Jedes Unternehmen pflegt Beziehungen zu Drittparteien (z. B. Softwareanbieter, Behörden, Lieferanten usw.). Bei diesen (Geschäfts)-beziehungen werden personenbezogene Daten geteilt. Dies ist oftmals die Voraussetzung für die Erbringung einer Leistung durch Dritte.

Nehmen wir an Ihre Marketingabteilung verwendet eine Software zum Versenden des monatlichen Newsletters. Damit der Newsletter an alle Kunden geschickt werden kann, muss Ihr Unternehmen die E-Mail-Adressen und damit die personenbezogenen Daten Ihrer Kunden an den Softwareanbieter übermitteln.

Damit die Daten auch dann geschützt bleiben, ist es notwendig, bestimmte Voraussetzungen zu erfüllen und Schutzmaßnahmen zu implementieren. Das Drittanbieter-Risikomanagement ist daher ein wesentlicher Bestandteil des Datenschutz-Managements eines jeden Unternehmens, wird jedoch leider oft vernachlässigt und stellt dann eine der größten Risikoquellen des Unternehmens dar.

Immer, wenn Sie personenbezogene Daten mit einem Dritten teilen, müssen Sie laut der DSGVO und anderen Datenschutzgesetzen überprüfen, dass diese die Daten ausreichend vor unbefugtem Zugriff schützen. Erleidet einer Ihrer Drittanbieter beispielsweise eine Datenpanne und die Informationen Ihrer Kunden werden offengelegt, ist Ihre Organisation für die Behebung, Reaktion und Kommunikation verantwortlich und kann neben Geldbußen auch starke Reputations- und Betriebsschäden erleiden.

Ein gewisses Risiko bei der Datenübermittlung ist immer präsent. Daher ist es entscheidend, dass Sie Ihre Drittanbieter immer genau überprüfen und bewerten und sich deren Risiken bewusst machen, bevor Sie die personenbezogenen Daten Ihrer Kunden mit diesen teilen.

Ein erfolgreichen Drittanbieter-Risikomanagements beinhaltet, neben einem ausführlichen Empfängerverzeichnis, auch rechtliche Garantien für den Datentransfer zu implementieren. Eine der bekanntesten Garantien bei Datenübermittlungen sind beispielsweise die Standarvertragsklauseln, die speziell bei Datentransfer außerhalb der EU angewendet werden, sowie Angemessenheitsbeschlüsse oder andere Verträge. Diese Garantien sind verbindliche Dokumente oder rechtliche Grundlagen für die Datenübertragung und dienen der Gewährleistung des Schutzes der geteilten personenbezogenen Daten.

Wir sprechen von Empfängern, wenn es sich um eine natürliche oder juristische Person, Behörde, Einrichtung, Unternehmen oder andere Stelle handelt, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Jedes Mal, wenn Daten an eine Person oder Einrichtung außerhalb des für die Datenverarbeitung Verantwortlichen übermittelt werden, gelten diese gewöhnlich als Empfänger, so dass es notwendig ist, die betroffenen Personen über diese Datenübermittlung zu informieren. Es ist erforderlich, ein Verzeichnis aller Empfänger zu führen, damit alle Informationen jederzeit abgerufen werden können.

• Name und Firmenbezeichnung des Empfängers

• Empfängerkategorie und die Rolle des Empfängers (z.B. Auftragsverarbeiter oder Verantwortlicher)

• Rechtsgrundlage für die Datenübertragung

  Auftragsverarbeitungsverträge

• Garantien für Datentransfer: Standardvertragsklauseln oder andere relevante Dokumente zur Datenübertragung (z. B. BCR’s (verbindliche interne Datenschutzvorschriften) o. Ä.)