helfen, zu verstehen, was in einen Datenverarbeitungsvertrag gehört, nicht um zu beurteilen, ob ein bestimmtes Dokument, das Sie erhalten haben, den Anforderungen genügt. Wie wir zu diesen Informationen gelangen und welche Quellen diesen zugrunde liegen, finden Sie unter die Seite darüber, wie es funktioniert.
Möchten Sie schnell sehen, wo Ihr Unternehmen steht? Führen Sie den kostenlosen Quick-Scan durch oder blättern Sie durch die Themen in der Wissensdatenbank, um zu sehen, welcher Schritt für Ihre Situation relevant ist.