Die Fragen, in ihrer üblichen Reihenfolge
Rollen. Ob Sie für die Daten des Kunden als Auftragsverarbeiter oder als Verantwortlicher handeln und ob Sie einen Datenschutzbeauftragten oder einen benannten Datenschutzkontakt haben.
Der Auftragsverarbeitungsvertrag. Ob Sie einen haben, ob er Artikel 28 folgt und ob der Kunde seinen eigenen verwenden kann. Hängen Sie Ihren an. Prüfer vergleichen ihn mit ihrer Vorlage, Sie sollten also wissen, wo Ihrer abweicht und warum.
Unterauftragsverarbeiter. Wer sie sind, wo sie sitzen, was sie tun und wie der Kunde informiert wird, bevor Sie sie wechseln. Eine veröffentlichte Liste mit Ankündigungsfrist beantwortet diese Zeile für alle Kunden auf einmal.
Internationale Übermittlungen. Ob personenbezogene Daten die EU oder den EWR verlassen, in welche Länder und auf welcher Grundlage: Angemessenheitsbeschluss, Standardvertragsklauseln oder das EU-US-Rahmenwerk. Nennen Sie die Grundlage für jeden Auftragsverarbeiter außerhalb der EU, oder erklären Sie, dass es keinen gibt.
Sicherheit der Verarbeitung. Die technischen und organisatorischen Maßnahmen: Verschlüsselung, Zugriffskontrolle, Protokollierung, Backups, Schulung. Hier überschneidet sich der Fragebogen mit dem Sicherheitsfragebogen, und dieselben Antworten passen.
Aufbewahrung und Löschung. Wie lange Sie die Daten während des Vertrags behalten, was am Ende geschieht, wie die Löschung bestätigt wird und wie mit Backups umgegangen wird. Nennen Sie Zeiträume.
Meldung von Datenschutzverletzungen. Wie schnell Sie den Kunden über eine Verletzung des Schutzes personenbezogener Daten informieren und mit welchen Angaben; der Kunde hat 72 Stunden, um seine Aufsichtsbehörde zu informieren, und erwartet eine Zusage von Ihnen, die deutlich darunter liegt.
Betroffenenrechte. Wie Sie dem Kunden helfen, Anfragen auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit zu beantworten: der Ablauf und die Frist.
Verzeichnisse und Audits. Ob Sie ein Verzeichnis der Verarbeitungstätigkeiten führen, ob für den Dienst eine Datenschutz-Folgenabschätzung durchgeführt wurde und ob der Kunde Sie prüfen darf.
Als Auftragsverarbeiter antworten
Schreiben Sie die Datenschutzantworten einmal, mit Ihrer Rechtsberatung, falls Sie eine haben, und halten Sie sie als Einheit zusammen: Sie ändern sich selten und dürfen zwischen Kunden nicht auseinanderlaufen. Entscheidungsbedarf besteht bei der Meldefrist, dem Löschzeitraum und den Prüfungsbedingungen; klären Sie sie mit der Person, die Ihren AVV unterschreibt, damit Fragebogen und Vertrag dasselbe sagen.
In Responsemate
Die Datenschutzantworten liegen in der Wissensdatenbank wie jede andere freigegebene Antwort, mit AVV und Auftragsverarbeiterliste als Nachweise angehängt, mit Prüfdaten, und die Fragebogenzeilen werden daraus in den Worten des Kunden entworfen. Die eigenen Datenschutzantworten von Responsemate stehen auf der Sicherheitsseite, zugleich ein Beispiel für die Form, die ein Prüfer erwartet.
Häufige Fragen
Sind wir Auftragsverarbeiter oder Verantwortlicher?
Wenn Sie personenbezogene Daten im Auftrag Ihres Kunden und nach dessen Weisung verarbeiten, sind Sie für diese Daten Auftragsverarbeiter. Für Ihre eigenen Beschäftigten, Ihre Marketingkontakte und Ihre eigenen Kundendaten sind Sie Verantwortlicher. Die meisten SaaS-Anbieter sind beides, für unterschiedliche Daten, und der Fragebogen fragt nach der Rolle als Auftragsverarbeiter.
Brauchen wir einen Datenschutzbeauftragten?
Nur wenn das Gesetz für Ihre Art der Verarbeitung einen verlangt. Fragebögen fragen danach; „nein, nicht erforderlich, benannter Datenschutzkontakt ist X“ ist eine vollständige Antwort.