Auftragsdatenverarbeitung, Dokumentation der Kontrolle

Kurzbeschreibung

Musterformular für eine ausführlichere Dokumentation der technischen und organisatorischen Maßnahmen bei der Auftragsdatenverarbeitung.

Wichtige Hinweise

Das Gesetz fordert vom Auftraggeber, dass er sich "vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen" hat (§ 11 Abs. 2 Satz 3 BDSG). Das Ergebnis der jeweiligen Kontrollen ist zu dokumentieren (§ 11 Abs. 2 Satz 5 BDSG). Denn nur so kann der Auftraggeber nachweisen, dass tatsächlich eine Kontrolle stattgefunden hat und sich so gegenüber der Aufsichtsbehörde entlasten.

Auftragsdatenverarbeitung, Dokumentation der Kontrolle

• Dokument in Textverarbeitung übernehmen

Vertragsparteien

Auftraggeber
Auftragnehmer

Angaben zum Vertrag

Auftragsbezeichnung
Art der Leistungen
Vertragsschluss (Datum)
Beginn und Ende der Leistung
Sind alle Punkte geregelt, die in Art. 28 Abs. 9 DSGVO vorgeschrieben sind?
Bei zwei oder mehreren Verantwortlichen: Ist gem. Art. 26 DSGVO geregelt, wer welche Verpflichtungen hat?

Angaben zum Kontrolltermin

Datum der Kontrolle
Ort der Kontrolle
Teilnehmer auf Seiten des Auftraggebers (Name und Funktion)
Teilnehmer auf Seiten des Auftragnehmers (Name und Funktion)
Art der Kontrolle	[ ] erstmalig vor Beginn der Datenverarbeitung [ ] Folgekontrolle letzte vorhergehende Kontrolle: …… (Datum)

Art und Umfang der Kontrolle

Art der Kontrolle	[ ] vor Ort beim Auftragnehmer [ ] schriftlich [ ] telefonisch [ ] Stichproben der geleisteten Arbeit [ ] interner Bericht/Gutachten des Auftragnehmers, erstellt von ….............. am ….......... [ ] Externes Gutachten/Zertifikat, erstellt von ….............. am …..............
Anmerkungen zur Art der Kontrolle (z.B. Art der Recherchen)
Umfang der Kontrolle	[ ] vollständig [ ] beschränkt auf Teilbereich: … [ ] Schwerpunktprüfung: …
Anmerkungen zum Umfang der Kontrolle (z.B. Schwerpunkte bzw. Begründung der Einschränkung des Kontrollumfangs)

Ergebnisse der Überprüfung:

Vertragliche Anforderungen eingehalten? (ohne technische und organisatorische Maßnahmen)	[ ] ja [ ] nein [ ] zum Teil: …
Vereinbarte technische und organisatorische Maßnahmen eingehalten?	[ ] ja [ ] nein [ ] zum Teil: …
Gesetzliche Anforderungen eingehalten? Regelungen der EU-Datenschutz-Grundverordnung berücksichtigt?	[ ] ja [ ] nein [ ] zum Teil: …
Anpassung des bestehenden Vertrags an die Regelung der EU-Datenschutz-Grundverordnung notwendig?	[ ] ist nicht erforderlich [ ] ist erforderlich
Anmerkungen zur Überprüfung
Handlungsbedarf, z.B. sind Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO notwendig?

Weitere Maßnahmen:

Nachkontrolle erforderlich?	[ ] nein [ ] ja, innerhalb folgenden Zeitraums: …
Nächste reguläre Kontrolle	In … Jahren/Monaten Form der Kontrolle: …

_____________________	_____________________
Ort, Datum	Unterschrift des Prüfers