Auftragsverarbeitung

Der Betrieb bleibt für die Rechtmäßigkeit seiner Kunden-, Beschäftigten-, Kommunikations- und Auftragsdaten verantwortlich. Werkstube verarbeitet diese Daten nur dokumentiert im Auftrag, soweit nicht ausnahmsweise eine eigene Verantwortlichkeit besteht.

• Gegenstand, Dauer, Art und Zweck jeder Verarbeitung konkret beschreiben.
• Datenarten und Kategorien betroffener Personen vollständig erfassen.
• Eigenverantwortliche Verarbeitungen – etwa eigene Abrechnung oder Missbrauchsschutz – klar abgrenzen.

Weisungswege, berechtigte Rollen, Dokumentation von Weisungen und Umgang mit rechtswidrig erscheinenden Weisungen sind festzulegen. Personen mit Datenzugriff müssen angemessen verpflichtet und geschult werden.

• Zugriffs-, Rollen- und Mandantentrennung dokumentieren.
• Verschlüsselung, Schlüsselverwaltung, Backups und Wiederherstellung beschreiben.
• Protokollierung, Schwachstellenmanagement, Verfügbarkeit und Notfalltests belegen.
• Löschkonzept, Aufbewahrungsfristen und sichere Datenexporte festlegen.

Freigabeverfahren, Änderungsmitteilungen, Widerspruchsmöglichkeit und gleichwertige Verpflichtungen sämtlicher Unterauftragnehmer sind zu regeln. Für Übermittlungen außerhalb des EWR müssen Transfergrundlage, zusätzliche Schutzmaßnahmen und Risikoanalyse dokumentiert werden.

• Unterstützung bei Betroffenenrechten, Folgenabschätzung und Behördenanfragen regeln.
• Fristen und Meldekanal für Datenschutz- und Sicherheitsvorfälle festlegen.
• Auditnachweise, Zertifikate, Auskunftsrechte und Kosten angemessen bestimmen.
• Rückgabe oder Löschung nach Auftragsende sowie gesetzliche Ausnahmen definieren.