DPA_TRIGGER · Version 1.0
Auftragsverarbeitung wird vorab gesondert geregelt
Nicht jede Sicherheitsleistung ist automatisch Auftragsverarbeitung. Wenn ein Partner personenbezogene Daten im Auftrag verarbeitet, wird vor Leistungsbeginn eine projektspezifische AVV geschlossen.
Rollen, Datenkategorien, betroffene Personen, Weisungen, Löschfristen, Unterauftragnehmer und konkrete TOM hängen vom Einzelauftrag ab. Deshalb ersetzt diese Seite keine Vereinbarung nach Art. 28 DSGVO.
Wann ist eine AVV zu prüfen?
Eine Prüfung ist insbesondere erforderlich, wenn der Partner im Schwerpunkt weisungsgebunden auf personenbezogene Kunden-, Besucher-, Beschäftigten-, Zutritts-, Video-, Alarm- oder Protokolldaten zugreift. Entscheidend ist die tatsächliche Rollenverteilung im konkreten Auftrag, nicht allein die Bezeichnung des Vertrags.
Pflichtprozess vor Leistungsbeginn
- Datenschutzrollen und Verarbeitungszwecke des Einzelauftrags bestimmen.
- Datenarten, betroffene Personen, Systeme, Empfänger und Drittlandbezüge dokumentieren.
- Konkrete TOM risikobasiert prüfen und freigeben.
- Unterauftragnehmer und deren Standorte transparent erfassen.
- Falls Art. 28 DSGVO greift: AVV einschließlich Weisungen, Kontrollen, Unterstützung, Löschung und Rückgabe beidseitig abschließen.
Bestätigung bei der Registrierung
Das Partnerunternehmen bestätigt, dass es eine auftragsbezogene Verarbeitung erst nach abgeschlossener Rollenprüfung und – soweit erforderlich – wirksamer AVV beginnt. Die Registrierung selbst erteilt keine Weisung zur Verarbeitung von Kundendaten und ersetzt keinen Einzelauftrag.