Eine Mitteilung über neue Unterauftragsverarbeiter ist eine konkrete Änderung am Verarbeitungsweg. Sie sollte nicht ungelesen in einer allgemeinen Einkaufsschublade landen. Der Verantwortliche muss verstehen können, welche Stelle künftig welche Daten verarbeitet, warum sie benötigt wird und welche Auswirkungen die Änderung hat. Diese Prüfliste unterstützt die Bewertung einer Mitteilung und die anschließende Entscheidung im laufenden Vertragsverhältnis.
Artikel 28 Absatz 2 DSGVO unterscheidet zwischen vorheriger gesonderter und allgemeiner schriftlicher Genehmigung. Bei allgemeiner Genehmigung informiert der Auftragsverarbeiter über beabsichtigte Änderungen durch Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter und ermöglicht Einwände. Absatz 4 regelt die Weitergabe entsprechender Datenschutzpflichten. Das BfDI-Vertragsmuster bietet eine praktische Struktur; seine vertraglichen Beispielbedingungen sind keine universellen gesetzlichen Fristen.
Zuerst die vereinbarte Genehmigung prüfen
Öffnen Sie den tatsächlich geltenden Vertrag einschließlich Anlagen. Steht dort eine gesonderte Genehmigung oder eine allgemeine Genehmigung mit Änderungsverfahren? Welche Informationen müssen geliefert werden, über welchen Kanal und mit welchen vertraglichen Reaktionsmöglichkeiten? Ein früherer Vertragsentwurf kann andere Bedingungen enthalten als die unterzeichnete Fassung. Die Prüfung beginnt deshalb mit der eindeutigen Vertragsversion.
Die DSGVO nennt für jede solche Mitteilung nicht pauschal dieselbe Anzahl an Tagen. Verwechseln Sie einen im Muster oder Vertrag vereinbarten Zeitraum nicht mit einer allgemeinen gesetzlichen Frist. Entscheidend ist unter anderem, dass das vorgesehene Verfahren die notwendigen Informationen und die Möglichkeit zum Einwand wirksam ermöglicht. Eine Mitteilung nach bereits erfolgter Änderung wirft andere Fragen auf als eine rechtzeitige Vorabinformation.
Prüfschema für die eingegangene Änderung
| Prüffeld | Konkrete Frage an den Dienstleister |
|---|---|
| Identität | Welche juristische Person kommt hinzu oder wird ersetzt? |
| Leistung | Welche Verarbeitung übernimmt diese Stelle tatsächlich? |
| Daten | Welche Kategorien und Kundengruppen sind betroffen? |
| Zugriff | Kann sie Inhalte lesen oder nur begrenzte technische Daten sehen? |
| Standorte | Wo erfolgen Speicherung, Support und sonstiger Zugriff? |
| Schutzmaßnahmen | Welche Maßnahmen gelten für diesen Verarbeitungsschritt? |
| Vertragskette | Wie werden die einschlägigen Pflichten weitergegeben? |
| Drittland | Entsteht oder verändert sich eine Übermittlung und ihr Mechanismus? |
| Zeitpunkt | Wann ist die Änderung beabsichtigt und welche Reaktion ist möglich? |
| Alternative | Welche Lösung besteht bei einem begründeten Einwand? |
Die Antworten müssen den konkreten Dienst abdecken. Ein Konzernname oder eine Liste aller weltweit eingesetzten Partner erklärt nicht zwingend, welche Stelle Ihre Daten erhält. Fordern Sie die fehlenden Angaben gezielt an. Ein kurzer, präziser Rückfragekatalog ist oft wirksamer als ein umfangreicher Fragebogen ohne Bezug zur angekündigten Änderung.
Auswirkungen anhand der tatsächlichen Daten bewerten
Prüfen Sie zunächst, ob Ihre gebuchte Leistung überhaupt betroffen ist. Manche Änderungen gelten nur für optionale Module oder bestimmte Regionen. Halten Sie eine belastbare Erklärung fest, wenn keine eigenen Daten erfasst werden. Eine solche dokumentierte Abgrenzung ist etwas anderes als die Annahme, dass der Anbieter die Relevanz schon selbst geprüft haben wird.
Ist die Leistung betroffen, vergleichen Sie den bisherigen und den neuen Zustand. Relevant können weitergehende Leserechte, zusätzliche Kopien, eine andere Supportregion oder eine längere technische Aufbewahrung sein. Nicht jede neue Stelle erhöht automatisch das Risiko, aber eine bekannte Marke ersetzt die Analyse nicht. Maßstab bleiben die konkrete Verarbeitung und die notwendigen Garantien.
Hypothetisches Beispiel eines Supports in einer neuen Region
Ein fiktiver Anbieter einer Kundensupport-Anwendung kündigt eine neue juristische Person für technische Hilfestellung an. Die Hauptdatenbank bleibt im EWR. Der Verantwortliche fragt nach, ob die neue Stelle im Support auf Anhänge zugreifen kann. Die Antwort zeigt, dass ein Zugriff auf vollständige Dokumente möglich wäre und nicht nur auf anonyme Fehlermeldungen.
Der Verantwortliche prüft den Übermittlungsweg und den dazu vorgesehenen Mechanismus. Zusätzlich klärt er, ob ein zeitlich begrenzter, freigegebener Zugriff und eine Beschränkung auf technische Daten den erforderlichen Support ermöglichen. Das Beispiel besagt nicht, dass eine bestimmte Region generell zulässig oder unzulässig ist. Es zeigt, welche Tatsachen für die eigene Entscheidung fehlen können.
Nach der Bewertung wird ein begrenzter Einsatz mit konkreten Voraussetzungen dokumentiert oder ein begründeter Einwand erhoben. Der operative Administrator erhält die entsprechenden Einstellungen. Ohne diesen letzten Schritt könnte die Anwendung weiterhin weitergehende Rechte gewähren als in der Entscheidung vorgesehen. Vertragliche Bewertung und technische Umsetzung müssen deshalb zusammengeführt werden.
Drittlandübermittlung getrennt von Artikel 28 prüfen
Eine Genehmigung für Unterauftragsverarbeitung ist kein eigenständiger Übermittlungsmechanismus nach Kapitel V DSGVO. Wenn personenbezogene Daten einer weiteren Stelle in einem Drittland zugänglich werden, prüfen Sie die einschlägigen Voraussetzungen, Rollen und Garantien. Der europäische Standort des Hauptservers beantwortet diese Frage nicht allein. Auch Support und weitere Verarbeitungsschritte können relevant sein.
Falls Standardvertragsklauseln verwendet werden, müssen Modul, Parteien, Anlagen und tatsächlicher Ablauf zusammenpassen. Prüfen Sie die relevanten Umstände und gegebenenfalls ergänzende Maßnahmen. Eine allgemeine Erklärung über Verschlüsselung reicht nicht, wenn der neue Empfänger die Inhalte im normalen Betrieb entschlüsseln kann. Der Zugriff und die wirksame Schutzwirkung müssen nachvollziehbar beschrieben werden.
Einen Einwand sachlich formulieren
Ein Einwand sollte die betroffene Änderung, den fehlenden Nachweis oder das konkrete Risiko benennen. Beispielsweise fehlt die Beschreibung des Datenzugriffs oder der vorgesehene Übermittlungsmechanismus passt nicht zum angekündigten Empfänger. Fordern Sie eine konkrete Klärung oder geeignete Alternative. Ein unbegründetes Nein erleichtert die Lösung ebenso wenig wie eine automatische Zustimmung ohne Prüfung.
Prüfen Sie die vertraglichen Folgen und Handlungsmöglichkeiten. Kann das Modul deaktiviert werden, gibt es eine andere Region oder muss die Dienstleistung eingeschränkt beziehungsweise beendet werden? Die Möglichkeit, Einwände zu erheben, bedeutet nicht automatisch einen Anspruch auf jede gewünschte technische Sonderlösung. Der Verantwortliche muss aber entscheiden können, wie er seine Pflichten bei der tatsächlichen Änderung erfüllt.
Entscheidung und offene Bedingungen dokumentieren
Die Entscheidung enthält die geprüfte Vertragsfassung, die Änderungsmitteilung, ergänzende Antworten und den genehmigten Umfang. Unterscheiden Sie Zustimmung, Einwand, fehlende Informationen und eine nachvollziehbar nicht betroffene Leistung. Ein Status gelesen ist kein inhaltlicher Abschluss. Benennen Sie die entscheidungsbefugte Rolle und den Verantwortlichen für etwaige technische Bedingungen.
Offene Bedingungen brauchen ein überprüfbares Ergebnis. Wenn die Freigabe voraussetzt, dass nur pseudonymisierte Daten übertragen werden, muss klar sein, wie diese Bedingung umgesetzt und bewertet wird. Eine geplante Funktion ist noch keine wirksame Maßnahme. Bis zur Klärung darf die dokumentierte Entscheidung nicht so dargestellt werden, als decke sie den uneingeschränkten neuen Ablauf bereits ab.
Informationswege und Vertretung organisieren
Leiten Sie relevante Mitteilungen an eine betreute Funktion weiter, nicht nur an die Person, die ursprünglich den Vertrag abgeschlossen hat. Einkauf, Fachbereich, IT und Datenschutz benötigen unterschiedliche Teile der Information. Legen Sie fest, wer die rechtliche Bewertung koordiniert und wer technische Fakten beschafft. Eine Urlaubsvertretung verhindert, dass vereinbarte Reaktionsmöglichkeiten unbemerkt verstreichen.
Prüfen Sie, ob der Anbieter Änderungen über E-Mail, Portal oder eine Liste mit Versionshistorie ankündigt. Bewahren Sie die tatsächlich erhaltene Fassung auf. Eine später überschrieben veröffentlichte Liste erklärt möglicherweise nicht mehr, welche Änderung angekündigt war. Die Dokumentation soll die konkrete Entscheidung nachvollziehbar machen und nicht nur den aktuellen Endzustand zeigen.
Nachkontrolle und Aktualisierung der Unterlagen
Vergleichen Sie nach Umsetzung die tatsächlichen Einstellungen mit der Entscheidung. Kontrollieren Sie betroffene Zugänge und gegebenenfalls den deaktivierten alten Verarbeitungsschritt. Ein ersetzter Dienstleister kann noch Kopien oder Berechtigungen besitzen; die Änderung betrifft deshalb auch das Ende der bisherigen Verarbeitung. Verlangen Sie angemessene Informationen über Rückgabe und Löschung, soweit sie für den Ablauf notwendig sind.
Aktualisieren Sie Verarbeitungsverzeichnis, Lieferantenunterlagen und relevante Informationen für betroffene Personen. Prüfen Sie, ob die Änderung Auswirkungen auf eine bestehende Datenschutz-Folgenabschätzung hat. Bewahren Sie die bisherige Bewertung als Geschichte, behandeln Sie sie aber nicht als unbegrenzte Freigabe für weitere Änderungen. Jede neue Mitteilung wird anhand ihres eigenen Umfangs und der vorhandenen Tatsachen eingeordnet.
Weiterführende Arbeitsunterlagen
- Pflichten der Auftragsverarbeitung: ordnen Sie Rollen und Verantwortung für die Leistung ein.
- AVV und Vertragsanlagen: prüfen Sie die tatsächlich vereinbarte Genehmigung und Information.
- Standardvertragsklauseln: bewerten Sie einen neuen Übermittlungsweg eigenständig.
- Verarbeitungsverzeichnis: aktualisieren Sie Empfänger und relevante Verarbeitungsschritte.
- Vorlage für die Folgenabschätzung: prüfen Sie die Auswirkungen wesentlicher Änderungen auf bestehende Risiken.