Auftragsverarbeiter prüfen
Prüfen Sie einen Dienstleister vor der Beauftragung und halten Sie die Kontrolle über die Verarbeitung personenbezogener Daten im laufenden Betrieb fest.
Checkliste für die Auswahl, den AV-Vertrag und die laufende Kontrolle von Auftragsverarbeitern in österreichischen Unternehmen.
Externe IT, Cloud-Dienste, Lohnverrechnung, Newsletter-Versand, Hosting und Support können personenbezogene Daten im Auftrag Ihres Unternehmens verarbeiten. Ob ein Auftragsverarbeiter vorliegt, richtet sich aber nicht allein nach der Vertragsbezeichnung. Entscheidend sind der tatsächliche Datenfluss, die Weisungen und die Entscheidungen über Zweck und wesentliche Mittel.
Diese Checkliste begleitet die Prüfung vor der Beauftragung und bei späteren Änderungen. Sie erfasst die Rollenklärung, die Auswahl des Dienstleisters, die Vereinbarung nach Art. 28 DSGVO, Unterauftragsverarbeiter, Sicherheitsmaßnahmen, internationale Datenflüsse und die laufende Nachweisführung.
Die Liste ist auf den datenschutzrechtlichen Prüfprozess für Auftragsverarbeiter begrenzt. Sie ersetzt weder die Prüfung des konkreten AV-Vertrags und der technischen und organisatorischen Maßnahmen noch die Einzelfallbeurteilung eines komplexen Dienstleistermodells.
Arbeiten Sie die Punkte anhand des konkreten Dienstes ab. Der Haken-Zustand wird auf Ihrem Gerät gespeichert. Sie können den Fortschritt später fortsetzen, die Liste zurücksetzen oder nur die Checkliste ausdrucken.
0 von 41 Punkten erledigt
01 Anlass und Datenfluss klären
Beginnen Sie mit dem tatsächlichen Verarbeitungsvorgang, nicht mit dem Mustervertrag des Anbieters.
02 Rolle und Weisungsmodell einordnen
Die Rolle ergibt sich aus den tatsächlichen Entscheidungen über Zweck und wesentliche Mittel.
03 Dienstleister und Garantien prüfen
Wählen Sie keinen Anbieter allein nach Preis oder Funktionsumfang aus. Entscheidend sind ausreichende Garantien für eine sichere und weisungsgemäße Verarbeitung.
04 AV-Vertrag nach Art. 28 DSGVO prüfen
Der Vertrag muss die Verarbeitung praktisch steuerbar machen und darf nicht nur die Überschrift Auftragsverarbeitung tragen.
05 Unterauftragsverarbeiter und Länder prüfen
Bei Cloud- und Plattformdiensten müssen weitere Anbieter und Übermittlungen nachvollziehbar bleiben.
06 Betrieb, Vorfälle und Rechte absichern
Die Vereinbarung muss auch im Alltag funktionieren, wenn eine betroffene Person fragt oder ein Sicherheitsvorfall eintritt.
07 Kontrollen und Nachweise laufend führen
Die Auswahlprüfung endet nicht mit der Unterschrift. Änderungen beim Dienst, bei Daten oder in der Risikolage müssen auffallen.
08 Ergebnis und nächste Schritte festhalten
Schließen Sie die Prüfung mit einer klaren Entscheidung und einem nachvollziehbaren offenen-Punkte-Plan ab.
Rechtlicher Rahmen
Art. 28 DSGVO verlangt, dass der Verantwortliche nur Auftragsverarbeiter einsetzt, die ausreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag oder ein anderes Rechtsinstrument muss unter anderem Gegenstand und Dauer, Art und Zweck, Datenarten, betroffene Personengruppen sowie die Rechte und Pflichten des Verantwortlichen festlegen. Weisungen, Vertraulichkeit, Sicherheit, Unterstützung, Löschung oder Rückgabe und Kontrollrechte müssen zur tatsächlichen Verarbeitung passen.
Für Unterauftragsverarbeiter gelten eigene Anforderungen an die Genehmigung und die Weitergabe gleichwertiger Pflichten. Art. 32 DSGVO ist für die Sicherheitsprüfung relevant. § 48 DSG ergänzt in Österreich die Anforderungen an Auftragsverarbeiter und ausreichende Garantien. Die Vorschriften ersetzen aber keine konkrete Prüfung des Dienstes, der Datenflüsse und der technischen Umsetzung.
Diese Checkliste unterstützt die Dokumentation der Prüfung. Sie trifft keine verbindliche Rollenentscheidung und bestätigt nicht, dass ein bestimmter Vertrag oder ein bestimmtes Sicherheitskonzept im Einzelfall genügt.
Die Liste ist eine erste Arbeitsgrundlage. Umfang und Tiefe der Prüfung richten sich nach Verarbeitung, Daten, Dienstleisterkette und Risiko.
Rollen, Vertrag und Governance verbinden
Mag. Bernhard Brandauer, Rechtsanwalt
BRANDAUER Rechtsanwälte
Mag. Bernhard Brandauer begleitet Unternehmen bei der rechtlichen Einordnung und bei der Umsetzung datenschutzrechtlicher Anforderungen.
Datenschutzrechtliches Anliegen besprechen
Schildern Sie uns kurz, worum es geht. Wir ordnen die Ausgangslage ein und besprechen, welche Unterlagen und welcher nächste Schritt für Ihr Unternehmen sinnvoll sind.
Datenschutzrechtliche Frage klären
Adresse
BRANDAUER Rechtsanwälte GmbH Giselakai 51 5020 Salzburg Österreich
Telefon
+43 662 6280000