Wann ein Vertrag nötig ist
Immer, wenn ein Dienstleister Daten im Auftrag verarbeitet, ohne eigene Zwecke zu verfolgen: Software als Dienst, Hosting, Lohnbuchhaltung durch ein Rechenzentrum, Aktenvernichtung, Fernwartung. Nicht nötig ist er beim Steuerberater, der eigene Berufspflichten erfüllt, und bei Banken.
Der Vertrag muss Gegenstand und Dauer, Art und Zweck, Kategorien von Daten und Betroffenen, die Weisungsbindung, die Sicherheitsmaßnahmen, Regeln zu Unterauftragnehmern, Unterstützung bei Betroffenenrechten, Meldepflichten, Prüfrechte sowie Löschung oder Rückgabe am Ende regeln.
Verantwortung bleibt im Betrieb
Der Auftraggeber bleibt verantwortlich. Er muss den Dienstleister sorgfältig auswählen und das belegen können – es genügt nicht, einen Vertrag zu unterschreiben und sich darauf zu berufen. Bei Verarbeitung außerhalb der EU kommen zusätzliche Anforderungen hinzu.
Praktisch lohnt eine kurze Liste aller Dienstleister mit Daten, Vertragsdatum, Standort der Verarbeitung und Unterauftragnehmern. Diese Liste wird bei jeder Anfrage und jedem Vorfall als Erstes gebraucht.