Als Auftragsverarbeiter dokumentieren: Verarbeitungen im Auftrag und AV-Webformular (Teil 19 der Reihe DSGVO-Dokumentation)

Die Velomanufaktur Kaltenbach betreibt ein Händlerportal. Darin melden die Fachhändler Garantiefälle an Kaltenbach, und sie führen dort ihre Servicekartei mit den eigenen Werkstattkunden. Über die Servicekartei entscheidet jeder Händler selbst, Kaltenbach speichert sie nur in seinem Auftrag. In diesem Teil dokumentiert Lea Brandner in preeco | datenschutz diese Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten im Auftrag, stellt den Händlern den Vertrag zur Auftragsverarbeitung als Webformular bereit und teilt allen Händlern auf einmal einen neuen Subunternehmer mit. Dieser Artikel ist Teil 19 der Video-Reihe "DSGVO-Dokumentation mit preeco" und schließt die zweite Staffel ab.

Voraussetzungen

• Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
• Das System, in dem Sie die Daten Ihrer Auftraggeber verarbeiten, ist mit seinen Datenfeldern erfasst (Teil 02 und 03 der Reihe).
• Ihre TOMs sind dokumentiert (Teil 04 der Reihe), und Auftraggeber und Subunternehmer stehen in Ihren Kontakten (Teil 01 der Reihe).
• Für das Webformular: eine Website, auf der Sie den Code einbinden können.

Worum es geht

Wer personenbezogene Daten im Auftrag eines anderen verarbeitet, ist Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Auch ein Auftragsverarbeiter führt ein Verzeichnis, für alle Verarbeitungen, die er im Auftrag ausführt (Art. 30 Abs. 2 DSGVO). Es nennt die Auftraggeber, die Kategorien der Verarbeitung, Übermittlungen in Drittländer und die technischen und organisatorischen Maßnahmen. Mit jedem Auftraggeber schließt der Auftragsverarbeiter einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Bevor er einen weiteren Subunternehmer einsetzt, informiert er seine Auftraggeber, damit sie widersprechen können (Art. 28 Abs. 2 DSGVO).

Das Verzeichnis als Auftragsverarbeiter

1. Öffnen Sie im Menü Verarbeitungen den Punkt Verarbeitungstätigkeiten im Auftrag.
2. Klicken Sie auf Neu und Verarbeitungstätigkeit im Auftrag erstellen. Geben Sie eine Bezeichnung ein, wählen Sie unter Zugehörigkeit die Organisation und klicken Sie auf Erstellen.
3. Klicken Sie auf Bearbeiten. Unter Zuständigkeiten tragen Sie über Neu die zuständige Person ein, bei Kaltenbach den IT-Leiter Murat Aydın als Ansprechpartner (technisch).
4. Unter Inhalt stehen der Start der Nutzung der Verarbeitungstätigkeit, eine Kurzbeschreibung, die Angaben zur Übermittlung an ein Drittland und die Kategorien der Verarbeitung. Den Zweck legt der Auftraggeber fest. Sie halten fest, welche Arbeiten Sie für ihn übernehmen, bei Kaltenbach Speichern und Hosten, Terminverwaltung und Support bei Fehlern.
5. Unter Schutzmaßnahmen verweisen Sie auf Ihre TOMs, unter Datenverarbeitungssystem und Datenfelder wählen Sie die Datenfelder aus dem System.
6. Unter Datenempfänger/-lieferanten tragen Sie jeden Auftraggeber mit der Art Verantwortlicher ein. Ihren eigenen Dienstleister, bei Kaltenbach den Hoster des Portals, tragen Sie als Auftragsverarbeiter eines Auftragsverarbeiters ein.

Fragt die Aufsichtsbehörde nach dem Verzeichnis, klicken Sie in der Liste auf Verzeichnis herunterladen und wählen Organisation, Dateiformat und Status.

Der Mustervertrag als Webformular

1. Legen Sie unter Verträge und Verträge zur Auftragsverarbeitung einen Mustervertrag an. Die Vertragsrolle ist Auftragsverarbeiter, Vertragspartner 1 ist Ihr Unternehmen mit mindestens einem eigenen Unterzeichner. Vertragspartner 2 bleibt leer, ihn trägt später jeder Händler selbst ein. Ihre Subunternehmer stehen im Anhang Subunternehmer.
2. Öffnen Sie in der Detailansicht Aktionen und wählen Sie Webformular erstellen. Der Dialog fragt nur nach dem Ort. Klicken Sie auf Webformular erstellen.
3. Der Status wechselt auf Webformular. Im Abschnitt Webformular steht unter Einbetten der Code für die Website. Klicken Sie auf In Zwischenablage kopieren und binden Sie den Code auf Ihrer Website ein.

Auf der Website liest der Händler den Vertrag, trägt unter Vertragspartner seine Firma und seine Anschrift ein und unterzeichnet unter Unterzeichnen mit Ort, Name und Position. Er bestätigt, dass er zeichnungsberechtigt ist, und klickt auf Unterzeichnen und zum Vertragspartner senden. Er bekommt eine Kopie per E-Mail. In preeco steht danach ein eigener Vertrag für diesen Händler mit dem Status Unterzeichnet, benannt nach dem Muster und dem Händler.

Einen neuen Subunternehmer mitteilen

1. Klicken Sie in der Liste der Verträge zur Auftragsverarbeitung auf Subdienstleister aktualisieren.
2. Wählen Sie im ersten Schritt die Verträge, die dieselbe Subunternehmerliste bekommen sollen. Bei Kaltenbach sind das das Muster und alle Händlerverträge.
3. Unter Subdienstleister ergänzen Sie den neuen Subunternehmer über Neu, zum Beispiel mit Aktionen und Aus Kontakten laden, tragen die Leistung ein und klicken auf Übernehmen. Die Liste ersetzt die Subunternehmer in allen gewählten Verträgen.
4. Unter Mitteilung wählen Sie eine Vorlage, zum Beispiel für einen neuen Subunternehmer mit Widerspruchsrecht, und passen Betreff und Text an. Die Vorlagen sind Formulierungshilfen und keine Rechtsberatung. Unter Empfänger sehen Sie, wer die Mitteilung bekommt. Nur unterzeichnete Verträge lösen eine Mitteilung aus.
5. Die Zusammenfassung zeigt je Vertrag, was hinzukommt, was wegfällt und was unverändert bleibt. Klicken Sie auf Speichern.

Danach haben alle gewählten Verträge die neue Liste, und jeder Händler mit unterzeichnetem Vertrag bekommt die Mitteilung per E-Mail, mit der aktuellen Subunternehmerliste im Anhang.

So machen es Praktiker

Trennen Sie im Portal, was Ihre eigenen Daten sind und was Sie im Auftrag speichern. Für beides gelten eigene Dokumente und eigene Pflichten.

Nächster Schritt

Damit endet die zweite Staffel. Kaltenbach kennt jetzt den Schutzbedarf seiner Daten und hat ein freigegebenes Löschkonzept, dazu die Folgenabschätzung für die Ortung, die Prüfung der Übermittlung in die USA, die Vereinbarung mit dem Händlerverband und das Verzeichnis als Auftragsverarbeiter. In der dritten Staffel geht es um den Alltag: Im ersten Teil, Teil 20, fragt eine Kundin, welche Daten Kaltenbach über sie speichert.

Alle Teile der Reihe

← Teil 18: Gemeinsame Verantwortlichkeit · Teil 20: Betroffenenanfrage bearbeiten →

1. Auftakt: DSGVO-Dokumentation aufbauen
2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
3. Teil 2: Systeme erfassen
4. Teil 3: Datenfelder und Datenflüsse
5. Teil 4: TOMs nach Art. 32
6. Teil 5: Die erste Verarbeitungstätigkeit
7. Teil 6: Verzeichnis mit KI und Team füllen
8. Teil 7: Prüfen, freigeben, vorlegen
9. Teil 8: Informationspflichten nach Art. 13 und 14
10. Teil 9: Veröffentlichen
11. Teil 10: Fehlende AV-Verträge erkennen
12. Teil 11: AV-Vertrag erstellen und unterzeichnen
13. Teil 12: Schutzbedarf ermitteln
14. Teil 13: Löschkonzept und Löschklassen
15. Teil 14: Löschregeln und Durchführer
16. Teil 15: DSFA: Kontext und Risiken
17. Teil 16: DSFA: Maßnahmen und Bericht
18. Teil 17: Drittlandtransfer prüfen
19. Teil 18: Gemeinsame Verantwortlichkeit
20. Teil 19: Kaltenbach als Auftragsverarbeiter (dieser Artikel)
21. Teil 20: Betroffenenanfrage bearbeiten
22. Teil 21: Vorfall erfassen und melden
23. Teil 22: Aus einem Vorfall lernen
24. Teil 23: Einwilligungen einholen
25. Teil 24: Datenschutzschulung durchführen
26. Teil 25: Cookie-Banner und Datenschutzerklärung
27. Teil 26: Wiedervorlagen, Aufgaben, Workflows
28. Teil 27: Anfrage der Aufsichtsbehörde