Einen Auftragsverarbeitungsvertrag am tatsächlichen Dienst prüfen

Ein Auftragsverarbeitungsvertrag wird nützlich, wenn seine Beschreibung mit dem tatsächlichen Dienst übereinstimmt. Ein vollständig wirkender Vertrag kann dennoch die falschen Daten beschreiben, einen Support-Dienstleister auslassen oder eine Löschung versprechen, die das Produkt nicht leisten kann.

Für einen CTO verbindet die Prüfung rechtliche Zusagen mit Architektur, Konfiguration und betrieblichen Verfahren. Kolleginnen und Kollegen aus Recht oder Datenschutz legen die Klauseln aus; die Technik stellt fest, ob diese Klauseln die Wirklichkeit beschreiben. Das Ergebnis sollte eine belastbare Entscheidung über den Dienst sein, gestützt durch Nachweise und eine klare Liste offener Bedingungen, nicht bloß ein unterschriebenes PDF.

Die Rolle des Anbieters klären, bevor Sie Klauseln prüfen

Stellen Sie zunächst fest, ob der Anbieter für die betreffende Verarbeitung als Auftragsverarbeiter handelt. Nach der DSGVO verarbeitet ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen. Nicht jede Lieferantenbeziehung hat diese Rolle, und ein Anbieter kann für unterschiedliche Tätigkeiten unterschiedliche Rollen haben.

Eine gehostete Support-Plattform kann Kundentickets nach Ihren Weisungen verarbeiten und zugleich für einen Teil ihrer eigenen Kontoverwaltung als eigenständiger Verantwortlicher handeln. Erlauben ihre Bedingungen außerdem, Ticketinhalte für selbst bestimmte Zwecke zu nutzen, braucht diese Tätigkeit eine eigene Analyse. Alles als „Verbesserung des Dienstes“ zu bezeichnen, klärt die Rolle nicht.

Erstellen Sie eine kurze Beschreibung des Geltungsbereichs, bevor Sie den Vertrag kommentieren:

• Benennen Sie die vertragschließende Gesellschaft, das Produkt, die Abonnementstufe und die aktivierten Funktionen.
• Beschreiben Sie, warum Ihre Organisation den Dienst nutzt und wessen personenbezogene Daten er verarbeitet.
• Trennen Sie die weisungsgebundene Verarbeitung von Zwecken, die der Anbieter selbst festlegt.
• Benennen Sie die intern für den Dienst verantwortliche Person und die prüfende Person aus Recht oder Datenschutz.

Ein Auftragsverarbeitungsvertrag ist keine Rechtsgrundlage nach Artikel 6 und erfüllt auch nicht automatisch die Anforderungen an internationale Datenübermittlungen. Diese Fragen bleiben gesondert zu beantworten. Ist Ihre Organisation selbst Auftragsverarbeiter, ermitteln Sie die Weisungen und Genehmigungsbedingungen des vorgelagerten Verantwortlichen, bevor Sie den Anbieter als Unterauftragsverarbeiter einsetzen.

Eine Prüfmatrix nach Artikel 28 aufbauen

Artikel 28 DSGVO verlangt einen verbindlichen Vertrag oder ein anderes geeignetes Rechtsinstrument, das die Tätigkeit des Auftragsverarbeiters regelt. Darin müssen Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen festgelegt sein.

Diese Angaben sollten die tatsächliche Verarbeitung erkennen lassen. „Alle zur Erbringung der Dienste erforderlichen Daten“ kann dazu führen, dass Prüfende nicht feststellen können, ob Beschäftigtendaten, Kundennachrichten oder sensible Anhänge erfasst sind. Gleichen Sie die Anlagen mit dem konfigurierten Produkt ab, einschließlich optionaler Integrationen.

Nutzen Sie die folgende Matrix, um die vorgeschriebenen Pflichten des Auftragsverarbeiters zu prüfen. Die Spalte zu den Nachweisen enthält praktische Prüfempfehlungen, keine gesetzliche Pflicht, jedes genannte Dokument einzuholen.

Der Auftragsverarbeiter muss den Verantwortlichen außerdem unverzüglich informieren, falls eine Weisung seiner Auffassung nach gegen anwendbares Datenschutzrecht verstößt. Prüfen Sie, wohin diese Benachrichtigung geht und wer sie klären kann.

Kennzeichnen Sie jede Anforderung mit Klauselverweis als abgedeckt, unklar oder fehlend. Stufen Sie ein Fehlen bei einer Pflichtangabe nicht als gewöhnliche kaufmännische Präferenz ein. Artikel 28 Absatz 1 verlangt außerdem, dass Verantwortliche nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten; Vertragsformulierungen allein können das nicht belegen.

Einen repräsentativen Datensatz durch den Dienst verfolgen

Wählen Sie einen realistischen Datensatz und verfolgen Sie ihn von der Erfassung bis zur Entsorgung. Bei einem Kundensupport-Dienst könnte das ein Ticket mit Name, E-Mail-Adresse, Kontokennung und Anhang sein. Verwenden Sie für Tests vorzugsweise synthetische Daten.

Erfassen Sie Erhebung, API-Aufnahme, Primärspeicher, Indexierung, Analysen, Support-Zugriff, Exporte, Integrationen, Backups und Löschung. Fragen Sie, welche Komponenten Inhalte und welche nur Metadaten erhalten. Logs und Diagnose-Traces enthalten oft Kennungen, selbst wenn die Hauptanwendung korrekt abgegrenzt ist.

Dokumentieren Sie für jede Stufe die verantwortliche Stelle, den Verarbeitungszweck, den Ort, den Zugriffsweg und die Aufbewahrungsdauer. Vergleichen Sie das Ergebnis mit dem Auftragsverarbeitungsvertrag, der Sicherheitsanlage, der Liste der Unterauftragsverarbeiter und den Übermittlungsregelungen.

Achten Sie besonders auf Funktionen, die Administratoren ohne Beteiligung des Einkaufs aktivieren können: Transkription, Datenanreicherung, KI-Zusammenfassungen, externe Webhooks und die Aufzeichnung von Support-Sitzungen. Ein für das Basisprodukt geprüfter Vertrag beschreibt den aktivierten Dienst möglicherweise nicht angemessen.

Das Ergebnis kann ein einfaches Datenflussdiagramm mit einem Abweichungsprotokoll sein. Jede Abweichung sollte die vertragliche Aussage, das beobachtete Verhalten, die Folge, die verantwortliche Person und die Lösung benennen. „Der Vertrag beschreibt eine vom Kunden gesteuerte Aufbewahrung; Diagnose-Logs bleiben für einen festen Zeitraum bestehen“ ist umsetzbar. „Aufbewahrung unklar“ reicht nicht, um das Thema abzuschließen.

Sicherheitszusagen an der Umsetzung prüfen

Artikel 32 verlangt risikoangemessene Sicherheitsmaßnahmen. Er schreibt keine allgemeingültige technische Konfiguration vor. Bewerten Sie die Maßnahmen anhand von Sensibilität, Menge und Exposition der Daten sowie der wahrscheinlichen Folgen einer Kompromittierung.

Eine Anlage sollte genug erklären, um den Dienst zu bewerten, ohne die Offenlegung von Details zu verlangen, die Angreifern helfen würden. Priorisieren Sie Mandantentrennung, privilegierte Zugriffe, Authentifizierung, Verschlüsselung, Resilienz, Wiederherstellung, Schwachstellenmanagement und Tests. Ermitteln Sie, welche Maßnahmen der Anbieter betreibt und welche Einstellungen Ihr Team konfigurieren muss.

Verspricht der Vertrag einen eingeschränkten Support-Zugriff, fragen Sie, wie der Zugriff beantragt, genehmigt, zeitlich begrenzt und protokolliert wird. Verspricht er Verschlüsselung, unterscheiden Sie den Schutz bei der Übertragung vom Schutz im Ruhezustand und klären Sie dann, wer die Schlüssel kontrolliert und was berechtigte Benutzer weiterhin lesen können. Verschlüsselung löst keine übermäßigen Anwendungsberechtigungen.

Klären Sie für Verfügbarkeit und Wiederherstellung, welche Backups existieren, wie die Wiederherstellung getestet wird und ob vertragliche Wiederherstellungszusagen das Produkt abdecken, das Sie kaufen. Halten Sie kommerzielle Verfügbarkeitsziele getrennt von Sicherheits- und Datenschutzpflichten.

Zertifikate und Prüfberichte können die Bewertung stützen, doch ihr Geltungsbereich ist entscheidend. Prüfen Sie Dienst, Gesellschaft, Prüfungszeitraum, Ausschlüsse und Kundenverantwortlichkeiten. Ein Bericht über den Hosting-Anbieter ist kein Nachweis für jede Maßnahme in der SaaS-Anwendung, und eine Zertifizierung belegt nicht die Einhaltung der DSGVO. Unter Sicherheitsnachweise bewerten finden Sie die umfassendere Prüfung von Nachweisen.

Wird die Sicherheitsanlage über einen Weblink einbezogen, bewahren Sie die anwendbare Fassung auf. Prüfen Sie, ob Änderungen den Schutz verringern können und wie Kunden informiert werden. Behandeln Sie eine undatierte, änderbare Seite als ein zu lösendes Problem der Nachweisverwaltung, statt anzunehmen, sie sei automatisch ausreichend oder automatisch unwirksam.

Der Kette der Unterauftragsverarbeiter folgen und Übermittlungen gesondert bewerten

Artikel 28 Absatz 2 verlangt für die Inanspruchnahme eines weiteren Auftragsverarbeiters eine vorherige gesonderte oder allgemeine schriftliche Genehmigung. Bei einer allgemeinen Genehmigung muss der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Hinzuziehungen oder Ersetzungen informieren und ihm die Möglichkeit zum Einspruch geben. Artikel 28 Absatz 4 verlangt, dass die einschlägigen Datenschutzpflichten weitergegeben werden; der ursprüngliche Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter diese Pflichten einhält.

Beschaffen Sie eine brauchbare Liste mit der rechtlichen Identität, Funktion, den betroffenen Daten und den Verarbeitungsorten jedes Anbieters. Nicht jede Abhängigkeit von einem Lieferanten ist ein Unterauftragsverarbeiter, doch Infrastruktur-, Support- und Analyseanbieter sollten nicht aus der Prüfung verschwinden, nur weil sie hinter der Produktoberfläche arbeiten.

Bewerten Sie den Änderungsmechanismus:

• Erreicht die Mitteilung eine überwachte Adresse oder eine zuständige Person?
• Gibt es genug Informationen und Zeit, um die vorgeschlagene Änderung zu bewerten?
• Wie wird ein Einspruch eingelegt und geklärt?
• Was geschieht, wenn keine akzeptable Alternative verfügbar ist?

Ein vertragliches Recht, das niemand betrieblich ausüben kann, ist ein Warnsignal. Melden Sie das zuständige Team für Benachrichtigungen an und dokumentieren Sie, wer Mitteilungen bewertet.

Hosting in der EU ist relevant, schließt die Bewertung von Übermittlungen aber nicht ab. Prüfen Sie die tatsächlichen Empfänger, Regelungen zum Fernzugriff, Support-Standorte und Weiterübermittlungen. Ebenso ist ausländische Eigentümerschaft allein keine vollständige Beschreibung einer Übermittlung: Dokumentieren Sie die tatsächlichen Gesellschaften und Zugriffswege.

Wo Kapitel V anwendbar ist, ermitteln Sie das einschlägige Übermittlungsinstrument und gegebenenfalls erforderliche ergänzende Bewertungen oder Maßnahmen. Halten Sie diese Analyse mit der Lieferantenprüfung verbunden, aber getrennt von der Einhaltung des Artikels 28. Ein Auftragsverarbeitungsvertrag und eine regionale Hosting-Einstellung beantworten nicht für sich genommen alle Fragen zu Übermittlungen.

Unterstützungspflichten umsetzbar machen

Meldung von Datenschutzverletzungen und Übergabe bei Vorfällen

Nach Artikel 33 Absatz 2 muss ein Auftragsverarbeiter dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich melden, nachdem sie ihm bekannt wurde. Der Verantwortliche bewertet gesondert die Meldung an die Aufsichtsbehörde, die unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erforderlich ist, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Geben Sie dem Auftragsverarbeiter nicht die Frist des Verantwortlichen als Standard-Wartezeit vor. Ein praxistauglicher Vertrag sollte eine zügige Erstmeldung, benannte Kanäle und fortlaufende Aktualisierungen festlegen. Ein vereinbartes Meldeziel ist eine betriebliche Empfehlung; es ersetzt nicht den gesetzlichen Maßstab.

Fordern Sie die Informationen an, die nötig sind, um betroffene Daten, Personen, Systeme, wahrscheinliche Folgen, Eindämmung und Wiederherstellung zu bewerten. Die erste Meldung kann unvollständig sein; legen Sie daher fest, wie Aktualisierungen und Nachweise folgen. Der Verantwortliche muss außerdem bewerten, ob ein hohes Risiko eine Benachrichtigung der betroffenen Personen nach Artikel 34 erfordert, vorbehaltlich der dort genannten Ausnahmen, und die Bewertung der Verletzung einschließlich der Gründe für eine unterbliebene Meldung dokumentieren. Prüfen Sie den Auslöser für die Meldung sorgfältig: Ein Prozess, der auf eine abgeschlossene Ursachenanalyse wartet, kann die Bewertung durch den Verantwortlichen verzögern.

Testen Sie die Übergabe mit einem Planspiel. Bestätigen Sie, dass die Meldung auch außerhalb der regulären Geschäftszeiten die Einsatzkräfte für Vorfälle und die Datenschutzprüfer erreicht und nicht nur einen Account Manager.

Anfragen betroffener Personen

Die Unterstützung durch den Auftragsverarbeiter sollte Ihren eigenen Prozess zur Beantwortung von Betroffenenrechten ermöglichen. Testen Sie, ob Datensätze über Inhalte, Anhänge, Indizes und Exporte hinweg gefunden werden können und ob Löschung oder Berichtigung die relevanten Komponenten erreichen.

Vereinbaren Sie den Weg für die Beantwortung und die erwartete Bearbeitungszeit. Verantwortliche haben für die Beantwortung eines Antrags in der Regel einen Monat Zeit, vorbehaltlich der Verlängerungsbedingungen der DSGVO; die Unterstützung durch den Anbieter muss Raum für Identitätsprüfung, rechtliche Bewertung und sichere Übermittlung lassen. Der Anbieter sollte Anträge, die Ihre weisungsgebundene Verarbeitung betreffen, in der Regel an Sie weiterleiten, statt selbst über deren Ergebnis zu entscheiden.

Entgelte und Leistungsgrenzen verdienen eine Prüfung. Gebühren für zusätzliche Unterstützung sind nicht automatisch unzulässig, dürfen aber die verpflichtende Unterstützung nicht wirkungslos machen. Verknüpfen Sie das Verfahren mit Ihrem Ablauf für Auskunftsanfragen.

Rückgabe, Löschung und Backups

Bei Dienstende verlangt Artikel 28 nach Wahl des Verantwortlichen die Löschung oder Rückgabe sowie die Löschung vorhandener Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Pflicht zur Speicherung besteht. Klären Sie vor dem Kauf, was das technisch bedeutet.

Prüfen Sie Vollständigkeit, Format und Verfügbarkeitszeitraum des Exports und ob Anhänge oder Konfigurationen ausgeschlossen sind. Unterscheiden Sie bei der Löschung zwischen aktiven Datensätzen, Caches, Replikaten, Logs und Backups. Folgt die Löschung aus Backups einem festen Zyklus, dokumentieren Sie den Zeitraum, die Zugriffsbeschränkungen und die Maßnahmen, die verhindern, dass gelöschte Datensätze durch eine Wiederherstellung erneut eingespielt werden.

Fragen Sie, wie der Abschluss nachgewiesen wird und wie gesetzlich vorgeschriebene Aufbewahrung ermittelt wird. Verlassen Sie sich nicht auf „Konto geschlossen“ als Beleg dafür, dass personenbezogene Daten entfernt wurden.

Prüfrechte, Haftung und offene Klauseln prüfen

Prüfklauseln sollten eine aussagekräftige Sicherheit bieten und zugleich andere Kunden sowie berechtigte Sicherheitsinteressen schützen. Angemessene Terminplanung, Vertraulichkeit und die Nutzung unabhängiger Berichte können Überprüfungen praktikabel machen. Eine Klausel, die nur auf Zertifikate verweist und keinen Weg bietet, notwendige Informationen zu erhalten oder wesentliche Bedenken zu klären, sollte jedoch rechtlich am Maßstab von Artikel 28 Absatz 3 Buchstabe h geprüft werden.

Klären Sie den Eskalationsweg, wenn Nachweise unzureichend sind, ein Vorfall eintritt oder eine Aufsichtsbehörde Informationen verlangt. Betrachten Sie Prüfkosten, Ankündigungsfristen und Beschränkungen gemeinsam; ihre Gesamtwirkung ist wichtiger als jede einzelne Formulierung.

Haftungsklauseln brauchen eine gesonderte kaufmännische Bewertung. Schadenersatz nach Artikel 82 hängt von den Verantwortlichkeitsvoraussetzungen der Verordnung ab; Auftragsverarbeiter haften nicht automatisch für jedes Versäumnis des Verantwortlichen. Sind mehrere Beteiligte nach Artikel 82 verantwortlich, können die Vorschriften sie für den gesamten Schaden haften lassen, um einen wirksamen Schadenersatz sicherzustellen. Eine vertragliche Haftungsobergrenze schränkt die gesetzlichen Rechte betroffener Personen nicht ein. Ihre Wirkung auf die Verteilung und den Regress zwischen den Parteien braucht eine rechtliche Prüfung.

Lehnt der Anbieter Änderungen ab, unterscheiden Sie drei Ergebnisse:

• Klarstellung: Verbindliche Formulierungen oder Nachweise einholen, die eine Unklarheit ausräumen.
• Bedingte Annahme: Eine rechtmäßige Regelung mit dokumentiertem kaufmännischem oder betrieblichem Restrisiko und festgelegten Schutzmaßnahmen genehmigen.
• Nicht fortfahren: Die Verarbeitung stoppen oder neu gestalten, wenn vorgeschriebene Pflichten unerfüllt bleiben.

Eine Akzeptanz durch die Leitung kann eine rechtswidrige Regelung nicht rechtmäßig machen. Der Datenschutzbeauftragte berät und überwacht, sofern benannt, unabhängig; die verantwortliche Fachbereichsleitung trifft Entscheidungen über den Dienst mit Beiträgen aus Recht und Datenschutz. Übertragen Sie dem Datenschutzbeauftragten nicht die Verantwortung für die Festlegung von Zwecken oder Mitteln der Verarbeitung.

KI-Funktionen als zusätzliche Verarbeitungswege untersuchen

KI-Funktionen bringen Eingaben, Ausgaben und Zwischenartefakte mit sich, die ältere Anlagen möglicherweise nicht beschreiben. Prüfen Sie, wo relevant, Prompts, abgerufene Dokumente, Embeddings, generierte Antworten, Feedback, Aufzeichnungen zur Missbrauchsüberwachung und Zugriffe für menschliche Überprüfungen.

Klären Sie, ob Kundendaten zum Training oder zur Verbesserung von Modellen genutzt werden, wessen Zwecken das dient und welche Gesellschaft die Verarbeitung durchführt. „Kein Training“ ist nicht gleichbedeutend mit „keine Speicherung“, und keine dieser Zusagen beweist, dass Support-Logs oder Überwachungsaufzeichnungen keine personenbezogenen Daten enthalten.

Prüfen Sie, dass die Zusagen für die gekaufte Stufe, die aktivierten Endpunkte und nachgelagerte Modellanbieter gelten. Bestätigen Sie Aufbewahrungseinstellungen, Ausnahmen und das Löschverhalten. Behauptet ein Anbieter eine Anonymisierung, fragen Sie, was diese Behauptung stützt, statt anzunehmen, dass Modellartefakte anonym sind.

Dokumentieren Sie die vertragliche Zusage und die Konfigurationsnachweise gemeinsam. Jeder neue Zweck erfordert eine eigene Bewertung von Rolle und Rechtmäßigkeit; der Auftragsverarbeitungsvertrag liefert diese Rechtsgrundlage nicht. Die Anwendbarkeit der KI-Verordnung ist ebenfalls eine eigene Frage, die nicht durch die Unterzeichnung von Auftragsverarbeitungsbedingungen erledigt wird.

Praxisbeispiel: Support-Software mit optionaler Zusammenfassungsfunktion

Angenommen, ein SaaS-Unternehmen möchte zur Veranschaulichung eine Support-Plattform einsetzen, die Namen, geschäftliche E-Mail-Adressen, Tickettexte und Anhänge enthält. Tickets können versehentlich sensible Informationen enthalten. Eine optionale KI-Funktion fasst Konversationen zusammen.

Der Vertragsentwurf beschreibt die Ticketverarbeitung und die Speicherung in der EU. Die technische Durchsicht zeigt einen Anbieter für die Zusammenfassung, Support-Zugriffe aus einer anderen Region und eine Aufbewahrung von Diagnosedaten, die von der Ticketaufbewahrung abweicht.

Die Prüfung ergibt vier konkrete Maßnahmen:

1. Den Geltungsbereich vervollständigen. Anhänge, Diagnosekennungen und die KI-Verarbeitung in die Beschreibung aufnehmen; prüfen, ob der Anbieter Inhalte für eigene Zwecke nutzt.
2. Die Anbieterkette klären. Identität, Verarbeitungsorte, Aufbewahrungszusagen und Genehmigungsumfang des Modellanbieters einholen. Relevante Übermittlungen gesondert bewerten.
3. Das Verhalten im Lebenszyklus validieren. Ein synthetisches Ticket durch Export und Löschung laufen lassen. Eine Erklärung zur Aufbewahrung von Backups und Diagnosedaten einholen, statt anzunehmen, dass die Löschung eines Tickets jede Kopie entfernt.
4. Eine Freigabebedingung festlegen. Die Zusammenfassungsfunktion deaktiviert lassen, bis Vertrag und Datenfluss geprüft sind. Die Weiterleitung von Meldungen zu Datenschutzverletzungen und Änderungen bei Unterauftragsverarbeitern vor dem produktiven Einsatz festlegen.

Die Entscheidungsdokumentation unterscheidet erhaltene Nachweise von noch offenen Fragen. Ist der Kerndienst akzeptabel, kann die Freigabe die KI-Funktion ausdrücklich ausschließen. Diese Grenze muss auch in der Konfiguration und im Änderungsmanagement bestehen; ein Vermerk in der Prüfakte verhindert nicht, dass jemand die Funktion später aktiviert.

Die Entscheidung aufbewahren und bei Änderungen des Dienstes erneut prüfen

Bewahren Sie die anwendbare Vertragsfassung, den Verarbeitungsumfang, das Datenflussdiagramm, Prüfnachweise, die Bewertung von Übermittlungen, das Abweichungsprotokoll und die Freigabe zusammen auf. Dokumentieren Sie akzeptierte Restrisiken, Bedingungen, Verantwortliche und Termine für die Nachverfolgung. Halten Sie fest, warum eine Regelung akzeptiert wurde, nicht nur ihren Status.

Prüfen Sie erneut, wenn sich Verarbeitungszwecke, aktivierte Funktionen, Unterauftragsverarbeiter, Standorte oder Vertragsbedingungen wesentlich ändern. Nehmen Sie erhebliche Vorfälle und neue Hinweise auf Schwächen von Maßnahmen als Auslöser auf. Eine planmäßige Überprüfung ergänzt diese Auslöser, statt sie zu ersetzen.

Secani kann diesen Ablauf unterstützen, indem es den Dienst und externe Anbieter modelliert, Nachweise mit Anforderungen und Entscheidungen verknüpft und Prüflücken Verantwortlichen zuweist. Von Menschen geprüfte Schlussfolgerungen, Quellverweise, Kommentare und Freigaben bewahren die Begründung hinter der Annahme. So wird die Vertragsprüfung mit dem Management von Drittparteienrisiken verbunden, ohne Software als Ersatz für rechtliches oder technisches Urteilsvermögen zu behandeln.

Braucht der Vertrag eine handschriftliche Unterschrift?

Artikel 28 Absatz 9 verlangt die Schriftform, was auch ein elektronisches Format einschließt. Eine handschriftliche Unterschrift ist nicht grundsätzlich erforderlich. Bewahren Sie Nachweise über die verbindliche Annahme und die geltende Fassung auf; bitten Sie die rechtlich Prüfenden, Unsicherheiten bei der Online-Einbeziehung oder widersprüchlichen Bedingungen zu klären.

Muss jeder Unterauftragsverarbeiter im Vertrag selbst genannt werden?

Artikel 28 schreibt keine feste Liste im Dokument vor. Eine gepflegte Liste kann die Genehmigung stützen, sofern die Regelung die erforderlichen Informationen, Änderungsmitteilungen und die Möglichkeit zum Einspruch liefert. Bewahren Sie die für Ihre Prüfung maßgebliche Liste auf.

Beginnen Sie die nächste Lieferantenprüfung mit einem repräsentativen Datenfluss und der Matrix nach Artikel 28. Klären Sie die Abweichung zwischen vertraglichen Zusagen und beobachtbarem Betrieb, bevor Sie die produktive Verarbeitung freigeben.