REP27 · Verarbeiter
Artikel 27 DSGVO · Verarbeiter
Verarbeiter fallen unter Artikel 27 zu denselben Bedingungen wie Verantwortliche, und fast keiner von ihnen weiß es. Die Annahme ist, dass die Bezeichnung des Kunden die Lieferkette abdeckt. Das tut sie nicht: eine Bezeichnung betrifft die Einheit, die sie unterzeichnet hat, sodass ein Hosting-Anbieter, ein Supportdesk, ein Analyseanbieter oder ein BPO-Betrieb außerhalb der Union einen eigenen Vertreter benötigt.
Die Verpflichtung ist identisch; drei praktische Dinge darum herum sind es nicht.
Artikel 30(2) statt 30(1): Kategorien der Verarbeitung pro Verantwortlichem, Übertragungen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen.
Anfragen, die Sie erreichen, werden an den Verantwortlichen gemäß Ihrem Artikel 28-Vertrag weitergeleitet, nicht von Ihnen beantwortet.
Sie erscheinen in der Datenschutzerklärung Ihres Kunden, nicht in Ihrer eigenen verbraucherorientierten — weshalb die Verpflichtung so leicht übersehen wird.
Das Beschaffungsteam Ihres Kunden, nicht ein Regulierer, fragt normalerweise zuerst nach der Bezeichnung.
| Art des Anbieters | Rolle | Vertreter benötigt |
|---|---|---|
| Cloud-Hosting außerhalb der EU | Verarbeiter | Ja |
| Ausgelagerter Kundensupport | Verarbeiter | Ja |
| Lohn- oder HR-Plattform | Verarbeiter | Ja |
| Analyseanbieter mit Benutzeridentifikatoren | Verarbeiter, manchmal gemeinsamer Verantwortlicher | Ja |
| Unterverarbeiter des oben Genannten | Verarbeiter | Ja |
| Lieferant, der niemals mit personenbezogenen Daten in Berührung kommt | Weder | Nein |
Europäische Verantwortliche haben Jahre damit verbracht, ihre Auftragsverarbeiter zu kartieren. Was fast niemand kartiert hat, ist, ob diese Auftragsverarbeiter selbst unter Artikel 3(2) fallen und, falls ja, ob sie eine eigene Benennung haben.
Die Kette ist in der Regel länger als der Vertrag vermuten lässt. Ein europäischer Einzelhändler nutzt eine US-E-Commerce-Plattform, die einen kanadischen Suchanbieter verwendet, der ein indisches Support-Team einsetzt. Jeder der drei ist ein Auftragsverarbeiter oder Unterauftragsverarbeiter, der außerhalb der Union ansässig ist, jeder verarbeitet personenbezogene Daten von Personen in der Union, und jeder benötigt einen eigenen Vertreter. Die Benennung des Einzelhändlers umfasst nur den Einzelhändler und nichts anderes.
Dies beginnt, sich bei der Due Diligence zu zeigen. Artikel 28(1) verlangt von den Verantwortlichen, nur Auftragsverarbeiter zu verwenden, die ausreichende Garantien bieten, und die ausgefeilteren Fragebögen fragen jetzt nicht nur nach Ihrem Vertreter, sondern auch nach der Bestätigung, dass Ihre eigenen Unterauftragsverarbeiter einen haben. Die Fähigkeit, dies schnell zu beantworten, wird zu einem Unterscheidungsmerkmal unter den Lieferanten, die um dasselbe europäische Konto konkurrieren.
Für einen Unterauftragsverarbeiter ist die Berechnung einfach. Die Benennung kostet weniger als die Zeit, die mit der Erklärung ihrer Abwesenheit während eines einzigen Beschaffungszyklus verbracht wird.
Ja. Artikel 27(1) bezieht sich sowohl auf Verantwortliche als auch auf Auftragsverarbeiter, und die EDPB-Leitlinien 3/2018 bestätigen dies. Ein Auftragsverarbeiter, der außerhalb der Union ansässig ist und personenbezogene Daten von Personen in der Union im Auftrag eines Kunden verarbeitet, muss einen eigenen Vertreter benennen.
Nein. Eine Benennung umfasst die Einheit, die sie unterzeichnet hat. Der Vertreter Ihres Kunden wurde von Ihrem Kunden beauftragt, hat keine Beziehung zu Ihnen und kann nicht für Ihre Verarbeitung antworten. Dies ist der häufigste Fehler, den wir in den Akten der Auftragsverarbeiter korrigieren.
Das Register gemäß Artikel 30(2): die Kategorien der Verarbeitung, die im Auftrag jedes Verantwortlichen durchgeführt werden, die Übertragungen, die Sie vornehmen, und eine allgemeine Beschreibung Ihrer Sicherheitsmaßnahmen. Nicht das vollständige Verantwortlichenregister gemäß Artikel 30(1).
Die Anfrage wird protokolliert, referenziert und an Sie weitergeleitet, und Sie leiten sie an den Verantwortlichen weiter, dessen Daten betroffen sind, gemäß Ihrem Vertrag nach Artikel 28. Weder Sie noch der Vertreter entscheiden über das Ergebnis — der Verantwortliche antwortet in der Sache.
Prinzipiell nicht. Unterauftragsverarbeiter sind Auftragsverarbeiter, und der territoriale Test in Artikel 3(2) wird auf Ihre eigene Tätigkeit angewendet. In der Praxis sind Unterauftragsverarbeiter oft die letzten in der Kette, die benannt werden, weshalb Unternehmenskäufer jetzt ausdrücklich nach ihnen fragen.
Nein. Artikel 27(5) ist ausdrücklich, dass die Benennung eines Vertreters keine rechtlichen Schritte gegen den Verantwortlichen oder den Auftragsverarbeiter selbst beeinflusst. Es schafft einen Kontaktpunkt, nicht einen Verantwortungsübergang.
Zunehmend ja. Europäische Verantwortliche sind gemäß Artikel 28 verpflichtet, nur Auftragsverarbeiter zu verwenden, die ausreichende Garantien bieten, und ihre Lieferantenfragebögen enthalten jetzt den Namen und die Adresse des Vertreters als Position.
Mit dem unter Artikel 30(2) geführten Register innerhalb der Union, sodass die Fragebögen Ihrer Kunden nicht mehr ins Stocken geraten.
Ernennen Sie uns