Auftragsverarbeiter und Subunternehmer: Auditkette und Weisungsnachweis sichern

Ein Auftragsverarbeiter darf Subunternehmer für einzelne Verarbeitungsschritte einsetzen, muss deren Einbindung aber in einer belastbaren Kontrollkette organisieren. Für den Verantwortlichen müssen Leistungsumfang, Datenzugriff, Weisungen, Schutzmaßnahmen und Auditnachweise so zusammenpassen, dass die Verarbeitung bis zum letzten Dienstleister nachvollziehbar bleibt.

Im Mittelpunkt steht die Prüfung vor und während der Beauftragung. Art. 28 DSGVO verlangt geeignete Garantien, dokumentierte Weisungen, weitergeltende Datenschutzpflichten und Nachweise über deren Einhaltung. Dieser Beitrag behandelt die Auditkette und den Weisungsnachweis. Die vorgelagerte Rollenfrage bei SaaS-Verträgen sowie die Reaktion auf eine bereits eingetretene Datenpanne bleiben eigene Themen.

Die Prüfung beginnt mit einer konkreten Beschreibung. Zu erfassen sind die Aufgabe des Subunternehmers, die betroffenen Systeme, die Datenarten, die Kategorien betroffener Personen, der Standort und der geplante Zugriff. Auch Support, Fernwartung, Backups und Notfallwiederherstellung gehören in den Datenfluss, wenn der Dienstleister dabei personenbezogene Daten erreichen kann.

Art. 28 Abs. 3 DSGVO verlangt Angaben zu Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten und betroffenen Personengruppen. Diese Angaben müssen sich in der Kette wiederfinden. Eine bloße Firmenliste zeigt noch nicht, welcher Dienstleister welchen Teil der Verarbeitung übernimmt.

Vor der Inanspruchnahme eines weiteren Auftragsverarbeiters braucht der erste Auftragsverarbeiter eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen. Bei einer allgemeinen Genehmigung muss er über geplante Änderungen informieren und dem Verantwortlichen die Möglichkeit zum Widerspruch geben. Die Genehmigung und die dazugehörigen Unterlagen sollten in der Prüfakte auffindbar bleiben. Schriftform kann auch elektronisch erfüllt werden.

Die Schwerpunktseite zu Auftragsverarbeitung und Dienstleistern erklärt den organisatorischen Rahmen. Die hier erforderliche Prüfung setzt eine bereits eingeordnete Auftragsverarbeitung voraus und konzentriert sich auf den nachgelagerten Dienstleister.

Der erste Auftragsverarbeiter darf einen Subunternehmer auswählen, muss dessen Eignung für die konkrete Verarbeitung aber nachvollziehbar prüfen. Art. 28 Abs. 1 DSGVO verlangt hinreichende Garantien für geeignete technische und organisatorische Maßnahmen und für die Einhaltung der Verordnung. Maßgeblich sind daher Aufgabe, Daten, Zugriff und Risiko des einzelnen Verarbeitungsschritts.

In die Prüfakte gehören zum Beispiel Angaben zu Berechtigungen, Verschlüsselung, Protokollierung, Trennung von Umgebungen, Wiederherstellung, Löschung und Sicherheitsorganisation. Zertifikate oder Selbstauskünfte können die Prüfung unterstützen. Ihre Aussagekraft hängt davon ab, ob Geltungsbereich, Zeitraum und tatsächliche Leistung des Subunternehmers erfasst sind.

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Die Prüfung verbindet deshalb den Nachweis des Dienstleisters mit dem tatsächlichen Datenfluss. Bei besonderen Daten, weitreichenden Administrationsrechten oder mehreren Kettengliedern braucht die Dokumentation eine entsprechend genaue Begründung.

Nach Art. 28 Abs. 3 lit. a DSGVO verarbeitet der Auftragsverarbeiter personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verarbeitungspflicht besteht. Diese Bindung muss der erste Auftragsverarbeiter an den Subunternehmer weitergeben. Der Untervertrag sollte deshalb Zweck, Datenumfang, zulässige Vorgänge, Zugriffskreis und Lösch- oder Rückgaberegeln verständlich abbilden.

Art. 32 Abs. 4 DSGVO ergänzt diese Kette für natürliche Personen mit Datenzugriff. Sie dürfen Daten nur auf Anweisung verarbeiten, sofern keine gesetzliche Pflicht entgegensteht. Praktisch braucht es daher einen nachweisbaren Weg von der Weisung über die Verantwortlichen des Auftragsverarbeiters bis zu den zugriffsberechtigten Personen.

Prüfen Sie auch, wie neue Weisungen erteilt, bestätigt und technisch umgesetzt werden. Ein Ticket, eine freigegebene Anweisung oder eine versionierte Anlage kann den Nachweis tragen, wenn Inhalt, Absender, Empfänger, Zeitpunkt und betroffener Verarbeitungsschritt erkennbar bleiben. Interne Produktbezeichnungen ersetzen diese Angaben nicht.

Art. 28 Abs. 3 lit. h DSGVO verpflichtet den Auftragsverarbeiter, alle erforderlichen Informationen zum Nachweis der Pflichten bereitzustellen und Überprüfungen einschließlich Inspektionen zu ermöglichen und zu unterstützen. Die Prüfung sollte daher schon im Vertrag an die konkrete Leistung, die verfügbaren Nachweise und das Risiko anknüpfen.

Eine belastbare Auditakte kann Vertragsanlage, Leistungsbeschreibung, aktuelle Unterauftragnehmerliste, Sicherheitsnachweise, Weisungsprotokolle, Prüfberichte und offene Maßnahmen verbinden. Für jede Feststellung sollte erkennbar sein, wer sie bewertet, welche Abhilfe vereinbart wurde und ob die Umsetzung später kontrolliert wurde.

Die DSGVO schreibt für diese Kontrolle keine allgemeine starre Auditfrequenz vor. Häufigkeit und Tiefe richten sich nach Verarbeitung, Risiko, Änderungen und bisherigen Feststellungen. Die Checkliste für Auftragsverarbeiter unterstützt bei der Ordnung der Unterlagen. Sie ersetzt die risikobezogene Entscheidung über Umfang und Anlass einer Prüfung nicht.

Art. 28 Abs. 4 DSGVO verlangt, dass dem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden, die im Vertrag zwischen Verantwortlichem und erstem Auftragsverarbeiter festgelegt sind. Das betrifft je nach Verarbeitung Weisungen, Vertraulichkeit, Sicherheit, Unterstützung, Nachweise sowie Rückgabe oder Löschung.

Die Weitergabe muss praktisch überprüfbar sein. Vergleichen Sie Hauptvertrag und Untervertrag und markieren Sie Abweichungen bei Zugriff, Unterbeauftragung, Vorfallmeldung, Unterstützung bei Betroffenenrechten und Beendigung. Der erste Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters verantwortlich.

Diese Verantwortung ersetzt keine Prüfung des konkreten Sachverhalts. Sie klärt, wo Nachweise eingeholt und Maßnahmen nachgehalten werden müssen. Die Rollenprüfung bei SaaS-Verträgen ist vorgelagert. Sie hilft zu bestimmen, ob und in welchem Umfang Art. 28 auf den Hauptdienstleister angewendet wird.

Die Prüfung endet nicht mit der Unterzeichnung des Untervertrags. Neue Systeme, weitere Zugriffe, veränderte Standorte, geänderte Löschabläufe oder ein Wechsel der Leistung können die ursprüngliche Bewertung verändern. Definieren Sie deshalb Signale, bei denen Leistungsbeschreibung, Weisungen, Schutzmaßnahmen und Auditnachweise erneut verglichen werden.

Art. 28 Abs. 2 DSGVO betrifft die Information über geplante Änderungen bei weiteren Auftragsverarbeitern und die Möglichkeit zum Widerspruch. Der konkrete Austausch eines bereits eingesetzten Dienstleisters ist im Beitrag zur Vorabinformation und Reaktionsfrist gesondert beschrieben. Hier steht die laufende Kontroll- und Nachweiskette im Vordergrund.

Bei einem Sicherheitsvorfall kommt ein eigener Melde- und Aufklärungsprozess hinzu. Die Prüfung einer Datenpanne beim Auftragsverarbeiter behandelt die unverzügliche Information des Verantwortlichen und die gemeinsame Bewertung. Auditnachweise können diese Aufklärung unterstützen, ersetzen aber nicht die Vorfallprüfung.

Verarbeitung: Halten Sie Aufgabe, Datenarten, Personengruppen, Systeme, Standorte und Zugriff des Subunternehmers fest.

Weisung: Ordnen Sie dokumentierte Weisungen, zulässige Zwecke, Zugriffskreis, Vertraulichkeit und Lösch- oder Rückgaberegeln dem Verarbeitungsschritt zu.

Schutz: Bewerten Sie technische und organisatorische Maßnahmen anhand des Risikos und der tatsächlichen Leistung. Legen Sie offene Nachweise mit Verantwortlichkeit und Frist ab.

Audit: Vereinbaren Sie Informationsrechte, Prüfungsanlass, Ansprechpartner, Bericht, Abhilfemaßnahmen und Nachkontrolle. Die DSGVO gibt dafür keine allgemeine Einheitsfrist vor.

Kette: Vergleichen Sie Haupt- und Untervertrag. Prüfen Sie bei Änderungen, ob Datenfluss, Weisungen, Schutzmaßnahmen und Nachweise noch zusammenpassen.

Wir prüfen Verarbeitungsschritt, Datenfluss, Weisungen, Schutzmaßnahmen, Untervertrag, Auditnachweise und offene Maßnahmen gemeinsam. Für eine erste Einordnung helfen der Auftragsverarbeitungsvertrag, die aktuelle Dienstleisterliste, die Leistungsbeschreibung, vorhandene Weisungsprotokolle und die Sicherheitsunterlagen des Subunternehmers. So wird sichtbar, welche Nachweise vor der Freigabe noch fehlen und wie die laufende Kontrolle organisiert werden kann.