Externe Dienstleister datenschutzkonform einsetzen.
Cloud-Software, KI-Tools, Callcenter oder Lohnabrechnung: Wir prüfen, was Sie für einen datenschutzkonformen Einsatz brauchen.
Der richtige Rahmen für jeden Dienstleister.
Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Liegen die Daten außerhalb der EU bzw. des EWR oder hat der Anbieter Zugriff aus einem Drittland, kommen die Anforderungen an Drittlandtransfers hinzu (Art. 44 ff. DSGVO).
Wir prüfen Ihre Dienstleister auf die datenschutzrechtlichen Mindestanforderungen, etwa Angemessenheitsbeschluss wie das EU-US Data Privacy Framework oder Standardvertragsklauseln mit Transfer Impact Assessment, und dokumentieren den Handlungsbedarf.
Leistungsumfang
- Einordnung: Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder eigene Verantwortung
- Prüfung von Dienstleisterverträgen auf die datenschutzrechtlichen Mindestinhalte nach Art. 28 DSGVO
- Prüfung von Drittlandtransfers und geeigneten Garantien
- Transfer Impact Assessments für Übermittlungen in Drittländer
- Datenschutzprüfung neuer Software und KI-Tools vor der Einführung
- Einordnung von Konstellationen gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO
- Aufbau eines Dienstleister-Registers
Für Unternehmen mit vielen Dienstleistern.
- Unternehmen, die Cloud-Dienste US-amerikanischer Anbieter nutzen
- Unternehmen, die KI-Tools wie Chatbots oder Übersetzungsdienste einführen
- Unternehmen mit Konzerngesellschaften oder Dienstleistern außerhalb der EU
- Unternehmen, die selbst als Auftragsverarbeiter für Kunden tätig sind
Reicht der AV-Vertrag des Anbieters?
Häufig ja, aber nicht immer. Entscheidend ist, ob die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO enthalten sind und ob Unterauftragnehmer und Drittlandtransfers geregelt sind. Wir zeigen Ihnen, wo Handlungsbedarf besteht.
Dürfen wir US-Anbieter noch nutzen?
Ja, wenn eine tragfähige Grundlage besteht. Ist der Anbieter unter dem EU-US Data Privacy Framework zertifiziert, kann der Angemessenheitsbeschluss genügen. Andernfalls sind Standardvertragsklauseln und ein Transfer Impact Assessment erforderlich.
Was müssen wir bei KI-Tools beachten?
Entscheidend sind unter anderem: welche Daten eingegeben werden, ob der Anbieter Eingaben für eigene Zwecke nutzt, wo die Daten verarbeitet werden und ob ein AV-Vertrag vorliegt.
Neues Tool geplant?
Schreiben Sie uns, welchen Dienst Sie einsetzen möchten. Wir sagen Ihnen, was Sie dafür brauchen.