Wer personenbezogene Daten im Auftrag verarbeitet, ist Auftragsverarbeiter nach Artikel 28 der Datenschutz-Grundverordnung. Das betrifft fast jede deiner Leistungen: den Telefonservice mit Anrufernotizen, den Schreibservice mit Diktaten, die buchhalterische Vorarbeit mit Belegen, die Akten- und Datenvernichtung — und jede Reinigung, bei der Unterlagen zugänglich sind.
In Absatz 1 steht, dass ein Auftraggeber nur Auftragsverarbeiter einsetzen darf, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Er muss das also vorher klären. Bei kleineren Kunden passiert das im Gespräch, bei größeren über einen Fragebogen aus der Einkaufs- oder Datenschutzabteilung.
- Vier Unterlagen decken die üblichen Fragen ab
-
Ein Vertrag zur Auftragsverarbeitung mit den Pflichtinhalten aus Absatz 3, eine Beschreibung deiner technischen und organisatorischen Maßnahmen nach Artikel 32, eine Liste deiner Unterauftragnehmer und die Angabe, wie deine Beschäftigten zur Vertraulichkeit verpflichtet sind.
- Unterauftragnehmer brauchen eine Genehmigung
-
Nach Absatz 2 darfst du weitere Auftragsverarbeiter nur mit vorheriger Genehmigung deines Kunden hinzuziehen — gesondert oder allgemein. Bei allgemeiner Genehmigung musst du über Änderungen informieren, damit er widersprechen kann. Eine gepflegte Liste auf der Seite erspart diesen Vorgang jedes Mal.
- Vorab veröffentlicht spart es eine Runde
-
Wenn die Antworten schon auf der Seite stehen, lässt sich der Fragebogen in einem Durchgang ausfüllen statt in dreien. Ob du das öffentlich zeigen willst oder erst auf Anfrage herausgibst, ist deine Entscheidung — beides funktioniert, solange es vorbereitet ist.
Wie dein Vertrag im Einzelnen auszusehen hat, welche Maßnahmen angemessen sind und was du veröffentlichen willst, prüft deine Rechtsberatung oder dein Datenschutzbeauftragter. Unsere Aufgabe ist die Darstellung: eine Seite, die diese Fragen beantwortet, bevor sie gestellt werden.