Auditierung von Auftragsverarbeitern

Das Outsourcing von Datenverarbeitungen ist nach wie vor sehr beliebt. Von genutzten Webhosting-, KI- oder Cloud-Lösungen über die Inanspruchnahme von Fernwartungen durch einen eingesetzten IT-Service bis hin zur Auslagerung der Akten- und Datenträgervernichtung auf hierauf spezialisierte Anbieter: Es gibt kaum ein Unternehmen, das keine externen Dienstleister einsetzt, die als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) Zugang oder Zugriffsmöglichkeiten auf personenbezogene Daten erhalten.

Anforderungen an eine Auftragsverarbeitung

Auftragsverarbeitungen sind dadurch gekennzeichnet, dass Dienstleister lediglich als „verlängerter Arm“ des Auftraggebers agieren und personenbezogene Daten ausschließlich und schwerpunktmäßig in dessen Interesse verarbeiten, ohne dabei eigene Zwecke mit der Datenverarbeitung zu verfolgen. Die konkreten Anforderungen an eine Auftragsverarbeitung sind in Art. 28 DSGVO geregelt. Danach dürfen Unternehmen in ihrer Rolle als datenschutzrechtlich Verantwortliche (Art. 4 Nr. 7 DSGVO) nur mit Auftragsverarbeitern zusammenarbeiten, wenn diese hinreichende Garantien bieten, dass sie geeignete technische und organisatorische Maßnahmen zum Datenschutz (TOMs, Art. 32 DSGVO) umsetzen, um die Einhaltung der Datenschutz-Grundverordnung (DSGVO) und den Schutz der Rechte der betroffenen Personen zu gewährleisten (Art. 28 Abs. 1 DSGVO). Demgemäß ist es angeraten, einen Auftragsverarbeiter bereits vor dessen aktivem Einsatz umfassend zu prüfen.

Vertrag zur Auftragsverarbeitung erforderlich

Außerdem ist vorab ein Vertra…