Zwei Listen, die niemand abgleicht
Der Auftragsverarbeitungsvertrag und das Verzeichnis der Auftragsverarbeiter beschreiben dieselben Dienstleister, aus zwei Blickwinkeln. Rechtlich gehören sie zusammen, in der Praxis sind es zwei getrennte Listen, die auseinanderlaufen. Warum genau diese Lücke im Audit auffällt und wie sich der Verzeichniseintrag aus dem Vertrag selbst ableiten lässt.
Ein Auftragsverarbeitungsvertrag und das Verzeichnis der Auftragsverarbeiter beschreiben dieselben Dienstleister, nur aus zwei Blickwinkeln. Der Vertrag regelt, unter welchen Bedingungen ein Dienstleister personenbezogene Daten verarbeiten darf, nach Artikel 28 der DSGVO. Das Verzeichnis belegt gegenüber der Aufsicht, mit wem man zusammenarbeitet, als Teil der Rechenschaft. Rechtlich gehören beide zusammen. In der Praxis sind es zwei getrennte Listen.
Zwei Listen laufen immer auseinander
Der Grund ist banal und menschlich. Der Vertrag wird von der Rechts- oder Einkaufsseite abgeschlossen, das Verzeichnis pflegt der Datenschutz. Ein neuer Vertrag wird unterschrieben und abgelegt, der Eintrag ins Verzeichnis passiert später, oder gar nicht. Beim nächsten Audit fragt die Prüferin nach genau dieser Lücke: Hier ist ein Vertrag, wo steht der Auftragsverarbeiter im Verzeichnis? Und umgekehrt, zu diesem gelisteten Dienstleister, wo ist der Vertrag?
Verbinden, was ohnehin zusammengehört
Diese Lücke schließt man nicht mit mehr Disziplin, sondern indem man die beiden Listen zu einer verbindet. Wer einen Auftragsverarbeitungsvertrag anlegt, benennt darin ohnehin den Dienstleister und seine Rolle. Genau daraus lässt sich der Verzeichniseintrag ableiten, statt ihn ein zweites Mal von Hand zu tippen. Der Vertrag wird zur Quelle, der Verzeichniseintrag zur Folge, und die beiden können nicht mehr auseinanderlaufen.
Wie isidaten das verbindet
Genau so arbeitet das Vertragsmanagement in isidaten: Legen Sie einen Vertrag vom Typ Auftragsverarbeitungsvertrag an, entsteht der passende Auftragsverarbeiter automatisch in der Datenschutz-Verwaltung, mit Name und Rolle aus dem Vertrag übernommen und über die Vertragsnummer eindeutig zugeordnet. Der Eintrag bleibt editierbar, ist aber von Anfang an da, statt auf jemanden zu warten, der ihn nachträgt. Dazu kommt, was ein Vertragsmodul ohnehin leisten muss: Laufzeit- und Kündigungsfristen im Blick, Erinnerungen vor Ablauf, ein Standardkatalog gängiger Vertragstypen. So bleibt der Vertrag kein loses Blatt, sondern führt die Rechenschaft gleich mit.
Mehr zeigt die Vertragsmanagement-Modulseite. Wie die übrigen Datenschutz-Pflichten an einem Ort zusammenlaufen, führt die DSGVO-Lösungsseite auf.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.