Regulatorische Konformität: was ein Vertrag in Bezug auf personenbezogene Daten vorsehen muss
Art. 28 DSGVO, Art. 9 nDSG, internationale Übermittlungen: die Pflichtklauseln eines Datenauftragsverarbeitungsvertrags.
Ein Vertrag mit einem IT-Auftragsverarbeiter, einem Hosting-Anbieter, einem SaaS-Tool: Sobald personenbezogene Daten verarbeitet werden, werden präzise Klauseln zwingend erforderlich — nicht optional.
Schnellcheck: Vertrag auf subblink analysieren — erwartete DSGVO- und nDSG-Klauseln, internationale Übermittlungen, Unterauftragsverarbeitung.
1. Die Pflichtklauseln eines Datenauftragsverarbeitungsvertrags
Das Problem
Ein Vertrag mit einem IT-Dienstleister, der personenbezogene Daten im Auftrag des Kunden verarbeitet, muss diese Beziehung zwingend regeln — das Fehlen eines formalisierten Auftragsverarbeitungsvertrags ist selbst bereits ein Konformitätsmangel.
Rechtlicher Hinweis (DSGVO)
Art. 28 DSGVO verlangt einen schriftlichen Vertrag mit Angabe von Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorien von Daten und betroffenen Personen, Sicherheitspflichten (Art. 32), vorheriger Genehmigung für jede weitere Unterauftragsverarbeitung und dem Schicksal der Daten bei Vertragsende.
Rechtlicher Hinweis (nDSG, Schweiz)
Art. 9 des neuen Bundesgesetzes über den Datenschutz verlangt, dass die Verarbeitung durch einen Auftragsverarbeiter auf einem Vertrag oder dem Gesetz beruht, mit einer gleichwertigen Sicherheitsgarantie, und dass jede weitere Unterauftragsverarbeitung einer vorherigen Genehmigung bedarf.
Was subblink erkennt
Das Feld regulatoryCompliance prüft das Vorhandensein der nach Art. 28 DSGVO oder Art. 9 nDSG erwarteten Klauseln, mit einem Status "konform / Abweichungen festgestellt / nicht anwendbar" je nach identifizierter Rechtsordnung.
Nützliche Ressource
Die französische Datenschutzbehörde CNIL bietet eine wiederverwendbare Vorlage für Unterauftragsverarbeitungsklauseln: siehe die Bibliothek offizieller Vertragsreferenzen.
2. Datenübermittlungen außerhalb der Europäischen Union
Das Problem
Ein außerhalb der EU gehosteter Auftragsverarbeiter (insbesondere USA) erfordert eine spezifische Regelung der Datenübermittlung, unter Strafe der Nichtkonformität, selbst wenn der lokale Vertrag ansonsten korrekt formuliert ist.
Rechtlicher Hinweis
Die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss 2021/914) regeln diese Art der Übermittlung, mangels eines Angemessenheitsbeschlusses für das Zielland.
Was subblink erkennt
Eine Erwähnung von Hosting oder Verarbeitung außerhalb der EU im Vertragstext wird als ein Punkt gemeldet, der eine Überprüfung des anwendbaren Übermittlungsmechanismus erfordert.
3. Was regulatorische Konformität nicht abdeckt
Ehrliche Einschränkung
Die Konformitätsprüfung betrifft den Schutz personenbezogener Daten (DSGVO/nDSG). Sie deckt keine branchenspezifischen Pflichten ab: Geldwäschebekämpfung (AML/KYC) für Finanzberufe, FINMA-Konformität für regulierte Schweizer Institute oder jede andere fachspezifische Regulierung. Diese Kontrollen erfordern eine eigenständige Expertise.
4. Kaskadierende Unterauftragsverarbeitung
Das Problem
Ein Auftragsverarbeiter, der selbst einen weiteren Unterauftragsverarbeiter einsetzt (Cloud-Hosting, E-Mail-Versanddienst), muss den Verantwortlichen informieren und dessen Genehmigung einholen — eine Kette, die leicht aus den Augen verloren wird.
Was subblink erkennt
Das Vorhandensein einer Klausel zur Regelung der weiteren Unterauftragsverarbeitung wird als eine der nach Art. 28 DSGVO erwarteten Klauseln geprüft.
Checkliste regulatorische Konformität: Verträge mit personenbezogenen Daten
- Formalisierter Auftragsverarbeitungsvertrag, falls ein Dienstleister Daten im Auftrag des Kunden verarbeitet
- Klauseln nach Art. 28 DSGVO oder Art. 9 nDSG je nach Rechtsordnung vorhanden
- Übermittlungsmechanismus geprüft, falls Hosting außerhalb der EU
- Weitere Unterauftragsverarbeitung einer vorherigen Genehmigung unterworfen
- Schicksal der Daten bei Vertragsende (Löschung oder Rückgabe) präzisiert
FAQ: regulatorische Konformität von Verträgen
Prüft subblink die vollständige DSGVO-Konformität eines Unternehmens?
Nein. Es prüft das Vorhandensein erwarteter Klauseln im Text eines bestimmten Vertrags. Ein vollständiges DSGVO-Konformitätsaudit (Verarbeitungsverzeichnis, Folgenabschätzung, Governance) ist eine umfassendere Übung, die sich von der Analyse eines Vertrags unterscheidet.
Was passiert, wenn der Vertrag keine Verarbeitung personenbezogener Daten erwähnt?
Das Feld regulatoryCompliance zeigt dann einen Status "nicht anwendbar" an — nie eine erfundene Abweichung zu einem Thema, das der Vertrag nicht behandelt.
Deckt subblink branchenspezifische Pflichten ab (FINMA, AML/KYC)?
Nein, diese Kontrollen werden nicht abgedeckt. Siehe den Artikel für Rechts- und Beratungsberufe für Details darüber, was geprüft wird und was nicht.
Sind die Standardvertragsklauseln der Europäischen Kommission irgendwo verfügbar?
Ja, sie sind Teil der Bibliothek offizieller Vertragsreferenzen von subblink, mit klar angegebener Quelle und Land.
Fazit
Die regulatorische Konformität eines Vertrags beruht auf präzisen, gesetzlich vorgeschriebenen Klauseln — nicht auf einem allgemeinen Eindruck von Seriosität.
Art. 28 DSGVO, Art. 9 nDSG, internationaler Übermittlungsmechanismus: drei Punkte, die systematisch zu prüfen sind, sobald ein Vertrag personenbezogene Daten betrifft.