Vereinbarungen zur Datenweitergabe in GDPRWise: senden, verhandeln, annehmen

Mit jedem Dritten, mit dem Sie personenbezogene Daten teilen, brauchen Sie eine Vereinbarung, die Rollen, Daten und Zweck festhält. GDPRWise erstellt diese Vereinbarung aus Ihrem Drittanbieter-Dossier und sendet der anderen Partei einen Link. Diese liest sie und nimmt an, fragt Änderungen an oder lehnt ab. Auf eine Änderungsanfrage antworten Sie mit einer neuen Version, bis eine Version angenommen und festgehalten ist.

Warum eine schriftliche Vereinbarung nötig ist

Verarbeitet ein Dritter personenbezogene Daten in Ihrem Auftrag, verlangt Artikel 28 Absatz 3 DSGVO einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen und die Pflichten des Auftragsverarbeiters festlegt. Artikel 28 Absatz 9 ergänzt, dass der Vertrag schriftlich abzufassen ist, “was auch in einem elektronischen Format erfolgen kann”. Eine online angenommene Vereinbarung zählt also, solange Sie zeigen können, wer welchen Text wann angenommen hat.

Teilen Sie Daten mit einem anderen Verantwortlichen, schreibt die DSGVO nicht in gleicher Weise einen Vertrag vor, Sie müssen aber nachweisen können, dass die Weitergabe rechtmäßig ist (Artikel 5 Absatz 2 und Artikel 24). Eine schriftliche Vereinbarung ist dafür der einfachste Weg. Den vollständigen Hintergrund finden Sie in Was ist ein Auftragsverarbeitungsvertrag?.

Schritt 1: die Anfrage senden

Sie beginnen auf Prozesse, die wir mit anderen teilen in Ihrem Drittanbieter-Dossier:

1. Fügen Sie den Prozess hinzu, prüfen Sie die Datenelemente und wählen oder erfassen Sie den Dritten.
2. GDPRWise fragt, ob Sie die Anfrage zuerst ansehen möchten. Die Vorschau hat zwei Reiter, E-Mail-Vorschau und Vereinbarungsvorschau: die E-Mail, die der Dritte erhält, und die Vereinbarung selbst.
3. Klicken Sie auf Anfrage senden. Die E-Mail geht an den Datenschutzkontakt des Dritten, mit einem Link zur Prüfung der Vereinbarung.

Bei großen Anbietern wie Microsoft oder Google zeigt die App vor dem Senden einen Hinweis: Sie unterzeichnen selten die Vereinbarungen ihrer Kunden und veröffentlichen meist ihre eigene. Sie wählen dann Stattdessen deren DSA erfassen, um deren veröffentlichte Vereinbarung zu erfassen, oder Trotzdem senden. Dasselbe gilt immer, wenn das Kästchen Der Datenaustausch mit dieser Partei ist bereits durch eine bestehende Vereinbarung oder Richtlinie abgedeckt. zutrifft: Haken Sie es an, dann sendet GDPRWise nichts.

Nach dem Senden zeigt die Karte Ausstehend und Link gültig bis mit einem Datum. Der Link ist 30 Tage gültig. Hat die andere Partei nach 23 Tagen nicht geantwortet, sendet GDPRWise ihr eine Erinnerungs-E-Mail mit demselben Link. Läuft er ab, bevor die andere Partei antwortet, senden Sie die Anfrage erneut; sie geht mit einem neuen Link hinaus.

Schritt 2: was die andere Partei sieht

Der Empfänger öffnet den Link und gelangt auf eine Prüfseite. Sie benötigen kein Konto, steht dort. Oben liest der Empfänger, wer anfragt und was die drei Möglichkeiten bedeuten, danach den Status, das Ablaufdatum des Links und die aktuelle Version der Vereinbarung. Er kann sie am Bildschirm lesen oder als PDF herunterladen.

Unter der Vereinbarung, bei Ihre Antwort, hat der Empfänger vier Möglichkeiten:

• Vereinbarung annehmen (oder Version 2 annehmen, Version 3 annehmen, sobald es mehrere Versionen gibt). Er gibt seinen vollständigen Namen und seine Funktion ein und hakt Ich bin berechtigt, diese Vereinbarung für sein Unternehmen anzunehmen an. Die Annahme ist endgültig.
• Änderungen anfragen: eine Pflichtnachricht, die beschreibt, was sich ändern soll. Ein Datei-Upload ist nicht möglich; der Empfänger erklärt die Änderung in Worten.
• Ablehnen: mit einer Begründung, damit Sie wissen, was Sie verbessern sollen.
• Eine Nachricht senden: eine Frage oder Anmerkung ohne Entscheidung.

Nutzt das Unternehmen des Empfängers ebenfalls GDPRWise, erscheint die Anfrage auf dessen Bildschirm Prozesse, die andere teilen mit der Schaltfläche Öffnen und antworten. Ein angemeldeter Empfänger, dessen Anfrage nicht automatisch verknüpft wurde, kann auf der Prüfseite Zum Dossier von seinem Unternehmen hinzufügen wählen. Wer zuerst antwortet, per Link oder in der App, entscheidet; die andere Stelle zeigt danach das Ergebnis.

Schritt 3: auf eine Änderungsanfrage mit einer neuen Version antworten

Fragt der Empfänger Änderungen an, zeigt Ihre Karte Änderungen angefragt und Sie erhalten eine E-Mail. Klicken Sie auf das Dokumentsymbol der Karte, um die Vereinbarung zu öffnen. Links lesen Sie die aktuelle Version, rechts stehen der Verlauf und Ihre Aktionen.

Sie antworten auf eine von drei Arten:

• Text bearbeiten: Sie passen den Wortlaut im Browser an, ausgehend von der neuesten Version. Bevor der Editor öffnet, bittet GDPRWise Sie, mit Ich übernehme die Verantwortung zu bestätigen: Der Standardtext stammt von GDPRWise, doch sobald Sie ihn ändern, liegt der bearbeitete Wortlaut in der Verantwortung Ihres Unternehmens. Sie können eine Notiz an die andere Partei hinzufügen und Ihre Änderungen vor dem Senden mit Änderungen ansehen prüfen.
• Aus dem Dossier neu erstellen, unter Weitere Aktionen: GDPRWise erstellt eine neue Version aus Ihrem aktuellen Dossier, zum Beispiel nachdem Sie die Datenelemente korrigiert haben.
• Eine Nachricht senden, ebenfalls unter Weitere Aktionen, wenn eine Antwort in Worten genügt.

Jede neue Version erhält eine Nummer und eine Bezeichnung: Standardvereinbarung für Version 1, Bearbeitet von Ihrem Unternehmen oder Neu aus dem Dossier erstellt. Der Empfänger erhält eine E-Mail und sieht die Änderungen gegenüber der vorherigen Version. Hinzugefügter Text ist unterstrichen, entfernter Text ist durchgestrichen. Ab Version 3 kann er auch mit der Standardvereinbarung (Version 1) vergleichen.

Ändern Sie später das Dossier, während eine bearbeitete Version offen ist, überschreibt GDPRWise Ihre Bearbeitungen nie stillschweigend. Die App fragt, ob Sie den Bearbeiteten Text behalten oder Neu erstellen und senden möchten.

Schritt 4: das Ergebnis

• Angenommen: Beide Seiten erhalten eine Bestätigung. Der Empfänger erhält das PDF der angenommenen Version. GDPRWise hält die Version, Name und Funktion der annehmenden Person, den Zeitpunkt und eine Prüfsumme des Dokuments fest. Die angenommene Datei bleibt genau so, wie sie geprüft wurde.
• Abgelehnt: Sie sehen die Begründung auf der Karte. Passen Sie den Prozess oder den Text an und senden Sie eine verbesserte Version; die Karte zeigt dann Am Datum abgelehnt, verbesserte Version gesendet.
• Zurückgezogen: Unter Weitere Aktionen können Sie die Anfrage zurückziehen, etwa wenn Sie nicht mehr mit der Partei zusammenarbeiten. Der Link funktioniert dann nicht mehr, der Verlauf bleibt erhalten, und Sie können die Vereinbarung später wieder öffnen, indem Sie eine neue Version senden.
• Abgelaufen: Der Link ist vor einer Antwort abgelaufen. Senden Sie die Anfrage erneut.

Angenommene Vereinbarungen finden Sie im Reiter Datenaustauschvereinbarungen unter DSGVO-Dokumente.

Praktische Tipps

1. Prüfen Sie vor dem Senden die E-Mail-Adresse des Empfängers. Die Anfrage geht an dessen Datenschutzkontakt; bei einer falschen Adresse meldet die Karte, dass die E-Mail nicht zugestellt werden konnte.
2. Erstellen Sie den Text lieber neu, statt ihn zu bearbeiten, wenn die Änderung Fakten aus Ihrem Dossier betrifft, etwa die Datenelemente oder den Speicherort der Daten. Korrigieren Sie das Dossier und erstellen Sie die Vereinbarung neu; so bleiben Verzeichnis und Datenschutzerklärung mit der Vereinbarung im Einklang.
3. Halten Sie Bearbeitungen klein und erklären Sie sie in der Notiz. Der Empfänger sieht jede Änderung, und eine kurze Erklärung erspart eine weitere Runde.
4. Hat die andere Partei gebeten, ihre eigene Vereinbarung zu verwenden? Erfassen Sie dann deren Vereinbarung, statt Ihre zu senden, und bewahren Sie eine Kopie auf.