Datenschutz für IT-Dienstleister

Für IT-Dienstleister ist Datenschutz keine interne Pflicht, sondern ein Verkaufsargument. Ihre Kunden müssen sich nach Art. 28 Abs. 1 DSGVO von Ihrer Eignung überzeugen, bevor sie Sie beauftragen. Wer diesen Nachweis schnell liefert, gewinnt Ausschreibungen, die andere in der Prüfschleife verlieren.

Die Rolle entscheidet über alles Weitere

Auftragsverarbeiter sind Sie, wenn Sie weisungsgebunden für den Kunden verarbeiten: Hosting, Wartung, Systembetrieb, Backup, Support. Sie bestimmen nicht über Zwecke und Mittel; das tut der Kunde.

Eigenständig verantwortlich sind Sie für alles, was Sie zu eigenen Zwecken tun: Ihre Buchhaltung, Ihre Beschäftigtendaten, Ihre Werbung, Ihre Auswertung des eigenen Geschäfts.

Gemeinsam verantwortlich kann werden, wer über den Zweck mitentscheidet – etwa bei einem Produkt, dessen Auswertungen Sie selbst nutzen.

Der Fehler, der am teuersten wird: Ein Auftragsverarbeiter, der über den Auftrag hinaus eigene Zwecke verfolgt – Daten des Kunden zur Produktverbesserung, zu Analysen oder zum Training von Modellen –, verlässt seine Rolle. Art. 28 Abs. 10 macht ihn dann für diese Verarbeitung zum Verantwortlichen, mit allen Pflichten und ohne Rechtsgrundlage vom Kunden.

Was Ihre Kunden verlangen werden

Und was Sie deshalb vorbereitet haben sollten:

Ihren Auftragsverarbeitungsvertrag als eigene Vorlage. Wer keine hat, unterschreibt die des Kunden – und damit jedes Mal andere Pflichten.
Die Beschreibung Ihrer technischen und organisatorischen Maßnahmen, aktuell und verständlich.
Die Liste Ihrer Unterauftragnehmer mit Sitz und Leistung, samt Verfahren für Änderungen.
Angaben zum Verarbeitungsort und, falls außerhalb der EU, zur Drittlandübermittlung.
Nachweis der Verpflichtung Ihrer Beschäftigten auf Vertraulichkeit.
Ein Zertifikat, wenn Sie an größere Kunden verkaufen – ISO 27001 oder, im Cloudgeschäft, ein C5-Testat. Für den amerikanischen Markt siehe SOC 2.

Einmal erstellt, beantwortet diese Mappe den überwiegenden Teil jedes Fragebogens. Der Aufwand fällt einmal an, der Nutzen bei jeder Ausschreibung.

Die Unterauftragnehmerkette

Sie ist der Punkt, an dem Prüfungen hängen bleiben. Ihr Kunde muss wissen, wer für Sie tätig wird – und Ihr Rechenzentrum, Ihr Monitoring-Anbieter, Ihr Ticketsystem und Ihr Backup-Dienstleister sind Unterauftragnehmer.

Zu regeln sind: die Genehmigung durch den Kunden, die Mitteilung bei Wechseln, und die Weitergabe Ihrer eigenen Pflichten nach unten. Die Einstufung nach Kritikalität beschreibt das Lieferantenaudit.

Fernwartung und Zugriff

Wo Sie administrativen Zugang zu Kundensystemen haben, gilt: nur auf Weisung, protokolliert, zeitlich begrenzt, mit persönlichen Konten statt Sammelzugängen. Wo Ihre Kunden dem Berufsgeheimnis unterliegen – Ärzte, Anwälte, Steuerberater –, kommt § 203 StGB hinzu: Ihre Mitarbeitenden sind als mitwirkende Personen gesondert zu verpflichten.

Wenn bei Ihnen etwas passiert

Als Auftragsverarbeiter melden Sie nicht an die Aufsichtsbehörde, sondern unverzüglich an Ihren Kunden. Der meldet weiter und trägt die 72-Stunden-Frist – die aber erst mit seiner Kenntnis beginnt. Ihre Verzögerung wird damit zu seinem Fristproblem und zu Ihrem Vertragsproblem. Der Ablauf steht unter Datenschutzvorfall melden.

Vertraglich sollte deshalb stehen, binnen welcher Frist Sie informieren und welche Angaben Sie liefern.

Kontakt

Sie füllen ständig Kundenfragebögen aus? Genau dafür lohnt sich die vorbereitete Mappe – wir stellen sie mit Ihnen zusammen.