Datenschutz-Prüfzeichen im IT-Vertrag: Was wurde tatsächlich zertifiziert?

Ein Datenschutz-Prüfzeichen bestätigt einen bestimmten zertifizierten Verarbeitungsvorgang mit personenbezogenen Daten. Im IT-Vertrag muss deshalb erkennbar sein, welche Verarbeitung geprüft wurde, welche Komponenten die Kriterien erfasst haben und wer die Zertifizierung als akkreditierte Stelle erteilt hat. Ein Siegel allein macht aus einem Softwareprodukt keine allgemeine Datenschutzfreigabe.

Für die Vertragsprüfung zählt die Verbindung zwischen Zertifikat, gebuchtem Dienst und tatsächlicher Nutzung. Das Unternehmen vergleicht den Zertifizierungsgegenstand mit Datenfluss, Konfiguration, Standorten und Rollen. So lässt sich beurteilen, welchen Teil der Anbieterinformation der Nachweis abdeckt und welche eigenen Prüfungen offenbleiben.

Art. 42 DSGVO knüpft die Zertifizierung an datenschutzspezifische Verfahren, Siegel und Prüfzeichen. Nach der österreichischen Datenschutzbehörde sind Gegenstand einer solchen Zertifizierung immer Verarbeitungsvorgänge im Zusammenhang mit personenbezogenen Daten. Ein Produkt eines Softwareherstellers kann daher ohne einen damit verbundenen Verarbeitungsvorgang nicht unmittelbar nach Art. 42 DSGVO zertifiziert werden.

Der Gegenstand muss klar erkennen lassen, welche Verarbeitungsvorgänge einbezogen sind und welche nicht. Für einen IT-Dienst gehören dazu etwa das betroffene Modul, der Zweck, die Datenarten und die bewerteten Komponenten. Eine Produktbezeichnung ohne diese Eingrenzung lässt offen, welche Aussage das Prüfzeichen für den Vertrag liefert.

Lesen Sie den Nachweis deshalb vom Gegenstand her. Fragen Sie, welche konkrete Verarbeitung der Anbieter im Vertrag einsetzen will und ob die Zertifizierung denselben Dienst beschreibt. Die eigene Prüfung beginnt dort, wo der geplante Datenfluss vom beschriebenen Gegenstand abweicht.

Verantwortliche und Auftragsverarbeiter können eine datenschutzrechtliche Zertifizierung bei einer dafür akkreditierten Zertifizierungsstelle beantragen. In Österreich erteilt die Datenschutzbehörde selbst keine solchen Zertifizierungen. Sie akkreditiert Zertifizierungsstellen mit Bescheid.

Im IT-Vertrag sollte daher die ausstellende Stelle eindeutig bezeichnet sein. Ein Anbieterlogo oder eine allgemeine Aussage über eine Prüfung ersetzt den Nachweis der Stelle nicht. Sichern Sie die Bezeichnung, den Akkreditierungsbezug und die Zuordnung zum konkreten Zertifikat in den Vertragsunterlagen.

Diese Prüfung beantwortet eine eigene Frage: Wer durfte das datenschutzrechtliche Zertifizierungsverfahren durchführen? Sie sagt noch nichts darüber aus, ob die gebuchte Konfiguration mit dem zertifizierten Verarbeitungsvorgang übereinstimmt. Dafür braucht es den zweiten Abgleich mit dem technischen und vertraglichen Umfang.

Die Bewertung erfolgt auf Grundlage genehmigter Zertifizierungskriterien. Art. 43 Abs. 2 lit. b DSGVO verlangt, dass die Zertifizierungsstelle diese Kriterien zugrunde legt. Die Datenschutzbehörde nennt als mögliche Prüfbereiche unter anderem die Grundsätze der DSGVO, die Rechte betroffener Personen, Datenschutz durch Technikgestaltung nach Art. 25, geeignete technische und organisatorische Maßnahmen nach Art. 32 und Abhilfemaßnahmen im Rahmen einer Datenschutz-Folgenabschätzung.

Für die Vertragsprüfung ist die Verbindung zwischen Kriterien und Komponenten entscheidend. Ein Kriterium kann sich auf einen bestimmten Verarbeitungsschritt, eine technische Funktion oder eine organisatorische Regel beziehen. Halten Sie fest, welche Teile des Dienstes bewertet wurden und welche Kriterien für die Aussage maßgeblich sind.

Die Kriterien ersetzen keine eigene Prüfung des Vertrags. Sie machen den Prüfmaßstab nachvollziehbar. Das Unternehmen kann damit gezielter feststellen, ob Sicherheits-, Lösch-, Betroffenenrechts- und Konfigurationsfragen bereits vom Nachweis berührt werden oder gesondert geregelt werden müssen.

Der Vertrag sollte den Dienst so beschreiben, dass der zertifizierte Umfang mit der tatsächlichen Nutzung verglichen werden kann. Prüfen Sie Module, aktivierte Funktionen, Datenarten, Empfänger, Speicherorte und Supportzugriffe. Auch eine Zusatzfunktion kann den Verarbeitungsvorgang verändern, wenn sie neue Zwecke, Daten oder Zugriffsrechte einführt.

Dokumentieren Sie den Abgleich in einer kurzen Zuordnung: Was ist vom Zertifizierungsgegenstand erfasst? Welche Nutzung ist im Vertrag vorgesehen? Welche Punkte liegen außerhalb des Nachweises? Diese Struktur verhindert, dass eine allgemeine Zertifizierung stillschweigend auf jede Leistung des Anbieters übertragen wird.

Bei einer Abweichung kommen je nach Sachlage eine Einschränkung der Konfiguration, eine ergänzende Prüfung oder eine andere vertragliche Absicherung in Betracht. Die Entscheidung muss den konkreten Datenfluss berücksichtigen. Ein unverändertes Vertrauen auf das Siegel löst die Abweichung nicht.

Adressaten einer datenschutzrechtlichen Zertifizierung sind Verantwortliche oder Auftragsverarbeiter. Daraus folgt, dass der Nachweis eine datenschutzrechtliche Funktion und einen Verarbeitungsvorgang voraussetzt. Er ersetzt aber nicht die gesonderte Einordnung, wer im IT-Vertrag über Zwecke und wesentliche Mittel entscheidet.

Ein Anbieter kann für eine Verarbeitung im Auftrag zertifiziert sein, während bei anderen Vorgängen eine eigene Verantwortlichkeit zu prüfen ist. Umgekehrt bleibt ein Unternehmen für seine eigene Auswahl, Konfiguration und Nutzung verantwortlich. Die Zertifizierung unterstützt die Bewertung, nimmt dem Vertragspartner die Rollen- und Risikoanalyse aber nicht ab.

Gegenüber einem Auftragsverarbeiter sollten Sie daher Zertifikat, Leistungsbeschreibung, Weisungen, Unterauftragnehmer und Kontrollrechte zusammen lesen. Die SaaS-Rollenklärung hilft bei der vorgelagerten Einordnung. Der TOM-Nachweis vertieft die eigene Dokumentation der Sicherheitsmaßnahmen.

Die Datenschutzbehörde beschreibt Zertifizierungen als Compliance-Instrument. Sie können unter anderem bei der Bewertung der Pflichten des Verantwortlichen und bei technischen und organisatorischen Maßnahmen berücksichtigt werden. Diese Wirkung macht den Nachweis nützlich, legt aber keine allgemeine Produktfreigabe fest.

Prüfen Sie deshalb auch nicht erfasste Leistungen. Dazu zählen je nach Vertrag weitere Module, individuelle Einstellungen, zusätzliche Supportwege, neue Unterauftragnehmer oder Datenflüsse, die im zertifizierten Gegenstand nicht vorkommen. Ob ein konkreter Punkt erfasst ist, muss aus den Unterlagen hervorgehen.

Die Reichweite kann sich mit der Nutzung ändern. Bei einer Produktänderung oder einer neuen Verarbeitung aktualisieren Sie die Zuordnung und prüfen, ob der bestehende Nachweis noch passt. Für technische Sicherheitsmaßnahmen bleibt die Prüfung von Dienstleisterverträgen ein eigener Schritt.

Fordern Sie den vollständigen Zertifizierungsnachweis und die Beschreibung des Zertifizierungsgegenstands an. Ergänzen Sie die Angaben zur akkreditierten Stelle und zu den genehmigten Kriterien. Für den Vertragsabgleich brauchen Sie außerdem Leistungsbeschreibung, Datenfluss, genutzte Module und relevante Konfigurationen.

Ordnen Sie diese Unterlagen einer konkreten Entscheidung zu. Halten Sie fest, welche Verarbeitung vom Prüfzeichen erfasst ist, welche Punkte außerhalb liegen und welche ergänzenden Maßnahmen der Vertrag verlangt. Bei einem Auftragsverarbeiter gehört auch die laufende Prüfung der bereitgestellten Informationen in den Prozess.

Bewahren Sie den Abgleich so auf, dass eine spätere Prüfung die Entscheidung nachvollziehen kann. Bei Änderungen am Dienst, an den Daten oder an den Unterauftragnehmern wird die Zuordnung erneut vorgenommen. Das Verzeichnis der Verarbeitungstätigkeiten kann dabei die Verbindung zwischen Verarbeitung und Dienst sichtbar halten.

Beginnen Sie mit dem Datenfluss und markieren Sie den konkreten Verarbeitungsvorgang. Legen Sie daneben Zertifikat, Stelle und Kriterien. Vergleichen Sie dann die tatsächliche Nutzung mit dem beschriebenen Umfang und notieren Sie jede Abweichung.

Prüfen Sie für offene Punkte, ob der Vertrag eine klare Regelung, eine technische Einschränkung oder einen zusätzlichen Nachweis braucht. Trennen Sie den zertifizierten Teil von allgemeinen Anbieterangaben und von Ihren eigenen Pflichten als Verantwortlicher. So bleibt die Aussage des Prüfzeichens präzise.

Bei einer Änderung des Dienstes wiederholen Sie den Abgleich. Die Prüfung von Unterauftragsverarbeiterwechseln ergänzt die Kontrolle, wenn sich die Verarbeitungskette verändert.