Lieferantenbedingungen überwachen und Änderungen dokumentieren

Die Nutzungsbedingungen, der AVV, die Liste der Unterauftragsverarbeiter, die Sicherheitsseite und das SLA eines Lieferanten sind die Zusagen, auf denen Ihre Compliance beruht. Alle sind Webseiten, die der Lieferant bearbeiten kann, und die meisten Standardbedingungen sagen das auch: „Wir können diese Bedingungen von Zeit zu Zeit aktualisieren; die weitere Nutzung gilt als Zustimmung.“ Niemand schreibt Ihnen, um Bescheid zu geben. Dieser Ratgeber zeigt, warum das wichtig ist, welche Änderungen wesentlich sind und wie Sie dokumentieren, dass Sie eine Änderung gesehen haben — damit die Fassung, auf die Sie sich verlassen haben, eine Tatsache ist, die Sie zeigen können, und keine Erinnerung.

Warum sich Bedingungen ohne Ankündigung ändern

Drei gewöhnliche Gründe. Der Lieferant nimmt einen Unterauftragsverarbeiter hinzu und aktualisiert die Liste, denn dafür ist die Liste da. Die Juristen überarbeiten den AVV nach einem Urteil oder nach neuen Standardvertragsklauseln. Eine Produktänderung kommt mit einem Absatz über die Nutzung von Kundeninhalten zur Verbesserung des Dienstes. Ob der Lieferant Sie informieren muss, hängt vom Dokument ab. Art. 28 Abs. 2 DSGVO verlangt eine Information über Änderungen bei Unterauftragsverarbeitern, bevor sie wirksam werden. Die Verordnung (EU) 2019/1150 zur Förderung von Fairness und Transparenz für gewerbliche Nutzer von Online-Vermittlungsdiensten verlangt in Art. 3 Abs. 2, dass Marktplätze und App-Stores gewerbliche Nutzer mindestens 15 Tage im Voraus über Änderungen ihrer Bedingungen informieren. Für alles andere — allgemeine Bedingungen, Sicherheitsseiten, SLAs — gilt als Ankündigung, was der Vertrag sagt, und Verträge, die Lieferanten schreiben, sagen dazu selten viel.

Warum es Ihr Problem ist

Nach der DSGVO verarbeitet der Auftragsverarbeiter auf Ihre dokumentierte Weisung (Art. 28 Abs. 3 Buchst. a); ein geänderter AVV ändert also, was Sie angewiesen haben. Ihr Verzeichnis nach Art. 30 muss die aktuellen Empfänger und Übermittlungen abbilden, nicht die des letzten Jahres. Nach Art. 5 Abs. 2 müssen Sie die Einhaltung nachweisen können, und Art. 24 Abs. 1 verlangt, dass Ihre Maßnahmen „erforderlichenfalls überprüft und aktualisiert“ werden. Ein Lieferant, der sein Hosting in ein anderes Land verlegt hat, hat eine Aktualisierung erforderlich gemacht, ob Sie es bemerkt haben oder nicht.

Nach der NIS-2-Richtlinie verlangt Art. 21 Abs. 2 Buchst. d der Richtlinie (EU) 2022/2555 von den Einrichtungen in ihrem Anwendungsbereich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“, und nach Art. 21 Abs. 3 berücksichtigen die Einrichtungen „die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter“. Die Sicherheitsseite eines Lieferanten ist Ihr Nachweis seiner Praxis; ändert sie sich, ändert sich auch Ihre Bewertung. Ihre Kunden, die in den Anwendungsbereich fallen, werden Sie dasselbe über Ihre Lieferanten fragen.

Nach dem Vertrag entscheidet die Fassung, die galt, als etwas schiefging, darüber, was der Lieferant Ihnen schuldet. Wurde die Haftungsobergrenze im März halbiert und geschah der Vorfall im Juni, wollen Sie zeigen können, was Sie akzeptiert haben, wann, und ob man Sie informiert hat.

Was als wesentliche Änderung zählt

Eine wesentliche Änderung verändert, was der Lieferant zusagt oder was mit Ihren Daten geschieht. An dieser Liste lohnt es sich, einen Unterschied zu prüfen:

• Unterauftragsverarbeiter hinzugefügt, entfernt oder in ein anderes Land verlegt; eine geänderte Ankündigungsfrist oder ein geändertes Einspruchsrecht.
• Datenstandort und Übermittlungen: eine neue Region, ein anderer Übermittlungsmechanismus, ein Unterauftragsverarbeiter außerhalb der EU und des EWR.
• Aufbewahrung und Löschung: eine längere Aufbewahrungsfrist; eine Löschzusage, aus der „gemäß unserer Richtlinie“ wird; Backups, die ausgenommen werden.
• Sicherheitszusagen: Verschlüsselung, MFA, Zertifizierungen, Penetrationstests, Protokollierung — alles, was entfernt oder abgeschwächt wird.
• Meldung von Verletzungen des Schutzes personenbezogener Daten: eine Frist, die länger wird oder verschwindet.
• KI und Trainingsdaten: ein neues Recht, Kundeninhalte für das Training von Modellen oder zur „Verbesserung des Dienstes“ zu nutzen.
• Kontrollrechte, Haftungsobergrenzen, Freistellungen, anwendbares Recht.
• SLA-Bedingungen: Verfügbarkeit, Gutschriften bei Nichteinhaltung, Wartungsfenster, Supportkanäle und -zeiten.
• Die juristische Person: eine Klausel zur Vertragsübertragung oder ein neuer Vertragspartner nach einer Übernahme.

Nicht wesentlich, aber festhaltenswert: eine neue Adresse, ein umbenanntes Produkt, eine neue Formatierung, ein korrigierter Tippfehler. Die Unterscheidung ist wichtig, weil ein Prüfprozess, der jede Bearbeitung als Alarm behandelt, innerhalb eines Monats abgeschaltet wird.

Wie Sie dokumentieren, dass Sie es gesehen haben

Als Nachweis taugen der Text vorher, der Text nachher, der Unterschied zwischen beiden und eine Notiz, wer ihn angesehen und was er entschieden hat. Pro Dokument:

1. Eine datierte Kopie der Fassung, auf die Sie sich verlassen haben. Die Zeile „zuletzt aktualisiert“ des Lieferanten ist seine Behauptung, nicht Ihr Nachweis.
2. Die Prüfung. Wie oft Sie die Seite erneut lesen, und ein Beleg, dass die Prüfung lief, auch wenn sich nichts geändert hat. „Wir prüfen monatlich“ ist eine Vorgabe; ein Protokoll der Prüfungen ist ein Nachweis.
3. Der Unterschied, Absatz für Absatz, damit die prüfende Person liest, was sich geändert hat, statt noch einmal das ganze Dokument.
4. Die Beurteilung. Wesentlich oder nicht, von wem, an welchem Tag, mit einer Zeile Begründung.
5. Die Maßnahme. Akzeptiert; Fragen geschickt; Einspruch nach Art. 28 Abs. 2 erhoben; Lieferant ersetzt — und die Antwort des Lieferanten.
6. Die Aktualisierung Ihrer eigenen Unterlagen. Hat die Änderung Daten verlagert oder einen Empfänger hinzugefügt, ändert sich Ihr Verzeichnis nach Art. 30 am selben Tag.

Bewahren Sie den Verlauf auf. „Wann haben Sie erfahren, dass Lieferant X den Unterauftragsverarbeiter Y einsetzt?“ beantwortet das Protokoll, nicht die Erinnerung von irgendwem.

Die Fragen an den Lieferanten

1. Wie kündigen Sie Änderungen an Ihren Nutzungsbedingungen, Ihrem AVV, Ihrer Liste der Unterauftragsverarbeiter und Ihrer Sicherheitsseite an, und wie lange im Voraus?
2. Wo ist der Änderungsverlauf für jedes dieser Dokumente?
3. Gilt die Änderung vom [Datum] für unseren bestehenden Vertrag oder nur für Neukunden?
4. Wenn wir sie nicht akzeptieren: Welche Möglichkeiten haben wir, und bis wann?

So macht es Maditon

Maditon liest jedes überwachte Dokument planmäßig neu, vergleicht den neuen Text Absatz für Absatz mit der letzten Fassung und fragt ein Modell, ob der Unterschied wesentlich ist: eine Aufbewahrungsfrist, ein Übermittlungsmechanismus, ein neuer Unterauftragsverarbeiter. Sie erhalten eine E-Mail am Tag mit dem, was sich geändert hat und was nicht gelesen werden konnte, und die App bewahrt beide Fassungen und den Unterschied auf, sodass Sie die Zusammenfassung am eigenen Wortlaut des Lieferanten prüfen, statt ihr zu vertrauen. Eine Änderung, die das Modell nicht lesen konnte, wird als nicht eingeordnet festgehalten, nie als „nicht wesentlich“, denn niemand hat sie geprüft. Die Dokumente eines Lieferanten, den Sie als „Im Einsatz“ markiert haben, werden automatisch überwacht, und der Verlauf der Abrufe und Änderungen bleibt beim Dokument.

Wie das funktioniert, steht in Woher weiß Maditon, wann ein Lieferant seine Bedingungen ändert?, und was aufbewahrt wird, in Ist Maditon ein Archiv für meine Verträge und die Dokumente meiner Lieferanten?. Oder stellen Sie die Dokumente Ihrer Lieferanten in der App unter Überwachung.