Welche Dokumente benötigen Sie, um den Datenschutz bei einer Ausschreibung oder einem Versicherer nachzuweisen?
Wenn eine Vergabestelle oder ein Versicherer Sie auffordert, nachzuweisen, dass Sie verantwortungsvoll mit personenbezogenen Daten umgehen, läuft das in der Regel auf ein festes Paket hinaus: ein Verzeichnis der Verarbeitungstätigkeiten, die Auftragsverarbeitungsverträge mit Ihren eigenen Lieferanten, eine Datenschutzerklärung, eine Übersicht der von Ihnen angewandten Sicherheitsmaßnahmen und eine kurze Beschreibung, wie Sie mit einer Datenpanne oder einer Anfrage einer betroffenen Person umgehen. Bei einer Ausschreibung wird diesem Paket oft ein ausgefüllter Fragebogen oder eine Erklärung beigefügt; bei einem Versicherer ist es eher ein Aufnahmeformular für eine Cyber-Police.
Der Grund, warum dieses Paket immer wieder auftaucht, ist, dass die DSGVO eine Rechenschaftspflicht vorsieht: Eine Organisation muss nicht nur personenbezogene Daten verantwortungsvoll verarbeiten, sondern dies auch nachweisen können. Eine Vergabestelle oder ein Versicherer prüft also nicht, ob Sie "etwas für den Datenschutz tun", sondern ob Sie das auf dem Papier nachweisen können. Das ist genau das Detail, um das es bei diesem Kaufmoment geht: nicht die Absicht, sondern der Beweis.
Das Verzeichnis der Verarbeitungstätigkeiten als Rückgrat
Das Verzeichnis der Verarbeitungstätigkeiten ist in der Regel das erste Dokument, nach dem gefragt wird, und auch das Dokument, auf dem der Rest aufgebaut wird. Darin ist aufgeführt, welche personenbezogenen Daten Sie verarbeiten, zu welchem Zweck, wer sie erhält und wie lange Sie sie aufbewahren. Eine Vergabestelle kann daran schnell erkennen, ob eine Organisation systematisch über ihre Datenflüsse nachgedacht hat oder ob das Verzeichnis speziell für die Anfrage zusammengestellt wurde. Was genau darin stehen muss und wie detailliert, können Sie in der Wissensdatenbank mit Erklärungen zu jedem Thema.
Auftragsverarbeitungsverträge mit Ihren eigenen Lieferanten
Das zweite Dokument, das fast immer verlangt wird, ist die Übersicht der Auftragsverarbeitungsverträge: die Vereinbarungen, die Sie selbst mit den SaaS-Tools und Dienstleistern geschlossen haben, die in Ihrem Auftrag personenbezogene Daten verarbeiten. Denken Sie an ein Gehaltsabrechungsprogramm, ein CRM-System oder einen Cloud-Dienst für Dateien. Eine Vergabestelle oder ein Versicherer möchte hier nicht nur sehen, dass diese Verträge vorhanden sind, sondern auch, dass sie aktuell sind und zu den Tools passen, die tatsächlich verwendet werden. Ein Verzeichnis, das drei Lieferanten auflistet, während in der Praxis acht aktiv sind, fällt bei einer gründlichen Überprüfung schnell auf.
Sicherheit und Umgang mit Zwischenfällen
Neben dem Verzeichnis und den Verträgen wird oft nach den organisatorischen und technischen Maßnahmen gefragt, die getroffen wurden: wer hat Zugriff auf welche Systeme, wie werden Daten verschlüsselt, gibt es eine Backup-Strategie. Versicherer fragen dies oft ausdrücklich in einem Fragebogen zur Prämienberechnung ab. Eine Übersicht der getroffenen Maßnahmen finden Sie auf der Seite Sicherheit personenbezogener DatenDarüber hinaus wird regelmäßig gefragt, wie eine Organisation eine Datenpanne erkennt und bearbeitet: gibt es ein Verfahren, weiß jemand, wer benachrichtigt werden muss und innerhalb welcher Frist. Die Entscheidungshilfe, die bestimmt, ob ein Zwischenfall meldepflichtig ist, können Sie in wenigen Fragen durcharbeiten um zu sehen, wo Sie ungefähr stehen.
Was eine Liste nicht löst
Es ist verlockend, diese Dokumente als eine Checkliste zu sehen, die man an einem Nachmittag abhakt. Das funktioniert nicht gut, und das ist genau die Falle bei diesem Kaufmoment. Ein Verzeichnis der Verarbeitungstätigkeiten, das nicht zu den tatsächlich verwendeten Tools passt, oder ein Auftragsverarbeitungsvertrag, der nie überprüft wurde, hält bei einer gründlichen Bewertung nicht stand. Aufsichtsbehörden und auch Vergabestellen schauen auf Konsistenz: hängen die Dokumente zusammen, und ist es plausibel, dass sie laufend aktualisiert werden, anstatt einmalig erstellt zu werden.
Daher ist es sinnvoller, diese Dokumente als ein laufendes Ganzes zu betrachten, das sich mit den Tools und Prozessen bewegt, die Sie verwenden, anstatt als ein einmaliger Satz von Dokumenten für eine Anfrage. Wie dieser Aufbau aussieht und woher die Informationen stammen, ist auf der Seite wie das System aufgebaut ist.
Wann schalten Sie einen Juristen ein
Eine Ausschreibungsbedingung oder eine Versicherungsbedingung kann spezifische Anforderungen festlegen, die über die DSGVO selbst hinausgehen, etwa eine obligatorische ISO-Zertifizierung oder eine Haftungsklausel. Ob Ihre Unterlagen diesen Anforderungen entsprechen, ist eine rechtliche Bewertung, die zu dem betreffenden Auftrag oder der Versicherungspolice gehört, und diese lassen Sie sich am besten von einem Juristen beurteilen oder, bei Fragen zur DSGVO selbst, von der Datenschutzbehörde.
Möchten Sie sehen, welche Dokumente für Ihre Situation bereits in Ordnung sind und welche noch fehlen? Führen Sie die kostenlose Schnellprüfung durch oder lesen Sie die anderen Themen in der Wissensdatenbank, um zu bestimmen, wo Sie derzeit stehen.