Neuen Auftragsverarbeiter im Verzeichnis richtig nachziehen
Der Leitfaden führt durch die Aufnahme eines neuen Auftragsverarbeiters, vom Fachbereichshinweis bis zur dokumentierten Freigabe. Er schafft eine klare Reihenfolge, damit Vertrag, Verzeichnis, TOM und Löschung nicht auseinanderlaufen.
Ein neuer Dienstleister ist nicht erst dann ein Datenschutzthema, wenn die erste Datei übertragen wurde. Schon die geplante Nutzung einer Cloud, eines Fernwartungsdienstes, eines Abrechnungsportals oder eines externen Aktenarchivs kann Angaben im Verzeichnis von Verarbeitungstätigkeiten, den Vertrag und das Löschkonzept berühren. Entscheidend ist nicht der Produktname, sondern der nachweisbare tatsächliche Zugriff auf personenbezogene Daten.
Für kleine Verantwortliche liegt das Risiko häufig in der Reihenfolge: Der Fachbereich schaltet ein Konto frei, der Vertrag folgt später, das Word Verzeichnis bleibt unverändert. Dieser Leitfaden ordnet die Prüfung so, dass eine Entscheidung, ihre Grundlage und die spätere Umsetzung zusammenpassen. Verantwortliche bleiben rechenschaftspflichtig, auch wenn sie sich durch einen Beitrag unseres Autors zur Dokumentationspraxis oder durch externe Beratung unterstützen lassen.
Schritt 1: Den tatsächlichen Dienstleistereinsatz erfassen
Beginnen Sie mit einer kurzen Einsatzbeschreibung aus dem Fachbereich. Halten Sie fest, welche konkrete Dienstleistung genutzt werden soll, welche Verarbeitungstätigkeit sie unterstützt und wer das Vorhaben fachlich verantwortet. Vermeiden Sie Angaben wie „Cloud für Verwaltung“, wenn sich nicht erkennen lässt, welche Daten und welcher Prozess gemeint sind.
Die Mindestangaben für die Vorprüfung
Erfassen Sie die Datenarten, etwa Kontakt, Vertrags, Gesundheits, Abrechnungs oder Beschäftigtendaten, sowie die Kategorien betroffener Personen. Notieren Sie ferner, ob der Dienstleister lesen, ändern, exportieren, löschen oder nur technisch speichern kann. Auch ein nur theoretisch möglicher administrativer Zugriff kann für die Einordnung erheblich sein.
- Bezeichnung des Dienstleisters, Dienstleistung und eingesetztes System
- betroffene Verarbeitungstätigkeit und fachlicher Zweck
- Datenarten, Kategorien betroffener Personen und ungefähre Schutzbedarfe
- Zugriffsrollen, Fernzugriff, Schnittstellen und mögliche Exporte
- Systemstandort, bekannte Verarbeitungsorte und geplanter Starttermin
Der Systemstandort ist nicht mit dem Sitz des Vertragspartners gleichzusetzen. Fragen Sie danach, wo Daten gespeichert, supportseitig eingesehen oder gesichert werden und welche Gesellschaften diese Leistungen erbringen. Legen Sie die ausgefüllte Erfassung zusammen mit Angebot, Leistungsbeschreibung und technischen Unterlagen ab. So bleibt später belegbar, auf welcher Tatsachengrundlage die Entscheidung beruhte.
Schritt 2: Verantwortlichkeit und Auftragsverarbeitung abgrenzen
Prüfen Sie als Nächstes die tatsächliche Rollenverteilung. Eine Auftragsverarbeitung liegt vor, wenn der Dienstleister personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet und dabei an dessen Weisungen gebunden ist. Maßgeblich sind die Funktionen und Entscheidungsspielräume, nicht die Überschrift des Vertrages.
Entscheidet der Dienstleister selbst über Zwecke und wesentliche Mittel der Verarbeitung, kann er eigener Verantwortlicher sein. Bei gemeinsam festgelegten Zwecken und Mitteln kommt eine gemeinsame Verantwortlichkeit nach Artikel 26 Datenschutz Grundverordnung in Betracht. Dass ein Anbieter Standardfunktionen vorgibt, beantwortet die Frage allein noch nicht.
Fragen, die die Rolle belastbar machen
Dokumentieren Sie, wer festlegt, warum die Daten verarbeitet werden, welche Daten in das System gelangen, wer Empfänger sein dürfen und wann Daten gelöscht werden. Prüfen Sie auch, ob der Dienstleister Daten für eigene Zwecke, etwa Produktentwicklung, Werbung oder eigene Leistungsentscheidungen, verwenden darf oder tatsächlich verwendet. Eine Klausel zur weisungsgebundenen Verarbeitung muss zur gelebten Dienstleistung passen.
Halten Sie das Prüfergebnis mit Datum, Unterlagenfundstelle und entscheidender Person fest. Falls keine Auftragsverarbeitung vorliegt, vermerken Sie trotzdem, welche Rolle angenommen wurde und welche Folgepflichten geprüft wurden. Damit lässt sich erklären, warum kein Vertrag nach Artikel 28 Datenschutz Grundverordnung abgeschlossen wurde.
Schritt 3: Den Vertrag nach Artikel 28 Absatz 3 DSGVO prüfen
Ist Artikel 28 Datenschutz Grundverordnung einschlägig, darf die Verarbeitung nur auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach Artikel 28 Absatz 3 erfolgen. Prüfen Sie die vollständigen Vertragsunterlagen einschließlich Anlagen, Datenschutzanhang, Leistungsbeschreibung und einbezogener Bedingungen. Ein bloßer Hinweis auf eine Internetseite genügt nicht, wenn Inhalt oder Fassung nicht nachvollziehbar gesichert sind.
| Prüfpunkt | Nachweis in der Akte |
|---|---|
| Gegenstand, Dauer, Art und Zweck der Verarbeitung | Vertragstext mit Bezug zur konkreten Dienstleistung |
| Datenarten und Kategorien betroffener Personen | Vertragsanlage, die zum tatsächlichen Einsatz passt |
| Weisungen, Vertraulichkeit und technische Maßnahmen | Weisungsregelung, Verpflichtungen und TOM Anlage |
| Unterstützung, Kontrollen sowie Rückgabe oder Löschung | Regelungen zu Betroffenenrechten, Vorfällen, Audits und Vertragsende |
Artikel 28 Absatz 3 Datenschutz Grundverordnung verlangt insbesondere Regelungen zur Verarbeitung nur auf dokumentierte Weisung, zur Vertraulichkeit befugter Personen, zu technischen und organisatorischen Maßnahmen, zu Unterauftragsverarbeitern und zur Unterstützung des Verantwortlichen. Dazu gehören Unterstützung bei Pflichten nach den Artikeln 32 bis 36 sowie bei der Wahrung der Rechte betroffener Personen nach Kapitel III, soweit dies möglich ist.
Prüfen Sie außerdem die Informationspflicht bei rechtswidrigen oder nicht mehr ausführbaren Weisungen, die Bereitstellung der erforderlichen Informationen und die Ermöglichung von Überprüfungen einschließlich Inspektionen. Vermerken Sie bei jeder Prüfung die Vertragsfassung. Bei vorformulierten Vertragswerken ist besonders wichtig, ob eine Anlage lediglich allgemein verspricht oder die konkrete Verarbeitung wirklich beschreibt.
Schritt 4: Unterauftragsverarbeiter und Übermittlungen klären
Ein Hauptdienstleister arbeitet häufig mit Hosting, Support, Sicherheits oder Kommunikationsanbietern. Nach Artikel 28 Absatz 2 Datenschutz Grundverordnung darf er weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen einsetzen. Bei einer allgemeinen Genehmigung muss der Auftragsverarbeiter über jede beabsichtigte Änderung informieren, damit der Verantwortliche widersprechen kann.
Liste, Genehmigung und Widerspruch nachvollziehbar verbinden
Fordern Sie eine aktuelle Unterauftragsverarbeiterliste an und vergleichen Sie sie mit der vertraglichen Genehmigung. Halten Sie fest, ob für einen Anbieter eine Einzelgenehmigung vorliegt oder ob die allgemeine Genehmigung gilt, wann die Liste geprüft wurde und ob Anlass zum Widerspruch bestand. Die bloße Existenz einer online abrufbaren Liste ersetzt nicht den Nachweis, dass sie zum Freigabezeitpunkt berücksichtigt wurde.
Prüfen Sie für jeden Verarbeitungsort außerhalb des Europäischen Wirtschaftsraums, ob eine Übermittlung in ein Drittland vorliegt. Dann gelten zusätzlich die Vorgaben von Kapitel V Datenschutz Grundverordnung. Die Rechtsgrundlage der Übermittlung, etwa ein Angemessenheitsbeschluss oder geeignete Garantien nach Artikel 46 Datenschutz Grundverordnung, ist getrennt von der Auftragsverarbeitung zu dokumentieren.
Beachten Sie auch Fernzugriffe aus einem Drittland und Zugriffe durch konzernverbundene Supportstellen. Die Bewertung hängt vom konkreten Datenfluss, den Beteiligten und den eingesetzten Garantien ab. Ein anschauliches Praxisbeispiel für Prüfbedarf bei einem Systemwechsel bietet der Beitrag Cloudwechsel in der Zahnarztpraxis mit nachvollziehbarer Dokumentation.
Schritt 5: TOM auf den konkreten Zugriff abstimmen
Die technischen und organisatorischen Maßnahmen müssen nach Artikel 32 Datenschutz Grundverordnung ein dem Risiko angemessenes Schutzniveau gewährleisten. Übernehmen Sie keine TOM Anlage ungeprüft in die Akte. Gleichen Sie die beschriebenen Maßnahmen mit Datenarten, Zugriffswegen, Nutzerkreis und tatsächlicher Konfiguration ab.
Vom allgemeinen Sicherheitsversprechen zur prüfbaren Maßnahme
Prüfen Sie insbesondere Berechtigungskonzepte mit rollenbezogener Vergabe, Mehrfaktor Authentisierung für privilegierte oder externe Zugriffe, Verschlüsselung bei Übertragung und Speicherung, Protokollierung relevanter Zugriffe sowie Verfahren zur Wiederherstellung. Für eine Praxis können etwa Zugriffe auf besonders sensible Gesundheitsdaten andere Anforderungen auslösen als ein reines Kontaktformular. Artikel 32 nennt außerdem Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.
Notieren Sie nicht nur, dass eine Maßnahme vorhanden ist, sondern auch ihren Geltungsbereich und die Nachweisquelle. Beispielsweise gehören ein Screenshot der aktivierten Mehrfaktor Authentisierung, eine Systemdokumentation oder ein Prüfprotokoll in die Akte, soweit dies angemessen und verfügbar ist. Offene Punkte erhalten eine verantwortliche Person und einen Termin, bevor der Einsatz freigegeben wird.
Schritt 6: Verzeichnis und Dienstleisterliste gleichzeitig aktualisieren
Nach der Freigabe wird die betroffene Verarbeitungstätigkeit im Verzeichnis nach Artikel 30 Absatz 1 Datenschutz Grundverordnung aktualisiert. Dort sind unter anderem die Kategorien von Empfängern, gegenüber denen personenbezogene Daten offengelegt worden sind oder noch offengelegt werden, sowie gegebenenfalls Drittlandübermittlungen und die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien zu führen. Die allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gehört ebenfalls in die erforderlichen Angaben.
Tragen Sie den Dienstleister zugleich in die interne Auftragsverarbeiter Liste ein. Diese Liste ist zwar nicht mit dem Verzeichnis gleichzusetzen, schafft aber eine wirksame Kontrollspur: Vertrag, zuständige Verarbeitungstätigkeit, Unterauftragsverarbeiter, Übermittlungen, TOM Prüfung, Vertragsfassung und nächster Prüftermin lassen sich dort zusammenführen. Gerade bei Word Dateien verhindert diese Doppelpflege, dass ein neuer Name nur an einer Stelle erscheint.
Der Beitrag Artikel 30 DSGVO und das Verzeichnis in kleinen Betrieben erläutert, welche Funktion das Verzeichnis als Rechenschaftsnachweis erfüllt. Prüfen Sie nach der Änderung auch Querverweise zu Datenschutzinformationen, Berechtigungskonzepten und internen Arbeitsanweisungen. Nicht jede Änderung erfordert eine neue Verarbeitungstätigkeit, sie muss aber in der zutreffenden bestehenden Tätigkeit nachvollziehbar sein.
Schritt 7: Löschung, Prüftermin und Freigabe dokumentieren
Vor der Nutzung muss geklärt sein, was bei Vertragsende geschieht. Nach Artikel 28 Absatz 3 Buchstabe g Datenschutz Grundverordnung muss der Auftragsverarbeiter nach Wahl des Verantwortlichen personenbezogene Daten löschen oder zurückgeben und vorhandene Kopien löschen, sofern nicht eine unionsrechtliche oder mitgliedstaatliche Aufbewahrungspflicht entgegensteht. Dokumentieren Sie die Wahl, den Auslöser, das Verfahren und den erwarteten Lösch oder Rückgabenachweis.
Gleichen Sie diese Regelung mit dem eigenen Löschkonzept ab. Aufbewahrungspflichten können je nach Datenart, Rechtsgebiet und Einzelfall unterschiedlich wirken, sie rechtfertigen keine pauschale unbegrenzte Speicherung. Der Beitrag Löschkonzept verstehen, Fristen und Nachweise verbinden hilft bei der Zuordnung von Fristen, Auslösern und Belegen.
Legen Sie einen verantwortlichen Prüftermin fest, etwa vor einer Vertragsverlängerung, bei einer wesentlichen Funktionsänderung, bei neuen Unterauftragsverarbeitern oder bei einem Sicherheitsvorfall. Die Freigabe sollte durch den Verantwortlichen oder eine nachweisbar befugte Stelle erfolgen. Die Freigabeakte enthält mindestens Einsatzbeschreibung, Rollenentscheidung, Vertragsprüfung, Unterauftragsverarbeiter und Drittlandprüfung, TOM Bewertung, Verzeichnisänderung und Löschregelung.
So entsteht kein bloßer Eintrag, sondern eine prüfbare Entscheidungskette. Wer Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen und Löschfristen in einem gepflegten Dokument führen möchte, kann Verarbeitungsbuch für ein vorzeigbares, gepflegtes Datenschutzdokument nutzen. Für eine Vorführung oder einen frühen Zugang wenden Sie sich über das Kontaktformular an das Team.
