Beantworten Sie einen DSGVO-Fragebogen, bevor er Sie bindet

Der DSGVO-Fragebogen eines Kunden liest sich wie ein Sicherheitsformular, doch seine Antworten fließen in den Vertrag ein, der regelt, wie Sie die personenbezogenen Daten des Kunden verarbeiten. Nach der Datenschutz-Grundverordnung (DSGVO) der EU darf ein Kunde als Verantwortlicher nur mit einem Auftragsverarbeiter arbeiten, der hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet, und mit dem Fragebogen prüft er, ob Sie diese bieten. Beantworten Sie jede wiederkehrende Frage aus einem einzigen datierten Nachweisbestand mit klarer Zuständigkeit, ordnen Sie die Antwort der Vertragsbestimmung zu, in die sie eingehen wird, und sorgen Sie dafür, dass hinter jeder Zusage, die Sie unterschreiben, ein Nachweis steht.

Wo ein DSGVO-Fragebogen an den Schnittstellen Ihrer Teams scheitert

Die meisten DSGVO-Lieferantenfragebögen wirken vertraut, deshalb liegt es nahe, sie wie jeden anderen Security-Questionnaire weiterzuleiten. Sie scheitern, wenn Antworten, die Informationssicherheit, Rechtsabteilung und Datenschutzbeauftragter (DSB) jeweils aus eigenen Quellen formulieren, zu Vertragsbestimmungen werden, ohne dass aktuelle Nachweise dahinterstehen.

Angenommen, ein Kunde verlängert Ihren gehosteten Lohnabrechnungsdienst und schickt Ihnen seinen Datenschutzfragebogen als Tabelle. Sie teilen ihn auf drei Stellen auf. Die Informationssicherheit beantwortet die Fragen zu den Maßnahmen mit Verweis auf das ISO 27001-Zertifikat der Unternehmensgruppe. Die Rechtsabteilung beantwortet die Frage zur Meldung von Datenschutzverletzungen mit einer Formulierung aus dem Vertrag eines anderen Kunden. Der DSB beschreibt die Verarbeitungsorte anhand der Datenschutzerklärung, und das Tabellenblatt zu den Unterauftragsverarbeitern übernimmt die Liste, die bei der letzten Verlängerung verschickt wurde.

Jede Antwort liest sich für sich genommen gut. Zusammen legen sie Sie jedoch auf einen Geltungsbereich des Zertifikats, eine Meldefrist, eine Reihe von Verarbeitungsorten und eine Liste von Unterauftragsverarbeitern fest, die niemand mit dem Dienst abgeglichen hat, wie er heute läuft. Sobald die Rechtsabteilung des Kunden diese Antworten in den Vertrag übernimmt, liegt die Lücke bei Ihnen, und als Bid-Manager stehen Sie für das ein, was die Response zugesagt hat.

Nach der Stellungnahme 22/2024 des Europäischen Datenschutzausschusses (EDSA) zu Auftragsverarbeitern können Vertragsklauseln allein nicht belegen, dass die Garantien dahinter tatsächlich bestehen.

Ordnen Sie jede Frage der Vertragsbestimmung zu, in die ihre Antwort eingeht

Bevor jemand mit dem Schreiben beginnt, ordnen Sie jeder Frage die Bestimmung des Auftragsverarbeitungsvertrags zu, in die ihre Antwort eingehen wird, denn diese Bestimmung entscheidet, wer die Antwort freigibt. Der Auftragsverarbeitungsvertrag (AVV) ist der verbindliche Vertrag, den Artikel 28 DSGVO zwischen dem Kunden und Ihnen als Auftragsverarbeiter vorschreibt. Er legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Rechte und Pflichten des Kunden fest. Die Fragen, die ein DSGVO-Lieferantenfragebogen immer wieder stellt, lassen sich diesen Bestimmungen zuordnen.

Eine Antwort, die Sie zum Handeln verpflichtet (melden, löschen, genehmigen, Ihre Systeme für ein Audit öffnen), geht an die Rechtsabteilung, bevor sie an den Kunden geht. Jede davon ist eine Zusage, die der Kunde in den AVV aufnehmen kann.

Fragen, die mehr verlangen, als der Dienst braucht

Beantworten Sie die Fragen für den Dienst im Angebot, und sagen Sie klar, wo eine Frage über das hinausgeht, was er verarbeitet. Nach der Stellungnahme des EDSA hängt der Umfang der Prüfung durch den Kunden von den jeweiligen technischen und organisatorischen Maßnahmen ab, die sich wiederum aus dem Risiko der Verarbeitung ergeben. Eine eingegrenzte Antwort passt also zu dem, was der Kunde prüfen muss. Fragt der Fragebogen nach Daten, die der Dienst nie erhält, schreiben Sie, dass er diese Daten nicht verarbeitet, beschreiben Sie, was er verarbeitet, und bieten Sie die Nachweise an, die das abdecken. Ein „Ja“ anzukreuzen, damit das Formular sauber aussieht, ist riskanter, denn dieses Ja kann zur Vertragsbestimmung werden.

Beschreiben Sie die Daten und wo sie verarbeitet werden

Beschreiben Sie die personenbezogenen Daten und jeden Verarbeitungsort so, wie der Dienst tatsächlich läuft, denn der AVV verpflichtet Sie, nur auf dokumentierte Weisung des Kunden zu verarbeiten, auch bei Übermittlungen in ein Drittland. Eine Antwort, die weniger Orte nennt, als Sie nutzen, legt Weisungen fest, gegen die der Dienst schon heute verstößt.

Im Lohnabrechnungsbeispiel nannte die Datenschutzerklärung die Hosting-Region, aber nicht, wo das Support-Team Datensätze öffnet oder wo die Backups liegen. Bauen Sie die Antwort stattdessen auf dem Dienst selbst auf: Nennen Sie die Kategorien personenbezogener Daten und betroffener Personen, die Systeme, in denen die Daten liegen, und jeden Ort, an dem sie gespeichert werden oder von dem aus auf sie zugegriffen wird. Liegt einer dieser Orte in einem Drittland, sagen Sie das und verweisen Sie auf die Übermittlungsbedingungen, die der Kunde per Weisung vorgeben wird, statt ihn das später selbst herausfinden zu lassen.

Dieselbe Beschreibung fließt in die Datenschutz-Folgenabschätzung des Kunden ein, also in seine eigene Bewertung der Risiken, die die Verarbeitung für die betroffenen Personen birgt. Die DSGVO verpflichtet den Auftragsverarbeiter unter anderem, den Kunden bei dieser Abschätzung zu unterstützen. Liefern Sie daher Angaben, mit denen der Kunde arbeiten kann, keine Zusammenfassung Ihrer Datenschutzerklärung.

Beantworten Sie Sicherheitsfragen im Geltungsbereich des Zertifikats

Ein Zertifikat oder Bericht gilt nur für seinen Geltungsbereich. Prüfen Sie, ob der Dienst im Angebot darunter fällt, bevor Sie sich darauf berufen, und beantworten Sie jede Lücke schriftlich.

Was ein ISO 27001-Zertifikat abdeckt

Für eine Zertifizierung nach ISO/IEC 27001 muss eine Organisation den Geltungsbereich ihres Informationssicherheitsmanagementsystems festlegen, wie die National Standards Authority of Ireland erläutert. Lesen Sie die Beschreibung des Geltungsbereichs, bevor Sie das Zertifikat anführen, und prüfen Sie, ob sie den Dienst, die Systeme und die Teams abdeckt, die mit den Daten des Kunden arbeiten. Im Lohnabrechnungsbeispiel beantwortet ein auf den Hosting-Betrieb beschränktes Gruppenzertifikat die Infrastrukturfragen, während die Zugriffskontrollen der Anwendung eine schriftliche Antwort brauchen.

Was ein SOC 2-Bericht abdeckt

Eine SOC 2-Prüfung kann laut AICPA Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz abdecken, und der Bericht gibt an, welche dieser Kategorien zu seinem Geltungsbereich gehören. Prüfen Sie diese Kategorien und das System, das der Bericht beschreibt. Ein reiner Sicherheitsbericht behandelt keine Datenschutzkriterien. Die Datenschutzfragen brauchen also weiterhin eigene Antworten.

Bezeichnen Sie keines von beiden als DSGVO-Zertifizierung. Führen Sie beide jeweils für das an, was sie abdecken, und beantworten Sie die Fragen, die offenbleiben, damit Ihre Antworten der Prüfung durch den Kunden standhalten.

Benennen Sie jeden Unterauftragsverarbeiter und halten Sie die Liste aktuell

Nach der DSGVO darf ein Auftragsverarbeiter keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Kunden in Anspruch nehmen. Mit jedem Unterauftragsverarbeiter auf Ihrer Liste bitten Sie den Kunden um seine Genehmigung. Deshalb muss die Liste vollständig sein, wenn Sie sie versenden.

Die Stellungnahme des EDSA geht weiter. Sie erwartet, dass der Auftragsverarbeiter proaktiv Name, Anschrift und Ansprechperson jedes Unterauftragsverarbeiters mitteilt, mit einer Beschreibung der Verarbeitung, die jeder von ihnen durchführt, und diese Angaben jederzeit aktuell hält. Damit wird die Liste zu einem gepflegten Nachweis statt zu einem Tabellenblatt, das Sie jedes Mal weiterkopieren.

Geben Sie der Liste eine zuständige Person, die sie aktualisiert, sobald ein Dienstleister hinzukommt, andere Daten verarbeitet oder den Verarbeitungsort wechselt. Im Lohnabrechnungsbeispiel fehlte im kopierten Tabellenblatt ein Support-Dienstleister, der seit der letzten Verlängerung hinzugekommen war, und Sie haften weiterhin dafür, dass dieser Dienstleister seine Pflichten erfüllt. Eine einmal veröffentlichte Liste kann wiederholte Antworten ersparen, sofern die zuständige Person sie aktuell hält. Das ist die Abwägung hinter der Frage, ob ein veröffentlichtes Trust Center einen Fragebogen ersetzen kann.

Sagen Sie die Meldung von Datenschutzverletzungen zu, die der Vertrag festlegt

Die DSGVO verpflichtet den Auftragsverarbeiter, dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich zu melden, sobald sie ihm bekannt wird, und nennt dafür keine Stundenzahl. Jede Stundenangabe im Fragebogen stammt aus dem AVV des Kunden oder aus dem AVV, den er Sie unterschreiben lassen will.

Das ändert, wie Sie antworten. Beschreiben Sie den Prozess, den Sie tatsächlich betreiben: wie ein Vorfall erkannt wird, wer entscheidet, ob personenbezogene Daten betroffen sind, wer den Kunden benachrichtigt und über welchen Kanal. Das kann der Kunde an seinen eigenen Anforderungen messen. Ein bloßes „Ja“ zu einer vorgegebenen Frist sagt ihm nichts darüber, wie Sie sie einhalten würden, und bindet Sie an eine Frist, für die Ihr Incident-Prozess womöglich nicht ausgelegt ist.

Im Lohnabrechnungsbeispiel sagte die von der Rechtsabteilung übernommene Formulierung die Frist eines anderen Kunden zu. Verlangt ein Fragebogen eine Zusage in Stunden, die Ihr Standard-AVV nicht festlegt, antworten Sie mit Ihrer bestehenden Zusage und reichen Sie die Anforderung als Vertragspunkt an die Rechtsabteilung weiter.

Halten Sie einen Nachweisbestand für alle Kunden aktuell

Die Pflicht des Kunden, mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien bieten, gilt fortlaufend, und nach der Stellungnahme des EDSA sollte er diese Garantien in angemessenen Abständen erneut kontrollieren. Deshalb kommen dieselben Fragen bei Verlängerungen und regelmäßigen Überprüfungen wieder, und deshalb müssen die Nachweise dahinter auch zwischen den Runden aktuell bleiben.

Beantworten Sie jeden DSGVO-Fragebogen aus einem Nachweisbestand pro Dienst. Er enthält die Beschreibung der Daten und Verarbeitungsorte, das ISO 27001-Zertifikat und den SOC 2-Bericht mit ihrem Geltungsbereich, die Liste der Unterauftragsverarbeiter, das Verfahren zur Meldung von Datenschutzverletzungen, das Verfahren zur Löschung und Rückgabe sowie Ihren Standard-AVV. Geben Sie jedem Nachweis eine zuständige Person, ein Prüfdatum und die AVV-Bestimmung, in die er eingeht, damit eine Änderung an einem Nachweis zeigt, welche Antworten sie betrifft.

Wiederverwendung heißt dann, die Fakten aus dem Nachweisbestand zu übernehmen und nur die Formulierung an das Format des jeweiligen Kunden anzupassen, ob Tabelle, Portalformular oder Word-Dokument. Antworten formatübergreifend wiederzuverwenden funktioniert nur, solange der Nachweis dahinter aktuell ist. Eine Antwort, die Sie aus der Datei des letzten Kunden kopieren, nimmt ihr Alter mit.

So bearbeitet SEQUESTO einen DSGVO-Fragebogen

Im agentic operating system (aOS) von SEQUESTO bleibt der Lohnabrechnungsfragebogen in der Tabelle des Kunden. Agent Force, die spezialisierten Agenten im aOS, zerlegt ihn in eine Fragenliste, und James, der die Arbeit orchestriert, entwirft jede Antwort aus dem Knowledge Hub. Jeder Nachweis dort führt seine zuständige Person, seinen Prüfzyklus und sein Ablaufdatum, und abgelaufenes Material, auch eine abgelaufene Liste der Unterauftragsverarbeiter, wird markiert, bevor es in einen Entwurf gelangt.

Informationssicherheit, Rechtsabteilung und DSB greifen jetzt auf eine Quellenbasis statt auf drei zurück. Jede Antwort nennt das Richtliniendokument und die Passage, aus der sie stammt, mit dem Quellenauszug daneben, und der SOC 2-Bericht lässt sich an die Antworten anhängen, die er stützt. Wo der Knowledge Hub nichts Passendes enthält, zeigt eine niedrige Konfidenzbewertung die Lücke, bevor jemand sie mit einem Versprechen füllt.

Jede Frage kann einen eigenen Reviewer und einen eigenen Freigabeverantwortlichen bekommen, sodass die Antworten zur Meldung von Datenschutzverletzungen, zu Unterauftragsverarbeitern und zur Löschung an die Rechtsabteilung gehen und die Antworten zu den Maßnahmen an die Informationssicherheit. Das Team sieht, was James entworfen hat, und übernimmt, ändert oder verwirft es. Der Bid-Manager gibt vor dem Export frei, der die ursprüngliche Struktur der Tabelle erhält, damit eine Person aus dem Team sie einreichen kann.

Wird eine Richtlinie aktualisiert, markiert das System jede Antwort, die auf ihr beruht, zur Prüfung, und jede Antwort behält die Richtlinienversion, aus der sie stammt. Jede Aktion wird mit handelnder Person, Zeitstempel und Element protokolliert, sodass das Team bei der nächsten Überprüfung durch den Kunden zeigen kann, welche Nachweise hinter jeder Antwort standen und wer sie freigegeben hat.

Checkliste für jeden DSGVO-Fragebogen

Führen Sie diese Prüfungen durch, bevor der Bid-Manager freigibt.

• Jede Frage ist der AVV-Bestimmung zugeordnet, in die ihre Antwort eingeht, und der Person, die sie freigibt.
• Fragen, die über den Dienst hinausgehen, sind für das beantwortet, was der Dienst verarbeitet, mit Begründung.
• Datenkategorien und Verarbeitungsorte entsprechen dem Dienst, wie er läuft, einschließlich Support-Zugriff und Backups.
• Jede Übermittlung in ein Drittland verweist auf die Übermittlungsbedingungen des Kunden.
• Jedes angeführte Zertifikat und jeder angeführte Bericht deckt den Dienst im Angebot ab, und jede Lücke hat eine schriftliche Antwort.
• Die Liste der Unterauftragsverarbeiter nennt für jeden Name, Anschrift, Ansprechperson und Verarbeitung, und die zuständige Person hat bestätigt, dass sie aktuell ist.
• Die Antwort zur Meldung von Datenschutzverletzungen stimmt mit dem AVV überein, den Sie unterschreiben werden, und nennt, wer den Kunden benachrichtigt.
• Jeder Nachweis hat eine zuständige Person und ein Prüfdatum, das nicht überschritten ist.
• Die Rechtsabteilung hat jede Antwort freigegeben, die Sie zum Handeln verpflichtet.