#08 Auftragskontrolle

[Michael] Moin, René.

[René] Moin, Michael. Moin in die Runde. Ja, dann will ich jetzt gar nicht so viele Worte verlieren. Starten wir direkt rein ins Thema. Heute geht es um die Auftragskontrolle. Also immer noch im Zuge der technischen organisatorischen Maßnahmen, wo wir letztes Jahr gestartet sind. Da machen wir auch genauso weiter.

[Michael] Erzähl mal was. Ja, genau. Wenn wir über Auftragskontrolle reden, müssen wir uns erst mal Gedanken machen, was ist denn ein Auftrag, was ist eine Kontrolle und mit wem schließen wir überhaupt einen Auftrag. Und heute ist es mehr so regulatorisch, lastig und geht ein bisschen mehr in die DSGVO-Richtung rein. Und es ist aber ganz super, dass du mit dabei bist als Dienstleister in der IT-Branche. Du wirst ja wohl ein Auftragsverarbeiter sein bzw. mit dir werden Kontrollen durchgeführt und du bist das Opfer von Kontrollen. Und zwar müssen Auftragskontrollen gemacht werden oder Auftragskontrollen erfolgen mit Auftragsverarbeitern. Das ist ein bisschen DSGVO-Text, da gehen wir ein bisschen mehr ins Detail rein. Und da muss am Anfang ganz klar geklärt werden, wer ist denn Auftragsverarbeiter und wer ist es eben nicht. Und wenn ich einen Auftrag oder wenn ich mit einem Vertrag mit Auftragsverarbeiter gemacht habe, dann muss ich die Tätigkeit von diesem Auftragsverarbeiter auch kontrollieren. Und das ist die Auftragskontrolle. Und das ist das Thema, wie gehe ich mit Auftragsverarbeitern um, was wir heute besprechen wollen. Geht ein bisschen in die DSGVO rein. Ich werde vielleicht mit ein paar Artikeln um die Ohren werfen. Es kann nachgelesen werden, logischerweise alles, was wir hier erzählen in der DSGVO. Und da geht es los. Und da ist die Frage, wo geht es denn eigentlich los? Bzw. René, seid ihr denn ein Auftragsverarbeiter und kennst du weitere Auftragsverarbeiter? Um mal kurz den Rahmen zu schließen, was ein Auftragsverarbeiter ist und was keiner ist.

[René] Ja, ich sage mal so, wir sind natürlich Auftragsverarbeiter. Ja, das grenzt sich ja natürlich an der einen oder anderen Stelle dann nochmal ab. Aber ja, natürlich dadurch, dass wir Zugriff auf Daten haben in gewissen Bereichen, ist das so. Und ja, ein weiterer Auftragsverarbeiter ist ja logischerweise, wenn wir jetzt irgendwie ja noch Software einsetzen, wo der Hersteller dann meinetwegen auch noch irgendwie Zugriff darauf erhält. Also wenn wir irgendwie Lizenzen einkaufen und der Support von dem Produkt am Ende des Tages dann auch Einsicht hat. Also spätestens dann haben wir noch ein weiteres Element im Boot.

[Michael] Genau, ich bin heute mal ein bisschen gemein, ich kitzle dich mal ein bisschen raus. Aber dann kann man es ganz gut rausarbeiten. Heute machst du mal Opfer. Warum glaubst du, dass du ein Auftragsverarbeiter bist?

[René] Weil ich die Möglichkeit habe, in Daten zu sehen. Also jetzt, ich sage mal so, wenn ich jetzt keinen Zugriff auf gewisse Systeme habe, ja, dann bin ich nicht der Auftragsverarbeiter oder der Datenverarbeiter. Aber in dem Augenblick, wo ich die Möglichkeit habe, Daten einzusehen, sehe ich das zumindest so, das wäre auch Auftragsverarbeiter.

[Michael] Okay, was wäre denn mit einem Steuerberater? Wäre das auch ein Auftragsverarbeiter in deinem Sinne? Ich bin gemein heute.

[René] Ich löse aber gleich.

[Michael] Nein. Okay, also pass auf. Es gibt, wenn man in die DSGVO geht und geht in die ganze Thematik rein, muss man grob unterscheiden zwischen, wer ist verantwortlich und wer verarbeitet im Auftrag. Und da grenzt es sich ganz klar ab. Verantwortlich ist der, der über die Zweck- und Mittel entscheidet für die Verarbeitung der Daten und der verantwortlich ist für die Daten. Ein Auftragsverarbeiter hingegen ist nicht verantwortlich für den Zweck und für die Mittel der Verarbeitung, sondern der verarbeitet die Daten des Verantwortlichen im Auftrag des Verantwortlichen. Und der Verantwortliche bleibt verantwortlich für die Verarbeitung seiner Daten beim Auftragsverarbeiter. Oh, viel verantwortlich, viel Auftragsverarbeiter. Also bedeutet, ihr seid IT-Dienstleister. Ihr kriegt die Aufgabe gestellt, pflege meine IT. Das heißt, ihr bestimmt nicht über Zweck und Mittel der personenbezogenen Daten, die ihr verarbeitet, sondern ihr seid ein reiner Dienstleister, die Zugriff auf die Daten haben.

[Michael] Und ihr seid auch nicht für die Daten verantwortlich, sondern die DSGVO und den Datenschutz und Umgang mit den Daten muss euer Kunde mit euch feststellen, definieren und der bleibt für euch verantwortlich. Und der muss natürlich dann euch kontrollieren. Das ist die Auftragskontrolle. Und den Vertrag, den ihr dann miteinander schließt, ist der sogenannte AV-Vertrag, Vertrag zur Auftragsverarbeitung. Früher zu BDSG-Zeiten hieß das ADV, Auftragsdatenverarbeitungsvertrag. DSGVO nennt sich nur noch Vertrag zur Auftragsverarbeitung, sprich AV-Vertrag. Und da grenzt es sich ab. Und diese Grenze ist ganz klar zu ziehen zwischen, wer ist verantwortlich für Zweck und Mittel. Und da ist, wenn man Beispiele nehmen will für einen Auftragsverarbeiter, ganz klar, ihr Servcom IT-Dienstleister, Cloud-Serviceanbieter, Marketingagenturen, Software-as-a-Service-Firmen, also Serven-Firmen, die eine Software-Plattform anbieten, wo man dann seine eigenen Daten hochladen kann. Klassiker ist Timebutler, Personio, irgendwelche Softwaren, die quasi arbeiten für euch Unternehmen. Die entscheiden alle nicht über den Zweck und über die Mittel der Verarbeitung und sind alle nicht für die Daten verantwortlich, sondern die arbeiten lediglich als verlängerter Arm von der verantwortlichen Person des Unternehmens, sprich vom Chef und von dem Unternehmen selbst. Wohingegen eine eigenverantwortliche Tätigkeit oder auch ein Dienstleister, der eigenverantwortlich tätig ist, ist ganz klassisch ein Steuerberater, Wirtschaftsprüfer, Immobilienmakler, Rechtsanwaltkanzleien oder aber auch Personaldienstleistungsfirmen, die ich in Anspruch nehme, um Mitarbeiter zu suchen, also diese typischen Arbeitsvermittler. Das sind klassisch eigenverantwortliche Tätigkeiten, weil die über den Zweck und Mittel der Daten bestimmen, die sie verarbeiten. Und die schicken euch dann nur die Ergebnisse rüber.

[René] Ja, wenn ich da kurz einhaken darf.

[Michael] Immer gerne.

[René] Ich sehe das genauso. In der Reihenverarbeitung der Daten sehe ich das auch so, aber wenn ich jetzt zum Beispiel, wir machen ja auch BI. Das bedeutet, ich habe ja Zugriff auf wirklich alle Inhalte, meinetwegen von der ERP-Software, von einem Kunden und verarbeite diese Daten tatsächlich so, also bereite sie auf, dass er damit arbeiten kann. Dann habe ich ja einen Vollzugriff auf seine Daten und ich verarbeite sie auch.

[Michael] Ja, aber nicht in deinem Verantwortungsbereich. Der sagt zu dir, der entscheidet über Zweck und Mittel. Der sagt, du machst jetzt das für mich. Und in dem Moment bist du sein verlängerter Arm und bist ein Auftragsverarbeiter. Du unterscheidest nicht eigenverantwortlich, was mit den Daten passiert, was du mit den Daten machst, wie du die Daten verarbeitest und was mit den Daten weiter passiert, sondern du bekommst einen klaren Auftrag und kriegst gesagt, diese Daten, also diese meine Daten, verarbeitest du für mich und spielst du für mich zurück. Und in dem Moment bist du Auftragsverarbeiter. Okay, aber dann sind wir ja genau da drin. Ihr seid Auftragsverarbeiter. Was natürlich klar ist, es gibt immer wieder Grenzen, immer wieder Dinge, wo man klar werden muss oder wo man sich überlegen muss, wer verarbeitet jetzt hier wem seine Daten, wer ist Auftragsverarbeiter und wer ist es eben nicht. Es ist immer so ein Running Thing. Ich gucke immer noch mal wieder, muss mich schlau machen, muss Grenzfälle betrachten, muss mir angucken, verarbeitet er jetzt wirklich einen Auftrag, ist es schon eigenverantwortlich und wer macht jetzt was an welcher Stelle. Typisches Beispiel habe ich diese Woche, ist mir diese Woche mal wieder seit längerem um die Nase gekommen, war ein Unternehmen, was Corporate Benefits macht. Das heißt, das ist so ein Bonusprogramm für Mitarbeiter. So stellen sich die Fragen, wenn ich einen Anbieter habe, der so ein Bonusprogramm für Mitarbeiter anbietet, ist das jetzt ein Auftragsverarbeiter von meiner Firma, von mir, Kunde oder arbeitet er eigenverantwortlich und da muss man sich einfach mal hinsetzen, muss sich Gedanken machen und dann kommt man ganz schnell zu dem Ergebnis, der verarbeitet eigenverantwortlich seine Daten und ist kein Auftragsverarbeiter, weil die Mitarbeiter sich bei dem auf freiwilliger Basis anmelden, das Unternehmen und der Chef an sich vom Unternehmen da gar keinen Einfluss drauf hat, sondern die Mitarbeiter melden sich da an und das Kooperationsprogramm und das ganze Benefitprogramm wird komplett von dieser Benefit Plattform abgedeckt, sodass es da eine absolute Abtrennung gibt an dieser Stellung, keine Auftragsverarbeitung stattfindet. Findet eine Auftragsverarbeitung statt, hat die DSGVO im Artikel 28 Dinge definiert, die geregelt werden müssen zwischen der verantwortlichen Person und dem Auftragsverarbeiter und diese münden und diese beschließen oder diese ergeben den berühmten AV-Vertrag, das ist mir eben schon angeschlitten, dieser AV-Vertrag, der immer hin und her geschoben wird, den auch ihr mit euren Kunden abschließt, rührt aus DSGVO 28 her und da in diesem AV-Vertrag werden halt einfach Spielregeln definiert, ich gehe jetzt nicht ins tiefere Detail rein, kann man nachlesen und da werden halt einfach Spielregeln definiert, wie der Auftragsverarbeiter mit den personenbezogenen Daten der verantwortlichen Personen im Sinne der DSGVO umzugehen hat.

[Michael] Das heißt, da wird halt einfach ganz klar definiert, pass auf, du bekommst von mir jetzt Daten zu dem und dem Zweck. Mit diesen Daten hast du das und das zu machen. Das und das sind die Daten, die du überhaupt kriegst von mir. Art und Kategorien der personenbezogenen Daten. Der Zweck, was du haben musst, du verarbeitest die für irgendeine Sache. Geh mal auf Personal und nehm mal mal Personio, das ist, glaube ich, ein ganz guter Personalsoftware, wo man das ein bisschen beispielhaft da machen kann. Da steht in so einem AV-Vertrag halt einfach drin, pass auf, du bist Personio, du hast die Auftrage von mir, Personalakten zu verwalten, du bekommst von mir Personaldatensätze von meinen Mitarbeitern, Name, Vorname, Nachnamen, Adresse, Berufsstatus, E‑Mail-Adresse etc. pp. Das wird da alles aufgelistet. Zweck davon ist, Personalverwaltung, du darfst mit diesen Daten nichts machen, außer mir diese zur Verfügung zu stellen. Das heißt, du darfst mir den Daten nicht irgendwas für deine Zwecke benutzen. Das heißt, du darfst dir die Datensätze nicht ziehen, darfst sie nicht verkaufen, darfst nichts etc. pp. mit diesen Daten machen, sondern du hast sicherzustellen, dass diese Daten in meiner Instanz liegen bleiben und du hast sicherzustellen, dass du auch geeignete technische und organisatorische Maßnahmen triffst, um sicherzustellen, dass diese Daten von mir bei dir heimlich sicher abliegen und verarbeitet werden. Und das ist dieser AV-Vertrag, der damit geschlossen wird. Das heißt, mit dem AV-Vertrag regle ich die Datenverarbeitung zwischen dem Auftragsverarbeiter und dem verantwortlichen Unternehmen. Und da sagt die DSGVO, diesen AV-Vertrag und diese Verarbeitung muss ich als verantwortliche Person für mich definieren, ist das, was mir mein Auftragsverarbeiter da jetzt anbietet und das, was der mir sagt oder was der mir sagt in seinem Vertrag, was er alles erfüllt und diese technischen organisatorischen Maßnahmen von dem Auftragsverarbeiter da dran ist, sind die für mich als verantwortliche Person so ausreichend, dass ich dem Auftragsverarbeiter zutraue, meine Daten an dieser Stelle sicher zu verwahren und sicher zu verarbeiten. Und das ist diese Auftragskontrolle.

[Michael] Und diese Auftragskontrolle muss auch fortlaufend überwacht werden. Also ich als verantwortliche Person, DSGVO, muss ja sicherstellen, dass meine Verarbeitung oder die Verarbeitung, die unter meiner Verantwortung liegt, das haben wir ja eben gesagt, regelmäßig überprüft wird und ich sicherstellen kann, dass mein Auftragsverarbeiter auch das Level, was wir mal vereinbart haben, immer noch hält und immer noch auf dem aktuellen Level ist. Und auch das ist diese Auftragskontrolle. Und darüber definiert sich das. Das bedeutet, Unternehmen, die mit Auftragsverarbeitern arbeiten und das garantiert alle und jedes, ich habe noch kein Unternehmen getroffen, was nicht mit irgendwo an irgendeinem dranhängt, der der Auftragsverarbeiter ist. Die müssen mit diesem Auftragsverarbeiter einen AV-Vertrag abschließen. Der AV-Vertrag muss auch vernünftig geprüft werden. Also den muss man sich auch angucken. Ja, das reicht nicht, wenn man sagt, komm, lad mal irgendein Formular runter, wir setzen mal oben zwei Namen ein, machen unten eine Unterschrift drüber und der Tropf ist gelutscht. Sondern das ist ein wichtiges Dokument, was man sich angucken muss. Das heißt, man prüft einmal initial, ist der Auftragsverarbeiter geeignet, passt das alles, Häkchen dran und dann muss man regelmäßig immer mal wieder mit dem Auftragsverarbeiter in Kontakt treten. Sagen, hier, pass mal auf, wir haben letztes Jahr oder vor zwei Jahren, das ist ein Zeitraum, das darf man selbst bestimmen, einen Vertrag miteinander geschlossen. Ist das denn noch so? Passen deine Toms noch? Hat sich was geändert? Bist du noch nach ISO zertifiziert? Wohnst du noch, also hast du deine Firma noch in dem Gebäude etc. pp., um einfach zu erkennen, dass das initial definierte Sicherheitsniveau immer noch da ist und immer noch ausreicht für meine Daten, die ich da liegen habe.

[René] Dann sag mal, was schätzt du so prozentual, wie die Firmen das tatsächlich auch nehmen mit den AVs? Also bei mir zum Beispiel, wenn ich jetzt gucke, wir sind Dienstleister, wenn wir jetzt einen AV mit dem Kunden schließen möchten, wird man hier und da schon komisch angeguckt. Alle wissen zwar, dass es gibt, aber ich empfinde es als noch sehr schwieriges Thema. Klar, am Ende des Tages, die meisten setzen dann ihr Auto da drunter und sagen, hauptsache wir können starten. Aber so wie du es jetzt beschreibst, wie wird das gelebt?

[Michael] Das Gute an der Sache ist, also gehen wir mal rüber in die Praxis. In der Praxis ist es so, dass meistens die Auftragsverarbeiter, bleiben wir bei euch, seid ein super Beispiel, diese AV-Verträge zur Verfügung stellen, weil ihr ja darin beschreibt, was ihr mit den Daten macht, welche Daten, also weil ihr ja eure technischen organisatorischen Maßnahmen darin beschreibt, ihr ein grobes Konstrukt habt und sagt, bei der Dienstleistung haben wir den Unterauftragnehmer und so weiter und so fort. Ihr habt das präpariert und ihr stellt eurem Kunden diesen Blanko zur Verfügung und der Kunde hat den Benefit, dass er nur noch eintragen muss, welche Art der Dienstleistung er bei euch eingekauft hat, beziehungsweise welche Art der Daten er bei euch verarbeiten lassen will. Das sind so diese Pflichtfelder, Kategorien der betroffenen Personen und betroffene Personen, die er da einträgt, sodass es sehr einfach ist für die. Verantwortlich für diesen AV-Vertrag ist aber nicht der Auftragsverarbeiter, das heißt ihr seid nicht dafür verantwortlich, einen AV-Vertrag mit eurem Auftraggeber zu schließen, sondern der Auftraggeber ist verantwortlich, mit euch einen AV-Vertrag zu haben. Das bringt euch in die komfortable Situation. Ihr könnt die AV-Verträge anbieten und wenn die nicht juckt und sich die Sau kratzt bei denen, ob da jetzt ein AV oder was geschlossen ist, am Ende vom Tag leider Gott sei Dank nicht eure Party. Ihr solltet und ihr werdet immer den Kunden darauf hinweisen, dass er sagen, naja eigentlich müsste man einen AV-Vertrag haben. Im Support-Fall, wenn ihr darauf zugreifen müsst, könnt ihr immer sagen, wir haben keinen AV-Vertrag von euch vorliegen. Regulatorisch, ein bisschen grenzwertig, was wir hier tun. Wenn der verantwortliche Auftraggeber von euch sagt, mir egal, Vollgas, gerne per Mail, dass ihr Nachweis habt, dann ist das so. Und in der Praxis, genau gelebte Praxis, meine Kunden schließen mit allen ihren Dienstleistern AV-Verträgen ab. Da lege ich einen sehr großen Wert und einen sehr großen Fokus drauf. Das ist eine Sisyphus-Arbeit, weil nicht alle Dienstleister so gut aufgestellt sind, wie die Surfcom, die einen AV-Vertrag so stehen haben, dass sie gewehrbeifuß sind und proaktiv auf ihren Kunden auftreten. Und das ist in vielen Stellen echt eine Sisyphus-Arbeit, Dienstleister dazu zu bringen, mit meinen Kunden einen AV-Vertrag abzuschließen. Und dann muss man, dann ist das immer die Abwägung bei meinen Kunden, wo ich sage, pass auf, du hast jetzt Dienstleister XY, der funktioniert nicht so, wie wir uns das denken. Er liefert keinen AV-Vertrag oder der AV-Vertrag sieht aus wie Bulle und du merkst, er hat halt einfach auch keine Sorgfalt auf das ganze Thema. Der liefert mir keine technischen organisatorischen Maßnahmen hinterher, der bockt. Und dann muss mein Kunde oder dann überlasse ich meinem Kunden die Entscheidung, gehe ich mit diesem Dienstleister den Weg weiter oder suche ich Alternativen? Weil das ist ja die Konsequenz aus der ganzen Sache. Wenn ich einen habe, der echt Hulle ist, dann sage ich meinem Kunden, vielleicht ist es der Falsche. Vielleicht dann doch eher nach einem anderen Dienstleister suchen. Das ist so gelebte Praxis. Und gerade im Redefluss, gelebte Praxis ist auch, nur weil ein Unternehmen groß ist, heißt es nicht zwingend erforderlich, dass sie einen hohen Fokus auf den Datenschutz haben und vernünftige AV-Verträge und eine Kooperation mit den Kunden machen. Also ich habe schon richtig tolle AV-Verträge von kleinen Unternehmen gesehen, die sich echt sorgfältig dazu machen. Und ich habe schon absolute Dinge gesehen von großen Unternehmen, wo ich einfach nur mit den Ohren geschlackert habe. Ich bin jetzt der Erste, der nach so einem Ding fragt oder was. Pflicht schon seit jeher. Fokus seit DSGVO 2018 und ich schreibe dich im Jahr 2023 nach einem AV-Vertrag an und du guckst mich an wie ein Auto. Also irgendwas scheint unrund zu laufen bei euch. Und ja, individuelle Beratungskiste. Meine Kunden schließen mit allen Dienstleistern einen AV-Vertrag ab. Und die, die es nicht bringen oder die nicht funktionieren als Dienstleister, entscheidet mein Kunde, ob er das Risiko geht, den Weg mit dem weiterzugehen oder nicht. Ich berate.

[René] Ja, ist auch meine Erfahrung. Und die guten AV-Verträge, da meintest du natürlich. Ja, genau.

[Michael] Den muss ein König ausgearbeitet haben. Ja, also wie gesagt, gelebte Praxis, du erlebst halt beides. Wichtig ist halt das, was wir heute auch in dem Thema haben, wenn wir über Auftragskontrolle sagen, es muss jedem klar sein, der Unternehmer ist, wenn ihr Dienstleistungen irgendwo einkauft, Klassiker-SAS-Software oder irgendwas, dann sind das für euch Auftragsverarbeiter.

[Michael] Mit diesen Auftragsverarbeitern müsst ihr einen Auftragsverarbeitungsvertrag beschließen. Und diesen Auftragsverarbeitungsvertrag sollte nicht ach so lange in der Schublade versauern, sondern ich sage immer, jährlich, spätestens alle zwei Jahre, sollte man sich den aus der Schublade mal rausholen und sollte den Dienstleister anschreiben und fragen, passt das noch? Ist das alles in Ordnung? Und so mache ich das auch. Also auch das wieder, diese regelmäßige Prüfung obliegt der verantwortlichen Person, sprich nicht meine Aufgabe als DSB, sondern meine Beratungsaufgabe als DSB, den Kunden darauf hinzuweisen. Ich habe Templates, ich habe Grundmails, ich habe Formblätter, ich habe Online-Plattformen, wo wir sehr schnell, sehr effektiv die Auftragsverarbeiter von meinen Kunden abfragen können, mit ein paar Basic-Sachen, das ist jetzt keine Riesenwelt. Passt der AV-Vertrag noch? Haben sich Zuständigkeiten geändert? Ist der DSB noch aktuell, der da drin steht, wenn es denn so ist? Hat sich an den TOMS was geändert? Schickt mir doch mal die aktuellen TOMS, macht doch mal hier, sagt mir doch mal das, seid ihr sicher? Habt ihr Mitarbeiter im Homeoffice? Also so ein paar Basics werden abgeklappert. Ist für den Auftragsverarbeiter, wenn er sich dransetzt, eine Aufgabe von 10 Minuten, Viertelstunde. Ich kriege ein Feedback-Formular, wir können uns das angucken. Heften es formal ab, wenn alles in Ordnung ist, dann ist der TROPS gelutscht, das ist kein Riesending. Einfach nur ein Dranbleiben und ein Tun. Und du identifizierst dann halt auch immer mal wieder so ein paar Sachen. Es gibt Firmen, die in ihrem AV-Vertrag Datenschutzbeauftragte direkt reingeschrieben haben, die es schon lange nicht mehr gibt, die aber im AV-Vertrag drinstehen haben, wenn wir den DSB ändern, informieren wir euch proaktiv, wo nie eine Meldung gekommen ist. Es gibt Dinge, wo Firmen auf einmal umgezogen sind in andere Räumlichkeiten, Rechenzentrum sich geändert haben, alles mögliche etc. pp. Und das kriegst du nur weg, wenn du regelmäßig mal ein Draht zu deinem Auftragsverarbeiter hast und mal kurz abcheckst, passt das noch so wie es war. So wie es bei euch auch passiert.

[René] Kann ich jetzt gar nicht so viel zu sagen, ja passiert, machen wir. Aber da bist du ja auch dann stark hinterher, das ist auch gut so.

[Michael] Einmal Auftragsverarbeiter. Lass die Runde mal fragen, wir haben noch fünf Minuten Zeit. Kurze Fragen in der Runde. Können wir noch Fragen beantworten? Habt ihr gezielte Fragen, Anmerkungen? Habt ihr eigene Erfahrungen gemacht? Wie geht ihr mit Auftragsverarbeitern um? Wollt ihr von mir noch mal oder von uns noch mal ganz kurz einen Input kriegen, was Auftragsverarbeiter sind? Ganz klassisch, jeder der eine Webseite hat, seine Webseite irgendwo gehostet. Der Hosting-Dienst von eurer Webseite ist ein Auftragsverarbeiter. Also Strado, Mittwald, alle wie sie da heißen, sind Auftragsverarbeiter, mit denen müsst ihr einen AV-Vertrag abschließen. Habt ihr Software-Systeme, Personio, Timebutler, sonstige SRSS-Software, wo ihr drauf zugreift, die ihr nutzt. Auftragsverarbeiter. Spannender wird es noch mal, gehen wir jetzt nicht mehr ins Detail drauf ein, aber spannender wird es noch mal, wenn der Dienstleister, sprich der Auftragsverarbeiter nicht in der EU sitzt, sondern er sitzt in einem Drittland. Amerika, Kanada, Australien, Afrika, Russland, Brasilien etc. Dann können noch mal andere AV-Verträge und andere Dinge notwendig sein. Das muss man sich in Ruhe anschauen. Von daher immer den Fokus auf europäische Dienstleister. Gerne Hand heben, kommt gerne hoch, quatscht gerne eine Runde mit uns, wir haben noch ein paar Minuten Zeit. Gut, sieht jetzt nicht danach aus, als wenn es da noch Fragen geben würde. Der Micha hat sie totgelabert.

[René] Ja, dann würde ich noch mal übernehmen und ankündigen in 14 Tagen, die nächste users lounge, da bleiben wir auch noch mal bei den Toms, aber schließen es so ziemlich, also zumindest die Toms an sich erstmal ab, und zwar mit dem Thema Datenschutzmanagement. Wo werden die Daten dokumentiert? Gerne alle dabei sein. Bis dahin, users-launch.de besuchen, LinkedIn uns kontaktieren, mit uns in Verbindung treten, immer gerne melden, wenn Fragen sind, auch bei Themen, die wir jetzt vielleicht noch gar nicht die letzte Zeit besprochen haben oder die wir auch noch nicht angekündigt haben. Dann schauen wir, dass wir die natürlich auch mit irgendwo platzieren, wo es gerade passt, oder vielleicht auch noch mal dazwischen schieben, dass wir darüber noch mal sprechen können, und ja, sonst auf allen Plattformen, YouTube, was weiß ich. Zu finden sind wir überall. Und so würde ich mich ehrlich gesagt schon wieder, ja, dann jetzt verabschieden. Einen schönen Wochenende, und ja, die letzten Worte gehören dir.

[Michael] Vielen lieben Dank, euch allen ein schönes Wochenende, und bis in zwei Wochen. Danke, tschüss.

Transparenz und Sicherheit bei der Datenverarbeitung durch Dritte

Transkript

Begrüßung

Definition von Auftragsverarbeitern

Verantwortlichkeiten und Auftragsverarbeitung

Der AV-Vertrag und seine Bedeutung

Regelmäßige Überprüfung der Auftragsverarbeitung

Praktische Umsetzung der Auftragskontrolle