Datenschutzvereinbarung: Was Unternehmen vor der Unterzeichnung prüfen sollten

Die Rollen verstehen: Datenverantwortlicher vs. Auftragsverarbeiter

Beim Abschluss einer Datenverarbeitungsvereinbarung (DÜV) ist es für Unternehmen entscheidend, die Unterschiede zwischen dem Datenverantwortlichen und dem Auftragsverarbeiter gemäß der Datenschutz-Grundverordnung (DSGVO) zu kennen. Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten, während der Verarbeiter im Auftrag des Verantwortlichen handelt, um die Daten zu verarbeiten.

Im Kontext von Hosting- und Cloud-Diensten agieren Unternehmen meist als Verantwortliche, entscheiden also, welche Daten gesammelt und warum, während ihre Anbieter oft als Verarbeiter fungieren, die Speicherung, Verwaltung und technische Verarbeitung übernehmen.

Wichtige Komponenten in einer Datenverarbeitungsvereinbarung prüfen

Bevor eine DÜV mit einem Hosting- oder Technologiedienstleister unterschrieben wird, sollten Unternehmen die folgenden vertraglichen Elemente sorgfältig prüfen, um den Anforderungen der DSGVO zu entsprechen:

• Verarbeitungshinweise: Diese sollten explizit festlegen, dass der Verarbeiter nur auf dokumentierte Anweisung des Verantwortlichen handelt. Dadurch werden unautorisierten oder unbeabsichtigten Verarbeitungsaktivitäten Grenzen gesetzt.
• Kategorie der personenbezogenen Daten: Klare Identifikation der Arten personenbezogener Daten, die verarbeitet werden, z.B. Kundendaten, Zahlungsinformationen oder Mitarbeiterdaten.
• Zwecke der Verarbeitung: Die DÜV muss die genauen Zwecke der Datenverarbeitung definieren — alles außerhalb dieses Rahmens könnte das Unternehmen rechtlich gefährden.
• Sicherheitsmaßnahmen: Eine detaillierte Beschreibung der technischen und organisatorischen Maßnahmen (TOMs), die der Anbieter zum Schutz der Daten ergreift, z.B. Verschlüsselung, Zugriffskontrollen und regelmäßige Schwachstellenbewertungen.
• Vertraulichkeit: Verpflichtungen für das Personal des Verarbeiters, die Vertraulichkeit durch geeignete Vereinbarungen zu wahren.
• Management von Subprozessoren: Eine Liste genehmigter Subprozessoren oder eine Verpflichtung, den Verantwortlichen vor der Aufnahme neuer Subprozessoren zu informieren und deren Zustimmung einzuholen. Dies gewährleistet Transparenz im Datenfluss.
• Internationale Datenübertragungen: Klauseln, die grenzüberschreitende Datenverarbeitung regeln, einschließlich Mechanismen wie Standardvertragsklauseln (SCCs), um die Einhaltung bei Datenübertragungen außerhalb des Europäischen Wirtschaftsraums (EWR) sicherzustellen.
• Benachrichtigung bei Datenschutzverletzungen: Verpflichtungen des Anbieters, den Verantwortlichen unverzüglich über Datenschutzverletzungen zu informieren, inklusive Zeitrahmen und Details für die Meldung an die Aufsichtsbehörden.
• Unterstützung bei Rechten der betroffenen Personen: Wie der Verarbeiter den Verantwortlichen bei Anfragen zur Auskunft, Berichtigung, Löschung oder Datenübertragbarkeit unterstützt.
• Rückgabe oder Löschung der Daten: Anweisungen dazu, wann und wie personenbezogene Daten nach Vertragsende gelöscht oder zurückgegeben werden.
• Rechte auf Prüfungen und Kontrollen: Die Möglichkeit für Verantwortliche, den Verarbeiter zu auditieren oder Dokumentationen anzufordern, um die laufende Einhaltung zu überprüfen.

Bewertung der Subprozessorvereinbarungen

Subprozessoren spielen eine entscheidende Rolle, wenn ein Hosting- oder Cloud-Anbieter einen Teil der Datenverarbeitung auslagert. Unternehmen sollten:

• Transparenz und regelmäßige Updates zu den beteiligten Subprozessoren verlangen.
• Bestätigen, dass Subprozessoren vertraglich an DSGVO-konforme Verpflichtungen gebunden sind, ähnlich wie im Hauptvertrag.
• Prüfen, ob der Anbieter ein Opt-out für spezifische Subprozessoren erlaubt oder eine direkte vertragliche Beziehung fordert.
• Sicherstellen, dass Subprozessoren die gleichen Sicherheitsstandards und Datenschutzmaßnahmen einhalten.

Warum besondere Aufmerksamkeit bei Sicherheits- und Prüfungsvereinbarungen wichtig ist

Die DÜV bildet die vertragliche Basis, doch die Einhaltung der DSGVO hängt stark von tatsächlich umgesetzten technischen und organisatorischen Maßnahmen ab. Unternehmen sollten:

• Die im Vertrag genannten Sicherheitsmaßnahmen mit den Zertifizierungen des Anbieters (z.B. ISO 27001, SOC 2) und externen Prüfberichten abgleichen.
• Sicherstellen, dass Prüfungs-klauseln regelmäßige oder ad hoc Kontrollen erlauben, entweder remote oder vor Ort, um die Einhaltung zu validieren.
• Sich erkundigen, wie der Anbieter Sicherheitsvorfälle und Schwachstellenmeldungen handhabt.

Benachrichtigung bei Datenschutzverletzungen: Zeitnahe und transparente Kommunikation

Die DSGVO verlangt, dass Verantwortliche bestimmte Datenschutzverletzungen innerhalb von 72 Stunden melden. Anbieter als Verarbeiter müssen sich verpflichten, den Verantwortlichen unverzüglich zu informieren. Eine DÜV sollte:

• Klare Fristen und Eskalationsprozesse definieren.
• Details über zu meldende Informationen, wie Umfang des Vorfalls, betroffene Datenkategorien und ergriffene Maßnahmen, enthalten.

Unterstützung bei Rechten der betroffenen Personen

Verantwortliche bleiben für die Bearbeitung von Anfragen der betroffenen Personen verantwortlich. Verarbeiter müssen jedoch:

• Zugriff auf relevante Daten auf Anfrage ermöglichen.
• Unterstützung bei Berichtigungen, Löschungen und anderen Maßnahmen.
• Sicherstellen, dass Daten leicht zugänglich sind und den Standards der Datenportabilität entsprechen.

Rückgabe oder Löschung der Daten nach Vertragsende

Verantwortliche sollten sicherstellen, dass die DÜV klare Regelungen zur Verarbeitung der Daten nach Vertragsbeendigung enthält. Diese umfassen häufig:

• Optionen, Daten in einem strukturierten, gängigen Format zurückzugeben.
• Sichere Löschungsverfahren, die gewährleisten, dass keine Reste in Backups oder Archiven verbleiben.

Auswahl eines DSGVO-konformen Hosting-Anbieters: Kontextuelle Verbindung zu Eurhosting.net

Die Wahl eines Hosting- oder Cloud-Anbieters, der die DSGVO-Anforderungen und die Datensouveränität versteht, ist eine entscheidende Entscheidung. Anbieter wie Eurhosting.net spezialisieren sich auf DSGVO-konforme Infrastruktur, die strenge europäische Datenschutzstandards erfüllt. Ihr Angebot umfasst klare DÜV-Bedingungen, Datenresidenz-Garantien und umfassende Sicherheitsmaßnahmen, speziell für europäische Unternehmen zur Kontrolle ihres Daten-Fußabdrucks.

Praktische Tipps für Unternehmen vor der Unterzeichnung einer DÜV

• Frühzeitig rechtlichen und Datenschutzbeauftragten in die Überprüfung des Vertrags einbinden.
• Unklarheiten oder Änderungen bei vagen Klauseln, besonders bei Subprozessoren und Meldepflichten, anfragen.
• Die DÜV-Bedingungen mit der technischen Sicherheitsdokumentation des Anbieters abstimmen.
• Strategien zur laufenden Überwachung entwickeln, um die praktische Einhaltung sicherzustellen, nicht nur vertraglich.
• Ein Register aller DPAs sowie deren Ablauf- oder Erneuerungsdaten pflegen.

Weiterführende Ressourcen für vertiefte Kenntnisse

Zur vertiefenden Recherche können Unternehmen ausführliche DSGVO-Ressourcen und behördliche Leitfäden konsultieren. Ein hilfreicher Einstieg ist die Google-Suche nach Anforderungen an DSGVO-Datenverarbeitungsvereinbarungen, die aktuelle rechtliche Analysen, Vorlagen und Expertenkommentare bündelt.