Richtlinie zum Datenschutzmanagement für Auftragsverarbeiter, Unterauftragsverarbeiter und Drittparteien

Die Richtlinie zum Datenschutzmanagement für Auftragsverarbeiter, Unterauftragsverarbeiter und Drittparteien definiert, wie eine Organisation externe Parteien steuert, die personenbezogene Daten innerhalb des PIMS-Geltungsbereichs verarbeiten, darauf zugreifen, sie empfangen, speichern, übermitteln, unterstützen oder anderweitig handhaben. Sie gilt, wenn die Organisation als Verantwortlicher für personenbezogene Daten Auftragsverarbeiter einsetzt, als gemeinsam Verantwortlicher eine Rollenkategorisierung benötigt, als Auftragsverarbeiter Unterauftragsverarbeiter oder Unterauftragnehmer einsetzt und als Unterauftragsverarbeiter Kundenweisungen erhält. Die Richtlinie deckt außerdem Drittparteienbeziehungen ab, die gebotene Sorgfalt im Datenschutz, vertragliche Kontrollen, dokumentierte Weisungen, Genehmigung von Unterauftragsverarbeitern, Überwachung, Sicherheitssicherstellung, Vorfalls-Schnittstellen, Übermittlungsverknüpfung sowie Nachweise zu Rückgabe, Löschung oder Exit erfordern. Ein Kernmerkmal der Richtlinie ist ihre Nutzung von REG08 — Register für Auftragsverarbeiter, Unterauftragsverarbeiter und Datenweitergabe — als primäres Nachweisobjekt für das Datenschutzmanagement von Auftragsverarbeitern, Unterauftragsverarbeitern und Drittparteien. Die Richtlinie verlangt vom Datenschutzverantwortlichen / PIMS-Manager, Mindestfelder für REG08 zu definieren und datenschutzbezogene Drittparteienbeziehungen vor der Vertragsgenehmigung oder vor Beginn der Verarbeitung personenbezogener Daten als Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter oder sonstige Drittparteienbeziehung zu klassifizieren. Sie verlangt außerdem vom Verantwortlichen für Lieferanten / Beschaffung, Onboarding, Verlängerung oder Erweiterung zu blockieren, bis REG08 vollständig ist und mit Aufzeichnungen wie REG02, REG04, REG09 oder REG10 verknüpft wurde, sofern diese Nachweisobjekte ausgelöst werden. Dadurch entsteht eine dokumentierte Verknüpfung zwischen Beziehungs-Governance, Verarbeitungsinventar, Risiko- und DSFA-Aufzeichnungen, Nachweisen zu internationalen Übermittlungen, Vorfallsaufzeichnungen und Korrekturmaßnahmen. Die Richtlinie legt detaillierte Anforderungen an die gebotene Sorgfalt, Risikobeurteilung und vertragliche Kontrolle fest. Gebotene Sorgfalt im Datenschutz muss abgeschlossen sein, bevor eine Beziehung zu einem Auftragsverarbeiter, Unterauftragsverarbeiter oder einer Drittpartei, die personenbezogene Daten verarbeitet oder darauf zugreift, ausgewählt, verlängert oder wesentlich geändert wird. Nachweise zur Sicherheitssicherstellung müssen vor der Genehmigung durch den Leiter Informationssicherheit geprüft werden, und risikoreiche Beziehungen zu Auftragsverarbeitern oder wesentliche datenschutzbezogene Änderungen bei Drittparteien lösen ein Datenschutzrisiko- und DSFA-Screening in REG04 aus. Vertragskontrollen und Kontrollen dokumentierter Weisungen werden für Verantwortlichen- und Auftragsverarbeiterkontexte getrennt. Wenn die Organisation als Verantwortlicher handelt, muss sie einen schriftlichen Auftragsverarbeitungsvertrag oder eine gleichwertige verbindliche Vereinbarung aufzeichnen, bevor ein Auftragsverarbeiter personenbezogene Daten handhabt. Wenn sie als Auftragsverarbeiter handelt, müssen Kundenvereinbarungen oder dokumentierte Kundenweisungen den autorisierten Verarbeitungsgeltungsbereich definieren, bevor personenbezogene Daten von Kunden verarbeitet werden. Die Richtlinie verlangt außerdem vertragliche Abdeckung für Unterstützung, Sicherheitssicherstellung, Vorfalls-Schnittstelle über PII15, Rückgabe oder Löschung über PII10, Übermittlungsverknüpfung über PII13 sowie Audit- oder Assurance-Zusammenarbeit. Die Governance für Unterauftragsverarbeiter und Unterauftragnehmer wird durch spezifische Anforderungen an Genehmigung, Mitteilung, weiterzugebende Verpflichtungen und Überwachung adressiert. Der Verantwortliche für Lieferanten / Beschaffung muss eine Liste der Unterauftragsverarbeiter und Unterauftragnehmer in REG08 führen, die Kundenautorisierung vor der Beauftragung verifizieren, Kunden über beabsichtigte neue oder ersetzende Unterauftragsverarbeiter gemäß der anwendbaren Vereinbarung benachrichtigen und sicherstellen, dass Datenschutz-, Sicherheits-, Unterstützungs-, Rückgabe-, Lösch-, Vorfalls-Schnittstellen- und Übermittlungsverknüpfungspflichten weitergegeben werden, bevor ein Unterauftragsverarbeiter personenbezogene Daten verarbeitet. Mitteilungen über Änderungen von Unterauftragsverarbeitern auf Verantwortlichen-Seite müssen ebenfalls nachverfolgt werden; Genehmigungs-, Widerspruchs- oder Eskalationsentscheidungen sind innerhalb der vertraglichen Widerspruchsfrist oder innerhalb von 10 Geschäftstagen nach Eingang der Mitteilung in REG08 aufzuzeichnen, je nachdem, welcher Zeitraum kürzer ist. Die Richtlinie vervollständigt den Lebenszyklus durch laufende Überwachung, Bearbeitung von Unterstützungsanfragen, Aufzeichnung von Offenlegungen, Vorfallsverknüpfung, Übermittlungsverknüpfung, Exit-Nachweise, Ausnahmen, Durchsetzung und Überprüfung. Risikoreiche Beziehungen zu Auftragsverarbeitern und Unterauftragsverarbeitern werden vierteljährlich überwacht, während andere aktive Beziehungen zu Auftragsverarbeitern und Unterauftragsverarbeitern für personenbezogene Daten jährlich überwacht werden. Unterstützungsanfragen zu Rechten betroffener Personen, DSFAs, Sicherheitsnachweisen, Audits oder Kunden-Assurance müssen über REG08 koordiniert und, soweit anwendbar, mit REG06, REG04 oder REG12 verknüpft werden. Lieferantenbezogene Datenschutzvorfallmitteilungen werden innerhalb eines Geschäftstags an REG10 unter PII15 weitergeleitet, und Nachweise zu Rückgabe, Löschung, Entsorgung oder Übergang müssen innerhalb von 30 Tagen nach Beendigung, Ablauf, Kundenweisung oder genehmigtem Exit-Ereignis eingeholt werden, sofern keine kürzere vertragliche Frist gilt. Ausnahmen sind zeitlich begrenzt, erfordern eine Datenschutz-Folgenabschätzung und können die Genehmigung der obersten Leitung erfordern, wenn risikoreiche Verarbeitung, fehlende Vertragsnachweise, Lücken bei der Übermittlungsverknüpfung oder der Geltungsbereich der Zertifizierung betroffen sind.