Auftragsverarbeitung: Prüfung und Dokumentation

Kurzbeschreibung

Hat das Wohnungsunternehmen einen Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragt, sollte dessen Tätigkeit regelmäßig geprüft und dokumentiert werden. Zur Prüfung und Dokumentation empfiehlt sich die Verwendung einer Checkliste. Mit dieser kann einerseits dokumentiert werden, dass die Geeignetheit des Auftragnehmers vorab geprüft worden ist und die vertraglichen Vereinbarungen die gesetzlich geforderten Vertragsbestandteile enthalten.

Prüfung der Auftragsverarbeitung

Zur Prüfung und Dokumentation, ob die datenschutzrechtlichen Verpflichtungen bei Einschaltung eines Auftragsverarbeiters eingehalten sind, empfiehlt sich die Verwendung einer Checkliste. Mit einer solchen kann einerseits dokumentiert werden, dass die Geeignetheit des Auftragnehmers vorab geprüft worden ist und die (in der Regel von den Auftragnehmern vorbereiteten) vertraglichen Vereinbarungen die gesetzlich geforderten Vertragsbestandteile enthalten.

Nach Art. 30 DSGVO hat der Auftraggeber ein Verzeichnis der Auftragsverarbeitungen zu führen. Neben der Auflistung der Auftragsverarbeitungen empfiehlt es sich, in der Dokumentation auch die Verträge mit den Auftragsverarbeitern vorzuhalten.

Checkliste

• Dokument in Textverarbeitung übernehmen

Prüfung und Dokumentation der Auftragsverarbeitung

Auftragsverarbeiter: ______________________________________

Auftragsverhältnis: _______________________________________

I. Geeignetheit des Auftragsverarbeiters
1. Es liegt vor:		Ja	Nein
Zertifikat (Art. 42 DSGVO)		□	□
Genehmigte Verhaltensregeln (Art. 40 DSGVO)		□	□
Liegt mindestens eine der Voraussetzungen vor, weiter zu II., anderenfalls Prüfung der TOM.
2. Prüfung der TOM
Einhaltung vertraglich zugesichert		□	□
Aktuelle TOM des Auftraggebers in der Vereinbarung dokumentiert		□	□
II. Prüfung der vertraglichen Grundlage
1. Vertrag in Textform liegt vor		□	□
2. Handeln auf dokumentierte Weisung
Vertrag enthält Festlegungen
	zum Gegenstand der Verarbeitung	□	□
	zur Dauer	□	□
	Vereinbarung zur Hinweispflicht des Auftragsverarbeiters, wenn Weisung des Auftraggebers rechtswidrig sein sollte	□	□
	betroffene Personen	□	□
	Datenkategorien	□	□
3. Verpflichtung der Mitarbeiter auf Vertraulichkeit
Zusicherung der Verpflichtung der Mitarbeiter des Auftragsverarbeiters auf Vertraulichkeit		□	□
4. Unterstützung des Auftraggebers bei der Einhaltung der Rechte des Betroffenen
Unterstützung durch
	Hilfe bei Auskunftsrecht	□	□
	Berichtigung/Vervollständigung	□	□
	Löschung	□	□
5. Löschung oder Rückgabe der personenbezogenen Daten
Vereinbarung vorhanden		□	□
6. Überprüfungsmöglichkeit
Vertraglich ist vereinbart, dass der Auftraggeber befugt ist, die Einhaltung der Vorgabe des Datenschutzes, der Datensicherheit und der vertraglichen Vereinbarungen beim Auftragsverarbeiter zu prüfen		□	□
7. Einschaltung eines Subunternehmers
7.1 Schriftliche Einzelgenehmigung erforderlich		□	□
Wenn nein:
Allgemeine Genehmigung im Vertrag enthalten		□	□
Wenn ja:
Informationspflicht vorab bei beabsichtigter Hinzuziehung oder Ersetzung eines Subunternehmers		□	□
Einspruchsrecht bei Hinzuziehung oder Ersetzung eines Subunternehmers		□	□
7.2 Auferlegung der Pflicht aus Art. 28 DSGVO auf den Subunternehmer		□	□
8. Unterstützung bei der Erfüllung der Pflichten vertraglich zugesichert bei
	Datenschutzverstößen	□	□
	Datenschutz-Folgenabschätzung	□	□

Dokumentation der Auftragsverarbeitungen

• Dokument in Textverarbeitung übernehmen

Stammdaten

Name oder Firma der verantwortlichen Stelle ___________________________

Anschrift der verantwortlichen Stelle ___________________________

Datenschutzbeauftragter

Externer Datenschutzbeauftragter

bestellt über WTS Wohnungswirtschaftliche Treuhand Stuttgart GmbH

Herdweg 52/54, 70174 Stuttgart

Telefon: [phone]

Mail: [e-mail]

Aufsichtsbehörde

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit

Lautenschlagerstraße 20

70173 Stuttgart

Telefon: [phone]

E-Mail: [e-mail]

Verzeichnis Auftragsverarbeitung

Wohnungsunternehmen ___________________

Tätigkeit*)	Dienstleister (Firma, Anschrift)	Vereinbarung nach DSGVO vom
Lohn- und Gehaltsabrechnung
Heizkostenabrechnung
Rechenzentrum/IT-Support
Dokumentenvernichtung
Reichweitenanalyse
ERP-System
___________
___________
___________

*) Anmerkung: Die Aufzählung ist nicht vollständig, sondern nur beispielhaft.