Dienstleister verwalten

Kaum ein Unternehmen verarbeitet noch alles selbst. Buchhaltung, Hosting, Wartung, Newsletterversand, Aktenvernichtung – überall sitzen Dritte an Ihren Daten. Dienstleister zu verwalten heißt deshalb nicht, Verträge abzuheften, sondern zu wissen, wer welche Daten anfasst und wann das zuletzt geprüft wurde.

Warum die Vertragsablage nicht genügt

Art. 28 Abs. 1 DSGVO verlangt, dass Sie nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten – und dass Sie sich davon überzeugen, vor der Beauftragung und danach fortlaufend. Ein unterschriebener Vertrag ist das Ergebnis dieser Prüfung, nicht ihr Ersatz.

In der Praxis scheitert das an drei Dingen: Niemand weiß, wie viele Dienstleister es gibt. Die Verträge liegen in verschiedenen Abteilungen. Und Ablaufdaten stehen nirgends, weshalb Zertifikate unbemerkt verfallen.

Was geführt wird

Der Dienstleister selbst mit Rolle – Auftragsverarbeiter, eigenständig Verantwortlicher oder gemeinsam verantwortlich. Diese Einordnung ist nicht kosmetisch: Sie entscheidet, welcher Vertrag der richtige ist. Zahlungsdienstleister und Auskunfteien sind häufig keine Auftragsverarbeiter.

Die Kritikalität. Nicht jeder Dienstleister verdient denselben Aufwand. Aus Datenart, Zugriffstiefe und Ausfallfolge ergibt sich eine Einstufung – und daraus, ob ein Fragebogen genügt oder ein echtes Audit ansteht. Die Einstufung selbst ist ein Prüfungsergebnis und wird mit Begründung festgehalten.

Die Unterlagen. Vertrag, Beschreibung der technischen und organisatorischen Maßnahmen, Zertifikate mit Geltungsbereich und Ablaufdatum, Prüfberichte.

Die Unterauftragnehmerkette. Wen setzt Ihr Dienstleister ein, und wo sitzt der? Hier zeigt sich auch, ob Daten in Drittländer fließen – siehe Datenübermittlung in die USA.

Die Wiedervorlage. Verträge laufen aus, Anbieter werden übernommen, Zertifikate verfallen. Die Termine liegen im Aufgabensystem, nicht im Kopf.

Der Zusammenhang, der den Unterschied macht

Die Verknüpfung mit dem Verarbeitungsverzeichnis. Wird ein Dienstleister ausgetauscht oder fällt aus, ist sofort sichtbar, welche Verarbeitungen betroffen sind – und umgekehrt, welche Verträge an einer Verarbeitung hängen.

Das ist zugleich die Antwort auf die Frage, die bei einem Vorfall zuerst kommt: Wer hatte Zugriff?

Wenn Sie selbst gefragt werden

Die Rolle dreht sich um, sobald Sie an größere Kunden liefern. Dann füllen Sie die Fragebögen aus, statt sie zu verschicken. Was dafür bereitliegen sollte, steht unter Datenschutz für IT-Dienstleister – die Unterlagen sind dieselben, nur in die andere Richtung.

Grenzen

Das System prüft nicht für Sie. Es hält fest, was geprüft wurde, und erinnert an die Wiederholung. Die Bewertung eines Zertifikats – deckt sein Geltungsbereich das ab, was Sie tatsächlich nutzen? – bleibt fachliche Arbeit.

Ein Vertrag im System ist kein geprüfter Vertrag. Hochgeladen ist nicht gelesen.

Wie eine Prüfung nach Kritikalität abgestuft wird, steht unter Lieferantenaudit.

Kontakt