„100 % europäische“ Migration. Due Diligence: Die DPA listet einen französischen Host auf – und im Anhang Objektspeicher in den Vereinigten Staaten, globales CDN, Ticketing-Unterstützung in Indien. Niemand hatte das Subunternehmer-Update vom letzten Jahr noch einmal gelesen. Das interne Register wies noch einen rein europäischen Sender aus.
Die DSGVO schreibt vor, dass der Unterauftragnehmer – Ihr Gastgeber – die Unterauftragsverarbeiter streng beaufsichtigen muss. Sie müssen in der Lage sein, zu wissen, wer eingreift, auf was, und eine Änderung, die Ihr Schutzniveau herabsetzt, anfechten zu können. Dabei handelt es sich nicht um eine optionale Legalität bei sensiblen Projekten, sondern um die Voraussetzung dafür, dass Sie einem Wirtschaftsprüfer oder einem Unternehmenskunden Ihre Verarbeitungskette erläutern.
Im DPA erforderliche Klauseln
Fordern Sie zunächst eine erste Liste mit Namen, Ländern, Zweck und Daten an – nicht die Formulierung „Branchenstandard-Dienstleister“. Fügen Sie vorherige Benachrichtigung vor jedem neuen Unterauftragnehmer oder Wechsel des Verarbeitungslandes hinzu. Gewähren Sie ein Widerspruchsrecht mit Frist zur Ablehnung sowie eine Alternative oder eine straflose Kündigung im Falle einer berechtigten Meinungsverschiedenheit.
Flow-Down erlegt die gleichen DSGVO-Verpflichtungen in Kaskade bis zum letzten Link auf. Schließlich ermöglicht ein Prüfungsmechanismus – Zugriff auf die erforderlichen Informationen oder Berichte Dritter – die Überprüfung, ob die vertragliche Zusage vor Ort eingehalten wird.
| Vertragsbruch | Konsequenz | Anforderung |
|---|---|---|
| Keine Liste | Blind-Winkel-Register | Anhang aktuell gehalten |
| Keine Benachrichtigungen | Späte Entdeckung | E-Mail plus 30 Tage |
| Einspruch ausgeschlossen | Lockdown-Risiko | Kündigung aus wichtigem Grund |
Die Unterzeichnung eines DPA ohne Unterauftragnehmeranhang bedeutet die Akzeptanz einer Blackbox.
Täglicher Betrieb
Abonnieren Sie Benachrichtigungen des Hosting-Trustcenters. Verknüpfen Sie jeden Subunternehmer mit Ihrem Verarbeitungsregister. Kreuzen Sie Speicherort der Backups und Cloud Act im Vertrag an, wenn ein amerikanischer Akteur in der Kette auftaucht.
Vergleichen Sie die Transparenz der Anbieter über das Verzeichnis vor einer Neuverhandlung oder Migration.
Wann muss neu verhandelt oder migriert werden?
Wenn der Host die vorherige Benachrichtigung ablehnt, einen wichtigen Subunternehmer ohne Vorankündigung wechselt oder eine US-Cloud ohne dokumentierten Übertragungsmechanismus hinzufügt, wird eine Neuverhandlung – oder Migration – zur Priorität. Auf das Kundenaudit zu warten, um die tatsächliche Kette zu entdecken, ist teurer, als im Vorfeld eine starke Klausel zu haben.
Der Gipfel: der „EU“-Stack, der multijurisdiktional wird
Entscheide dich und gehe ohne blinden Fleck voran
Lesen Sie diese Woche noch einmal Ihre DPA und ihren Subunternehmer-Anhang, listen Sie die Abweichungen von Ihrem internen Register auf und verhandeln Sie dann ggf. die Benachrichtigung und das Einspruchsrecht neu. Verwenden Sie den Vergleicher, um die Transparenz der Spieler zu vergleichen, und konsultieren Sie Hosting-Anbieter prüfen, um Ihre nächste jährliche Überprüfung zu strukturieren.
Häufig gestellte Fragen
Was ist ein Unterauftragsverarbeiter?
Ein Dritter des Hosts, der Ihre Daten verarbeitet – Rechenzentrum, CDN, Support, Backup. Dies muss im DPA und in Ihrem Register dokumentiert werden.
Muss der Gastgeber eine Autorisierung anfordern?
Allgemeine oder besondere Genehmigung gemäß Datenschutzgesetz. Erfordern eine vorherige Benachrichtigung und ein Widerspruchsrecht mit dokumentierter Alternative.
Wo finde ich die aktuelle Liste?
Anlage DPA, Trustcenter oder Dienstleisterregister. Aktualisieren Sie Ihre Registrierung, sobald Änderungen auftreten.
Was tun, wenn ein Subunternehmer außerhalb der EU ansässig ist?
SCC, Eignung oder Transferanalyse prüfen. Widersprechen Sie, wenn das Risiko mit Ihrem Projekt nicht vereinbar ist.
Behalten Sie das Recht, informiert zu werden, bevor ein neues Logo im Kanal erscheint – nicht nach dem Überraschungsaudit.