Eine Brüsseler Non-Profit-Organisation unterzeichnet belgisches Shared Hosting. Im DSGVO-Fragebogen wird die vollständige Liste der Subunternehmer abgefragt – einschließlich derjenigen des Gastgebers. Der Dienstleister antwortet ohne Anhänge: „Wir sind DSGVO-konform“. Die APD wird im Falle einer Inspektion mit weniger Geduld die gleiche Frage stellen.
In Belgien erwartet die Datenschutzbehörde (DPA) eine dokumentierte Zeichenfolge, keinen Ausweis. Das Problem geht über die Wahl des Gastgebers hinaus: Es betrifft Ihre Registrierung, Ihre Datenschutzbehörde und Ihre Möglichkeit, einen neuen Subunternehmer abzulehnen.
Verantwortlichkeiten in der belgischen Kette
Drei Rollen zu unterscheiden:
| Rolle | Wesentliche Verpflichtung für Subunternehmer |
|---|---|
| Datenverantwortlicher (Sie) | Wählen Sie einen Hoster, der ausreichende Garantien bietet; Unterauftragsverarbeiter zulassen oder verweigern |
| Subunternehmer (Gastgeber) | Einen anderen Subunternehmer nur mit Genehmigung beauftragen; gleiche DSGVO-Verpflichtungen vertraglich |
| Unterprozessor (CDN, Backup usw.) | Gemäß den Anweisungen behandeln; oft ohne ausdrückliche Aufforderung unsichtbar |
Die belgische DSGVO (Umsetzungsgesetz vom 30. Juli 2018) übernimmt diese Regeln. Die belgische Besonderheit: aktive ODA-Kontrollkultur und hohe Erwartungen an Transparenz gegenüber den Betroffenen.
Vertragliche Checkliste vor der Unterzeichnung
Fordern Sie im DPA oder in den Allgemeinen Verkaufsbedingungen Folgendes:
- Erste Liste der Subunternehmer mit Land und Rolle.
- Benachrichtigungsmechanismus (30 Tage) vor der Hinzufügung.
- Widerspruchsrecht oder Verfahren zum Widerruf der Daten.
- Kopie der DPA zwischen dem Host und seinen Subunternehmern (oder Audit-Zusammenfassung).
- Standortklausel abgestimmt auf Ihre Registrierung.
- Unterstützung bei der Reaktion auf die Rechte der Menschen und ODA.
Vergleichen Sie mehrere Einträge über das Verzeichnis, indem Sie Gastgeber mit belgischer Präsenz oder dokumentierter EU-Gerichtsbarkeit filtern.
Karte über den Host hinaus
Selbst bei einem seriösen belgischen oder europäischen Moderator umfasst Ihr Kanal oft:
- Zahlung (Mollie, Stripe)
- E-Mail (Mailchimp, Brevo)
- Analysen
- Support (Zendesk)
- Von Ihnen verwaltetes Externes Backup
Jeder Link = Registereintrag + DPA + Übertragungsanalyse, wenn außerhalb des EWR. Das Muster finden Sie unter Unterauftragsvereinbarung.
Fehler bei belgischen Beamten
Registrierung ohne Unterauftragsverarbeiter des Hosts.
Einspruch vertraglich nicht möglich – missbräuchliche Klausel muss ausgehandelt werden.
Verwechslung von Hosting mit Hosting von Gesundheitsdaten – ein weiteres Framework.
Vergessen Sie Niederländisch/Französisch in rechtlichen Hinweisen – lokale Anforderung, die sich von der DSGVO unterscheidet, aber ein Symptom unvollständiger Sorgfaltspflicht ist.
Der Gipfel: „DSGVO-konform“ ohne benannte Liste
Hier liegt die Lücke zu generischen AGB: Compliance ist eine lebende Liste, keine statische Seite.
Entscheide dich und gehe ohne blinden Fleck voran
- Aktualisieren Sie die APD-kompatible Registrierung mit dem Host und seinen Drittanbietern.
- DPA unterzeichnen mit beigefügter Liste.
- Testen Sie das neue Alarmierungsverfahren für Subunternehmer.
- Führen Sie Ihre eigenen Subunternehmer in derselben Karte zusammen.
- Vergleichen Sie über den Vergleicher und den Leitfaden Subunternehmerklausel.
Häufig gestellte Fragen
Wer ist für die Subunternehmer des Gastgebers verantwortlich?
Der belgische Datenverantwortliche bleibt verantwortlich; Der Gastgeber darf Dritte nur mit vertraglicher Genehmigung beauftragen.
Sollte der Host bei der APD registriert sein?
Das Tätigkeitsregister ersetzt die alten Meldungen; Einige riskante Aktivitäten erfordern AIPD oder Beratung.
Wie kann ich den Kanal prüfen?
Aktuelle Listen, nachgelagerte DPA, Länder, Maßnahmen, Benachrichtigung über Änderungen – vage Antworten sollten Sie ablehnen.
Garantiert ein belgischer Gastgeber einen 100 % belgischen Sender?
Nein: Support, CDN oder Backup können woanders sein. Vertraglich prüfen.
Fordern Sie vor der Unterzeichnung die Liste an – nach dem Vorfall akzeptiert die APD nicht die Aussage „Wir wussten es nicht“.