COMPLIANCE

Lieferantenprüfung — Auftragsverarbeiter

Vorvertragliche Prüfung eines potenziellen Auftragsverarbeiters. Sicherstellen, dass die Anforderungen des Art. 28 DSGVO erfüllt sind, bevor personenbezogene Daten übermittelt werden.

Aufgaben
15
Dauer
26d
Diese Vorlage in Dorift nutzen Android-Download Als JSON herunterladen

Aufgaben in dieser Vorlage

  1. 1
    Öffentliche Datenschutzerklärung und Sicherheitsübersicht des Anbieters anfordern D+1
  2. 2
    Auftragsverarbeitungsvertrag (AVV) nach Art. 28 anfordern und prüfen D+2

    Art. 28 Abs. 3 DSGVO: Der AVV muss Gegenstand und Dauer, Art und Zweck, Art der Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen umfassen.

  3. 3
    AVV gegen interne Standards prüfen und Abweichungen markieren D+3
  4. 4
    Liste der Sub-Auftragsverarbeiter und geografische Standorte anfordern D+5

    Art. 28 Abs. 2 und 4 DSGVO: Allgemeine schriftliche Genehmigung für Sub-Auftragsverarbeiter mit Widerspruchsrecht. Sub-Auftragsverarbeiter müssen gleichwertig verpflichtet sein.

  5. 5
    Mechanismus für Drittlandtransfers bewerten (SCC, Angemessenheit, BCR) D+7

    Bei Übermittlungen außerhalb des EWR ein gültiges Transferinstrument nach Kapitel V sicherstellen und eine Transfer Impact Assessment durchführen.

  6. 6
    Technische und organisatorische Maßnahmen gegen Art. 32 prüfen D+9

    Art. 32 Abs. 1 DSGVO: angemessene Maßnahmen unter Berücksichtigung des Stands der Technik, der Kosten und des Risikos unterschiedlicher Eintrittswahrscheinlichkeit und Schwere. Pseudonymisierung, Verschlüsselung, Belastbarkeit und regelmäßige Überprüfung bewerten.

  7. 7
    Meldeprozess und Fristen für Datenschutzverletzungen prüfen D+11

    Art. 33 Abs. 2 DSGVO: Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung. Fristen vertraglich definieren.

  8. 8
    Aufbewahrung, Rückgabe und Löschverfahren zum Vertragsende prüfen D+13
  9. 9
    Zertifikate anfordern: ISO 27001, SOC 2, ISO 27701, sektorspezifisch D+14
  10. 10
    Aktuellen Pentest-Bericht und SOC-2-Bericht prüfen D+16
  11. 11
    Business Continuity und Disaster Recovery bewerten D+18
  12. 12
    Bei Bedarf DSFA durchführen oder aktualisieren D+20

    Art. 35 DSGVO: Bei voraussichtlich hohem Risiko ist die DSFA vor dem Einsatz des Anbieters durchzuführen.

  13. 13
    Interne Freigaben einholen (DSB, Sicherheit, Recht) D+22
  14. 14
    AVV und Hauptvertrag finalisieren und abschließen D+24
  15. 15
    Anbieter als Auftragsverarbeiter im VVT (Art. 30) eintragen D+26
← Zurück zu Dorift