Unternehmen geben heute zahlreiche Verarbeitungstätigkeiten an externe Dienstleister ab. Dazu gehören etwa Cloud-Anbieter, IT- und Hosting-Dienstleister, Call-Center, Lohnabrechnungsstellen, Marketingagenturen oder Anbieter von Software-as-a-Service-Lösungen.
Sobald ein Dienstleister personenbezogene Daten weisungsgemäß im Auftrag verarbeitet, handelt es sich regelmäßig um eine Auftragsverarbeitung im Sinne von Art. 28 DS-GVO. Die Verantwortung für die datenschutzkonforme Verarbeitung geht nicht auf den Dienstleister über. Der Verantwortliche muss insbesondere sicherstellen, dass der eingesetzte Auftragsverarbeiter geeignete Garantien bietet und die vereinbarten Datenschutz- und Sicherheitsanforderungen tatsächlich einhält
Audits sind daher mehr als eine lästige oder teure Formalität
Art. 28 Abs. 1 DS-GVO verlangt, dass Verantwortliche nur solche Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Diese Prüfung darf sich nicht ausschließlich auf den Zeitpunkt des Vertragsschlusses beschränken.
Ein Dienstleister kann seine Systeme, Unterauftragnehmer, Standorte oder Geschäftsprozesse verändern. Auch die Bedrohungslage und die rechtlichen Anforderungen können sich weiterentwickeln. Eine einmalige Prüfung reicht deshalb häufig nicht aus, um die datenschutzrechtlichen Risiken einer langfristigen Zusammenarbeit angemessen zu beurteilen.
Ein regelmäßiges Audit ermöglicht es, die tatsächliche Umsetzung der vertraglich vereinbarten Anforderungen zu überprüfen und Abweichungen frühzeitig zu erkennen.
Rechtliche Grundlage
Die Pflicht zur Kontrolle ergibt sich insbesondere aus Art. 28 DS-GVO. Der Auftragsverarbeitungsvertrag muss nach Art. 28 Abs. 3 DS-GVO unter anderem Regelungen zur Verarbeitung, zu den Weisungen des Verantwortlichen, zur Vertraulichkeit, zur Sicherheit, zur Unterstützung bei Betroffenenrechten und zu Nachweisen der Einhaltung enthalten. Dazu gehört auch die Möglichkeit des Verantwortlichen, Informationen zum Nachweis der Einhaltung bereitzustellen und Überprüfungen einschließlich Inspektionen durchzuführen oder durch einen beauftragten Prüfer durchführen zu lassen. Ein Audit ist daher kein völlig freiwilliges Zusatzinstrument. Es dient der praktischen Umsetzung der Kontroll- und Nachweispflichten aus Art. 28 DS-GVO.
Vorteile regelmäßiger Audits
-
Rechtssicherheit erhöhen: Unternehmen können besser nachweisen, dass sie ihre Auswahl- und Kontrollpflichten nach Art. 28 DS-GVO ernst nehmen und angemessen erfüllen.
-
Risiken frühzeitig erkennen: Schwachstellen in technischen und organisatorischen Maßnahmen, Prozessen oder Verantwortlichkeiten werden sichtbar, bevor es zu einer Datenschutzverletzung kommt.
-
Vertragskonformität überprüfen: Ein Audit zeigt, ob der Auftragsverarbeiter tatsächlich entsprechend dem Auftragsverarbeitungsvertrag und den dokumentierten Weisungen arbeitet.
-
Sicherheitsniveau bewerten: Geprüft werden können unter anderem Zugriffskontrollen, Berechtigungskonzepte, Verschlüsselung, Löschprozesse, Backup-Verfahren, Notfallmanagement und Umgang mit Sicherheitsvorfällen.
-
Unterauftragnehmer kontrollieren: Unternehmen erhalten einen besseren Überblick darüber, welche weiteren Dienstleister eingesetzt werden und ob deren Einbindung datenschutzrechtlich zulässig und transparent erfolgt.
-
Nachweise für Behörden und Kunden schaffen: Auditberichte, Maßnahmenpläne und dokumentierte Nachkontrollen können im Rahmen von Prüfungen oder gegenüber Geschäftspartnern als belastbare Nachweise dienen.
-
Haftungsrisiken reduzieren: Eine strukturierte Kontrolle kann dazu beitragen, eigene Pflichtverletzungen zu vermeiden und die Verantwortungsbereiche zwischen Auftraggeber und Auftragsverarbeiter klarer abzugrenzen.
-
Vertrauen stärken: Transparente Prüfprozesse verbessern die Zusammenarbeit und schaffen Vertrauen bei Kunden, Beschäftigten und Geschäftspartnern.
Was sollte ein Audit umfassen?
Der Umfang eines Audits muss sich am konkreten Risiko der Verarbeitung orientieren. Bei einer Verarbeitung großer Datenmengen oder besonders sensibler Daten sind regelmäßig intensivere Prüfungen erforderlich als bei einer Verarbeitung mit geringem Risiko. Typische Prüfungsbereiche sind:
-
Vertrags- und Weisungsmanagement;
-
Verzeichnis der Verarbeitungstätigkeiten;
-
Rollen- und Berechtigungskonzepte;
-
technische und organisatorische Maßnahmen;
-
Datenschutz- und Informationssicherheitsrichtlinien;
-
Umgang mit Datenschutzverletzungen;
-
Lösch- und Rückgabekonzepte;
-
Einbindung und Kontrolle von Unterauftragnehmern;
-
Schulungen und Verpflichtungen der Beschäftigten;
-
Notfallvorsorge und Wiederanlaufverfahren;
-
Zertifizierungen und Prüfberichte;
-
Umsetzung von Betroffenenrechten;
-
internationale Datenübermittlungen und eingesetzte Dienstleister.
Bei technisch geprägten Dienstleistungen sollte ein Audit außerdem die Schnittstellen zwischen Datenschutz und Informationssicherheit berücksichtigen. Je nach Unternehmensstruktur und Schutzbedarf können dabei etwa Anforderungen aus ISO/IEC 27001 oder dem BSI IT-Grundschutz einbezogen werden.
Wie häufig sollte ein Audit stattfinden?
Ein einheitliches gesetzliches Prüfintervall gibt es nicht. Die Auditfrequenz sollte risikobasiert festgelegt werden. Dabei sind insbesondere folgende Faktoren zu berücksichtigen:
-
Art und Umfang der verarbeiteten Daten;
-
Verarbeitung besonderer Kategorien personenbezogener Daten;
-
Anzahl der betroffenen Personen;
-
Kritikalität des Dienstleisters;
-
Einsatz von Unterauftragnehmern;
-
bisherige Sicherheitsvorfälle;
-
Ergebnisse früherer Audits;
-
Veränderungen bei Systemen, Standorten oder Prozessen;
-
Anforderungen aus Zertifizierungen oder Branchenstandards.
Bei besonders kritischen Dienstleistern kann eine jährliche Prüfung oder eine kontinuierliche Nachweisführung angemessen sein. Bei weniger risikoreichen Verarbeitungen können längere Intervalle ausreichen, wenn zusätzlich anlassbezogene Prüfungen vorgesehen sind. Alle zwei Jahre ist meist ein guter Kompromiss.
Wichtig ist, dass ein Audit nicht erst nach einem Sicherheitsvorfall stattfindet. Anlassbezogene Prüfungen sollten beispielsweise bei erheblichen Änderungen des Dienstleisters, neuen Unterauftragnehmern, wiederholten Verstößen oder einem Wechsel der eingesetzten IT-Systeme durchgeführt werden.
Audit und Verantwortungsverteilung
Ein regelmäßiges Audit führt nicht automatisch dazu, dass der Auftraggeber für jeden Fehler des Auftragsverarbeiters haftet. Umgekehrt kann sich der Verantwortliche aber auch nicht ohne Weiteres darauf berufen, dass ein Verstoß allein im Einflussbereich des Dienstleisters erfolgt sei.
Entscheidend ist, ob der Auftragsverarbeiter innerhalb des vorgegebenen Verarbeitungsrahmens gehandelt hat und ob der Verantwortliche seine eigenen Auswahl-, Instruktions- und Überwachungspflichten erfüllt hat. Überschreitet der Auftragsverarbeiter die ihm vorgegebenen Zwecke und Mittel oder verfolgt er eigene Zwecke, kann er nach Art. 28 Abs. 10 DS-GVO selbst als Verantwortlicher gelten. Eine Verantwortlichkeit des ursprünglichen Verantwortlichen kann jedoch weiterhin in Betracht kommen, wenn dieser erkennbare Kontroll- oder Organisationspflichten verletzt hat.
Was Unternehmen praktisch beachten sollten
Ein Audit sollte nicht nur aus dem Versand eines umfangreichen Fragebogens bestehen. Fragebögen können eine sinnvolle erste Orientierung bieten, ersetzen aber nicht immer die Prüfung konkreter Nachweise oder Prozesse. Bewährt hat sich ein mehrstufiges Verfahren:
-
Zunächst werden Schutzbedarf, Prüfungsumfang und Auditkriterien festgelegt.
-
Anschließend werden Verträge, Richtlinien, Zertifikate und Nachweise ausgewertet.
-
In Interviews und gegebenenfalls Vor-Ort- oder Remote-Prüfungen wird die praktische Umsetzung untersucht.
-
Festgestellte Abweichungen werden nach Risiko priorisiert.
-
Für notwendige Verbesserungen werden Verantwortliche und Fristen festgelegt.
-
Eine spätere Nachkontrolle überprüft, ob die Maßnahmen tatsächlich umgesetzt wurden.
Auf diese Weise wird aus einer punktuellen Prüfung ein kontinuierlicher Verbesserungsprozess.
Unterstützung durch unsere Kanzlei
Unsere Kanzlei unterstützt Unternehmen bei der rechtssicheren Planung und Durchführung von Datenschutz- und Informationssicherheitsaudits. Wir übernehmen unter anderem Revisoren- und Auditorentätigkeiten bei Dienstleistern, Call-Center-Standorten sowie Prozessen im Gesundheitswesen und im Trustcenterbereich.
Dabei prüfen wir Datenschutzanforderungen sowie Informationssicherheitsmanagementsysteme, insbesondere nach ISO/IEC 27001 und BSI-Grundschutz. Unsere Beratung richtet sich an Unternehmensleitungen, Datenschutzbeauftragte und Datenschutzabteilungen. Neben der datenschutzrechtlichen Expertise verfügen wir über langjährige Erfahrung im Datenschutzrecht, im Informationssicherheitsmanagement und im Compliance-Bereich sowie über einschlägige Qualifikationen als Datenschutzauditor, Datenschutzbeauftragter, Compliance Officer und Information Security Auditor/Lead Auditor.
Wir unterstützen Sie insbesondere bei der Festlegung eines risikobasierten Auditprogramms, der Prüfung von Auftragsverarbeitern, der Bewertung technischer und organisatorischer Maßnahmen, der Erstellung von Auditberichten sowie bei der Nachverfolgung festgestellter Mängel. Ziel ist eine Prüfung, die nicht nur formale Anforderungen dokumentiert, sondern konkrete Risiken sichtbar macht, praktikable Verbesserungen ermöglicht udn Haftungsrisiken minimiert.
