Unterauftragsverarbeiter: was ein Lieferant mitteilen muss

Die Unterauftragsverarbeiter Ihres Lieferanten sind die Unternehmen, die im Auftrag des Lieferanten die personenbezogenen Daten Ihrer Kunden und Beschäftigten verarbeiten: sein Hosting-Dienstleister, sein E-Mail-Versanddienst, sein Support-Tool, der Anbieter des KI-Modells hinter seinen KI-Funktionen. Mit ihnen haben Sie nichts unterschrieben, und doch macht die DSGVO sie gleich doppelt zu Ihrer Sache: Der Lieferant darf sie nur mit Ihrer Genehmigung in Anspruch nehmen (Art. 28 Abs. 2), und Ihr eigenes Verzeichnis muss zeigen, wer die Daten erhält (Art. 30 Abs. 1 Buchst. d). Dieser Ratgeber zeigt, was ein Lieferant Ihnen mitteilen muss, wann, und was Sie damit tun.

Wer als Unterauftragsverarbeiter zählt

Art. 28 Abs. 2 und 4 sprechen vom „weiteren Auftragsverarbeiter“: einer Partei, die der Auftragsverarbeiter in Anspruch nimmt, um Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen. Infrastruktur zählt, wenn personenbezogene Daten darauf liegen — ein Cloud-Dienstleister, der die Datenbank hostet, ist ein Unterauftragsverarbeiter, auch wenn er die Daten nie ansieht. Ein Zahlungsdienstleister, der als eigener Verantwortlicher handelt, ist keiner. Verbundene Unternehmen des Lieferanten in anderen Ländern sind es, wenn sie auf die Daten zugreifen können. Die Leitlinien 07/2020 des Europäischen Datenschutzausschusses (EDSA) zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ erwarten, dass jeder Unterauftragsverarbeiter für den Verantwortlichen identifizierbar ist; deshalb ist eine Liste der Unterauftragsverarbeiter eine Liste von Firmennamen und nicht von „vertrauenswürdigen Dritten“.

Art. 28 Abs. 2: Genehmigung, gesondert oder allgemein

Art. 28 Abs. 2 sagt: „Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch.“ Bei einer gesonderten Genehmigung genehmigen Sie jeden Unterauftragsverarbeiter namentlich; bei SaaS ist das selten, weil der Lieferant jeden Kunden fragen müsste, bevor er einen Dienstleister hinzunimmt. Bei einer allgemeinen Genehmigung — in fast jedem SaaS-AVV — überlassen Sie dem Lieferanten die Wahl, und im Gegenzug „informiert der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben“. Das sind drei Teile: eine aktuelle Liste, eine Mitteilung vor der Änderung, eine Möglichkeit zum Einspruch. Die Unterschiede zwischen Lieferanten liegen in den letzten beiden:

• Ankündigungsfrist. Die DSGVO legt keine fest; der EDSA sagt, sie muss lang genug sein, um tatsächlich Einspruch erheben zu können. Dreißig Tage sind üblich, vierzehn kommen vor, „wir aktualisieren diese Seite“ ist keine Mitteilung, und eine Mitteilung, die erst eintrifft, nachdem die Änderung wirksam geworden ist, ist keine Information über eine „beabsichtigte Änderung“.
• Kanal. Eine E-Mail an den Kontoinhaber, ein Link zum Abonnieren auf der Seite mit der Liste der Unterauftragsverarbeiter, ein RSS-Feed — oder „sehen Sie auf der Seite nach“. Nur die ersten drei erreichen Sie, ohne dass Sie selbst nachsehen.
• Einspruch. Gute AVVs sagen, dass der Lieferant versucht, einen Einspruch auszuräumen, und Ihnen andernfalls erlaubt, den betroffenen Dienst ohne Vertragsstrafe und mit Erstattung vorausbezahlter Entgelte zu kündigen. Schwache sagen, dass Sie kündigen dürfen, Punkt. Ein AVV, nach dem ein Einspruch gar keine Folge hat, hat Ihnen keine Möglichkeit zum Einspruch gegeben, die diesen Namen verdient.

Art. 28 Abs. 4: Weitergabe der Pflichten und Haftung

Nimmt ein Auftragsverarbeiter einen Unterauftragsverarbeiter in Anspruch, so werden diesem durch Vertrag „dieselben Datenschutzpflichten auferlegt, die in dem Vertrag oder anderen Rechtsinstrument zwischen dem Verantwortlichen und dem Auftragsverarbeiter gemäß Absatz 3 festgelegt sind“, und kommt der Unterauftragsverarbeiter ihnen nicht nach, „so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters“. Sie brauchen also keinen Vertrag mit dem Unterauftragsverarbeiter — Sie müssen wissen, dass Ihr Lieferant einen hat, und einen AVV haben, der das sagt. Ein Unterauftragsverarbeiter außerhalb der EU und des EWR ist zudem eine Übermittlung nach Kapitel V: Der Lieferant schuldet Ihnen den Mechanismus — einen Angemessenheitsbeschluss (Art. 45), Standardvertragsklauseln (Art. 46 Abs. 2 Buchst. c) oder verbindliche interne Datenschutzvorschriften (Art. 47) —, und die Liste sollte bei jedem Eintrag das Land zeigen, damit Sie das prüfen können.

Art. 30 Abs. 1 Buchst. d: Die Liste gehört in Ihr eigenes Verzeichnis

Ihr Verzeichnis von Verarbeitungstätigkeiten muss „die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern“ enthalten. Die Unterauftragsverarbeiter eines Lieferanten sind Empfänger. Art. 30 Abs. 5 nimmt Unternehmen mit weniger als 250 Beschäftigten nur dann aus, wenn die Verarbeitung nur gelegentlich erfolgt, keine besonderen Datenkategorien betrifft und voraussichtlich kein Risiko für die betroffenen Personen birgt; ein KMU mit einem CRM, einem Tool für die Lohnabrechnung und einem Support-Desk erfüllt keine dieser Bedingungen.

Zwei weitere Artikel betreffen dieselbe Liste. Nach Art. 13 Abs. 1 Buchst. e und Art. 14 Abs. 1 Buchst. e müssen Sie betroffenen Personen die Empfänger oder Kategorien von Empfängern mitteilen. Art. 15 Abs. 1 Buchst. c gibt ihnen auf Anfrage ein Recht auf diese Information, und der Gerichtshof der EU hat in der Rechtssache Österreichische Post (C‑154/21, 12. Januar 2023) entschieden, dass einer betroffenen Person, die danach fragt, die tatsächlichen Empfänger genannt werden müssen und nicht nur Kategorien, es sei denn, das ist unmöglich oder der Antrag ist offenkundig unbegründet. Empfänger, die Sie nicht erfasst haben, können Sie nicht nennen.

Was ein Lieferant Ihnen mitteilen muss, in einer Liste

• Die aktuelle Liste der Unterauftragsverarbeiter: Firmenname, Land der Verarbeitung, Zweck (Hosting, E-Mail, Support, KI-Inferenz) und ein Datum auf der Liste.
• Den Übermittlungsmechanismus für jeden Eintrag außerhalb der EU und des EWR.
• Die Ankündigungsfrist und den Kanal für Änderungen, und jede Änderung, bevor sie wirksam wird.
• Was geschieht, wenn Sie Einspruch erheben.
• Dass jeder Unterauftragsverarbeiter durch einen Vertrag mit denselben Pflichten gebunden ist und der Lieferant haftbar bleibt (Art. 28 Abs. 4).

Die Fragen an den Lieferanten

1. Wo ist die aktuelle Liste der Unterauftragsverarbeiter, und wann wurde sie zuletzt geändert?
2. Wie werden wir über einen neuen oder ersetzten Unterauftragsverarbeiter informiert, und wie viele Tage bevor die Änderung wirksam wird?
3. Wenn wir Einspruch erheben: Welche Möglichkeiten haben wir, und innerhalb welcher Frist?
4. Welche Unterauftragsverarbeiter verarbeiten unsere Daten außerhalb der EU und des EWR, und auf Grundlage welches Mechanismus nach Kapitel V?
5. Welcher Unterauftragsverarbeiter betreibt Ihre KI-Funktionen, und verlassen unsere Daten die EU, wenn sie laufen?

Die eigene Liste, unabhängig von der Seite des Lieferanten

Die Liste auf der Website des Lieferanten gehört dem Lieferanten; der Eintrag in Ihrem Verzeichnis gehört Ihnen. Halten Sie pro Lieferant fest: die Unterauftragsverarbeiter, wie sie an einem bestimmten Tag zu lesen waren, Land und Zweck jedes einzelnen, die Bedingungen für Mitteilungen und was sich seit der letzten Lektüre geändert hat. Beobachten Sie dann die Seite, denn das Einzige, was eine allgemeine Genehmigung garantiert, ist, dass sich die Liste ändern wird — siehe Änderungen an den Bedingungen Ihrer Lieferanten im Blick behalten. Dieselbe Liste, von der anderen Seite gesehen, ist der Grund, warum die Frage nach Unterauftragsverarbeitern in jedem Sicherheitsfragebogen Ihrer Kunden steht: Ihre Kunden brauchen Ihre Unterauftragsverarbeiter in ihrem Register genau so, wie Sie die Ihrer Lieferanten in Ihrem brauchen.

So macht es Maditon

Maditon wertet die Liste der Unterauftragsverarbeiter und den AVV eines Lieferanten aus, erfasst jeden Unterauftragsverarbeiter mit der Passage, aus der er gelesen wurde, und zeigt die Liste unter dem Lieferanten in Ihrem Register, mit dem Datum der Auswertung. Fehlende Regeln zur Mitteilung oder ein fehlendes Einspruchsrecht erscheinen als Befunde — Fragen an den Lieferanten, keine Urteile —, und eine Änderung auf der Seite kommt mit der E-Mail des nächsten Tages, samt Unterschied. Für die Fragebögen Ihrer eigenen Kunden werden Ihre Unterauftragsverarbeiter aus demselben Register abgeleitet, sodass dieser Teil einer Antwort von selbst richtig bleibt. Siehe Was macht Maditon mit meinen Lieferanten? und Woher weiß Maditon, wann ein Lieferant seine Bedingungen ändert?, oder legen Sie Ihr Register in der App an.