Kurzantwort
Jeder Dienstleister, der Daten nach Ihren Weisungen verarbeitet, braucht einen Vertrag nach Artikel 28. Reine Lieferanten ohne Datenzugriff fallen nicht darunter, bei Tool-Anbietern mit Admin-Zugriff gilt die Pflicht aber praktisch immer.
Was der Vertrag regeln muss
Zweck und Dauer, Datenarten, technische Maßnahmen, Unterauftragnehmer, Drittlandübermittlungen, Lösch- und Rückgabepflichten sowie Kontrollrechte sind Pflichtbestandteile. Vorschlagtexte der Anbieter sind zu prüfen, nicht nur zu unterschreiben.
Kurzer Prüfweg
Für jedes neue Tool drei Fragen: Welche Daten fließen, wer hat Zugriff, wo wird verarbeitet. Aus den Antworten ergibt sich, ob AV-Vertrag, Drittlandklärung oder gar keine Einführung nötig ist.
Prüfliste
- Tools mit Datenzugriff auflisten
- fehlende AV-Verträge anfordern
- Unterauftragnehmer und Speicherorte prüfen
- Neueinführungen vor Freigabe prüfen