Kontrolle der (Unter-)Auftragnehmer
Die Auftragsverarbeitung (AV) ist ein wichtiger Aspekt des Datenschutzes und der Datensicherheit gemäß der Datenschutz-Grundverordnung (DS-GVO).
Bei der Auftragsverarbeitung handelt es sich um eine Situation, in der ein Verantwortlicher (in der Regel ein Unternehmen oder eine Organisation) personenbezogene Daten an einen Auftragsverarbeiter (oft ein externes Unternehmen oder Dienstleister) überträgt, um bestimmte Verarbeitungsaufgaben im Auftrag des Verantwortlichen durchzuführen.
Die Kontrolle der (Unter-) Auftragnehmer ist ein wichtiger Aspekt bei der Umsetzung der Auftragsverarbeitung.
Hier sind einige Schritte und Überlegungen, die bei der Kontrolle der Auftragsverarbeiter und ihrer Unterauftragnehmer berücksichtigt werden sollten:
- Auswahl der richtigen Auftragsverarbeiter:
Der Verantwortliche muss sorgfältig die Auftragsverarbeiter auswählen, die die notwendigen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten implementieren können. Dies erfordert eine Due-Diligence-Prüfung (mit gebührender Sorgfalt) der Datenschutzmaßnahmen und -praktiken des Auftragsverarbeiters.
- Vertragliche Vereinbarungen:
Zwischen dem Verantwortlichen und dem Auftragsverarbeiter muss ein schriftlicher Vertrag abgeschlossen werden, der die Anforderungen der DS-GVO erfüllt. Dieser Vertrag sollte unter anderem die Verarbeitungszwecke, die Art der verarbeiteten Daten, die Sicherheitsmaßnahmen, die Berichterstattungspflichten und die Rechte und Pflichten der Parteien festlegen.
- Unterauftragsverarbeitung:
Wenn ein Auftragsverarbeiter Unterauftragnehmer einsetzen möchte, um die Verarbeitung durchzuführen, muss dies im Vertrag ausdrücklich gestattet sein. Der Verantwortliche sollte über die Unterauftragnehmer informiert werden, und der Hauptauftragsverarbeiter bleibt für die Einhaltung der Datenschutzvorschriften verantwortlich.
- Kontrolle und Überwachung:
Der Verantwortliche hat die Pflicht, die Aktivitäten seiner Auftragsverarbeiter und deren Unterauftragnehmer zu überwachen. Dies kann regelmäßige Audits, Inspektionen und Prüfungen der Datenschutzmaßnahmen umfassen.
- Berichterstattung:
Auftragsverarbeiter müssen sicherstellen, dass sie Verstöße gegen den Datenschutz unverzüglich dem Verantwortlichen melden. Der Verantwortliche ist seinerseits verpflichtet, Verstöße gegen die Datenschutzvorschriften den Aufsichtsbehörden und betroffenen Personen zu melden.
- Datensicherheit:
Auftragsverarbeiter müssen angemessene technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten implementieren. Der Verantwortliche sollte sicherstellen, dass diese Maßnahmen den gesetzlichen Anforderungen entsprechen.
- Beendigung des Vertrags:
Wenn der Vertrag mit einem Auftragsverarbeiter endet, muss sichergestellt werden, dass alle personenbezogenen Daten gelöscht oder zurückgegeben werden und keine weiteren Verarbeitungen stattfinden.
Fazit
Die Kontrolle der (Unter-)Auftragnehmer ist ein wesentlicher Aspekt der Datensicherheit und des Datenschutzes und trägt dazu bei, sicherzustellen, dass personenbezogene Daten angemessen geschützt werden, wenn sie an Dritte weitergegeben werden. Dies ist entscheidend, um die Einhaltung der DSGVO und anderer Datenschutzvorschriften zu gewährleisten und das Vertrauen der Betroffenen in den Umgang mit ihren Daten zu erhalten.
Sowohl der Verantwortliche als auch der Auftragsverarbeiter tragen gemeinsam die Verantwortung dafür, dass die Verarbeitung personenbezogener Daten den gesetzlichen Anforderungen entspricht.