Partner, Verträge und Verantwortlichkeiten
Unter Partner pflegen Sie jedes Unternehmen, mit dem ein Verhältnis rund um die Verarbeitung personenbezogener Daten besteht. Bevor die Bedienung Sinn ergibt, lohnt sich ein Blick auf die zugrunde liegenden Rollen: Sie entscheiden, welchen Vertragstyp Sie wählen.
Verantwortlicher und Auftragsverarbeiter
Abschnitt betitelt „Verantwortlicher und Auftragsverarbeiter“Personenbezogene Daten von Kundinnen, Nutzern und ebenso von Mitarbeitenden können Sie auf zwei Arten verarbeiten:
- selbst, oder
- ausgelagert an ein anderes Unternehmen.
Und es geht in beide Richtungen: Sie können ebenso Daten im Auftrag eines anderen Unternehmens verarbeiten.
Daraus ergeben sich die Rollen:
| Rolle | Bedeutung |
|---|---|
| Verantwortlicher (Controller) | Das Unternehmen, dem die Daten „gehören” und das letztlich für ihre Sicherheit einsteht |
| Auftragsverarbeiter (Processor) | Das Unternehmen, das Daten im Auftrag des Verantwortlichen verarbeitet |
| Gemeinsam Verantwortliche (Joint Controller) | Zwei Unternehmen, die gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden |
Welchen Vertragstyp Sie wählen, hängt von der Richtung ab. Nutzen Sie den Dienst eines anderen Unternehmens (Ihre Daten, deren Infrastruktur), ist es ein Auftragsverarbeitungsvertrag. Teilen Sie sich die Verantwortung für dieselben Daten, ist es eine Vereinbarung über gemeinsame Verantwortlichkeit.
Partner anlegen
Abschnitt betitelt „Partner anlegen“Ein Partner besteht aus Stammdaten und Verträgen.
Basisdaten: Name, Staat, Stadt, Adresse und eine Beschreibung.
Ansprechpartner: Name, E-Mail und Telefon des dortigen Datenschutzbeauftragten sowie eine allgemeine Kontaktperson mit E-Mail.
Der Staat ist mehr als eine Adressangabe: Sitzt der Partner außerhalb der EU beziehungsweise des EWR, ist das der erste Hinweis darauf, dass in den zugehörigen Verarbeitungstätigkeiten eine Datenübermittlung ins Drittland zu dokumentieren ist.
Im Kopf des Partners zählt die Anwendung mit, wie viele gemeinsame Vereinbarungen und wie viele Auftragsverarbeitungsverträge hinterlegt sind.
Was ist ein Vertrag im DPMS?
Abschnitt betitelt „Was ist ein Vertrag im DPMS?“Ein Vertrag im DPMS regelt, welche Daten der Partner wofür verarbeiten darf.
Meist gibt es davon zwei Sorten:
Der allgemeine Vertrag. Das Standarddokument des Anbieters, das die Konditionen insgesamt regelt. Bei Microsoft etwa das offizielle Data Protection Addendum, das sich direkt beim Anbieter herunterladen und hier hinterlegen lässt. Es definiert die Begriffe, die erhobenen Daten und die Pflichten beider Seiten. Es ist damit die Grundlage, aus der Sie später je Verarbeitungstätigkeit die passende Teilmenge auswählen.
Spezifische Verträge. Zusätzliche Vereinbarungen für einzelne Tätigkeiten. Ein Partner kann mehrere davon haben, für jeden Aspekt der Zusammenarbeit einen. Diese ordnen Sie dann gezielt einzelnen Verarbeitungstätigkeiten zu.
Typische Anlässe für einen eigenen Vertrag:
- E-Mail- und Collaboration-Services
- Externe Gehaltsabrechnung
- Ausgelagerter Kundensupport
- IT-Support und Fernwartung
- Recruiting-Dienstleistungen
- Videoüberwachung
- Zahlungsabwicklung
Felder eines Vertrags
Abschnitt betitelt „Felder eines Vertrags“| Feld | Hinweis |
|---|---|
| Name | Pflichtfeld |
| Vertragstyp | Pflichtfeld: Allgemein, Gemeinsame Verantwortlichkeit Vereinbarung oder Auftragsverarbeitungsvertrag |
| Unterzeichnungsdatum | Wann wurde unterschrieben |
| Gültig bis | Laufzeitende |
| Vertrag | Das Dokument als Datei-Upload |
| Beschreibung | Freitext, etwa der Umfang der Vereinbarung |
Vertragstyp gleich richtig setzen: Beim Bearbeiten eines bestehenden Vertrags ist das Feld Vertragstyp gesperrt. Ein nachträglicher Wechsel ist also nicht vorgesehen. Im Zweifel legen Sie den Vertrag neu an.
Ohne hinterlegte Verträge fehlt die Verbindung zur einzelnen Verarbeitungstätigkeit. Diese entsteht erst über den Vertrag.
Verträge zuordnen
Abschnitt betitelt „Verträge zuordnen“Ein Vertrag wird an zwei Stellen wirksam:
- Auf Ebene des Verzeichnisses: im Reiter Verträge des VVT. Damit dokumentieren Sie, auf welcher vertraglichen Grundlage das Verzeichnis insgesamt geführt wird. Das ist besonders relevant, wenn Sie Daten im Auftrag eines anderen Unternehmens verarbeiten: Dann beruht das gesamte Verzeichnis auf der Vereinbarung mit diesem Unternehmen.
- Auf Ebene der Verarbeitungstätigkeit: im Reiter Verträge der Tätigkeit. Hier wird konkret, welcher Vertrag genau diese Verarbeitung deckt.
Beide Zuordnungen ergeben zusammen die Kette Partner → Vertrag → Verarbeitungstätigkeit → Rechtsgrundlage.
Grenzen
Abschnitt betitelt „Grenzen“- Keine Verknüpfung zu den Informationen zum Verantwortlichen. Die Felder unter Informationen zum Verantwortlichen im Verzeichnis sind Freitext und greifen nicht auf die Partnerstammdaten zu. Angaben zum eigenen Unternehmen pflegen Sie deshalb je Verzeichnis erneut.
- Keine automatische Fristenüberwachung. Gültig bis wird dokumentiert, aber nicht überwacht: Es gibt keine Erinnerung an auslaufende Verträge.
- Kein Partner-Register als Bericht. Eine exportierbare Übersicht aller Partner mit Vertragsstatus steht nicht zur Verfügung.
Siehe auch VVT und Verarbeitungstätigkeiten richtig schneiden und DPMS Schritt für Schritt.