Unterstützung bei der Beschaffungspolitik
Verpflichtungen und Haftung von Dienstleistern gemäß DSGVO
Gemäß Art. 28 DSGVO haften private und öffentliche Stellen für Verstöße gegen die DSGVO durch ihre Auftragsverarbeiter und sind dafür rechenschaftspflichtig, es sei denn, diese sind nach der DSGVO zertifiziert:
Folglich liegt es in ihrer Verantwortung, zu überwachen und nachzuweisen, dass ihre Auftragsverarbeiter die DSGVO vollständig einhalten. Glücklicherweise wird in demselben Artikel auch anerkannt, dass eine anerkannte DSGVO-Zertifizierung zum Nachweis ausreichender Garantien herangezogen werden kann.
Auswirkungen der Zertifizierung von Auftragsverarbeitern auf den Verantwortlichen
| Dienstleister: | Falls nicht zertifiziert | Falls DSGVO-zertifiziert |
|---|---|---|
| Haftung und rechtliche Risiken | Vollständig | Reduziert |
| Arbeitsaufwand für die Überwachung der Compliance | Vollständig | Reduziert |
| Kosten für die Due-Diligence-Prüfung | Vollständig | Reduziert |
| Finanzielle Risiken gemäß Art. 83 DSGVO | Vollständig | Reduziert |
Strategie zur Beschaffungspolitik
Zwar können Sie mithilfe einer Zertifizierung Ihre eigene DSGVO-Konformität nachweisen, doch ist es ein Kinderspiel, von Ihren Dienstleistern zu verlangen, dass sie DSGVO-zertifiziert sind. Dies reduziert Ihre Risiken, Kosten und Ihren Arbeitsaufwand erheblich. Die empfohlene Strategie sieht Folgendes vor:
- Wenden Sie sich an Ihr Beschaffungsteam, um es über die Möglichkeit zu informieren, Risiken, Kosten und Arbeitsaufwand für Ihr Unternehmen zu reduzieren.
- Aktualisieren Sie die Beschaffungsrichtlinie, indem Sie die DSGVO-Zertifizierung als neuen Faktor in das Auswahlverfahren für Dienstleister integrieren, die personenbezogene Daten erhalten. Sie können diesen Faktor für eine Übergangsphase von 24 Monaten als gewichteten Faktor berücksichtigen; nach Ablauf dieser Frist wird er zu einer verbindlichen Anforderung.
- Informieren Sie Ihren Dienstleister über Ihre neue Richtlinie und fordern Sie ihn auf, eine DSGVO-Zertifizierung zu beantragen.
Förderprogramm zur Optimierung der Beschaffungspolitik
ECCP stellt allen Organisationen, die ihre Beschaffungsrichtlinien aktualisieren, kostenlose Online-Ressourcen zur Verfügung. Darüber hinaus steht Unternehmen mit einer großen Anzahl von Datenverarbeitern ein spezielles Unterstützungsprogramm zur Verfügung. Jedes Unternehmen, dessen Beschaffungsprogramm mehr als 20 Datenverarbeiter umfasst und dessen Beschaffungsbudget über 10 Millionen Euro beträgt, kann sich für unser Förderprogramm zur Optimierung der Beschaffungsrichtlinien bewerben. Ausgewählte Bewerber erhalten maßgeschneiderte Live-Unterstützung bei der Optimierung ihrer Beschaffungsrichtlinien sowie ein kostenloses Willkommenspaket. Bewirb dich für das Förderprogramm.
Musterklauseln
Mitteilung des Datenschutzbeauftragten an das Beschaffungsteam
„Sehr geehrtes Beschaffungsteam,
Gemäß der DSGVO ist unsere Organisation erheblichen und unnötigen Risiken, Kosten und Arbeitsaufwand ausgesetzt, wenn sie Dienstleister einsetzt, die nicht DSGVO-zertifiziert sind. Wir bitten Sie daher, die Auswahlkriterien für unsere Dienstleister anzupassen und die DSGVO-Zertifizierung als wesentliche Anforderung aufzunehmen. Wir schlagen vor, eine Übergangsphase von 24 Monaten vorzusehen, in der dies ein gewichtetes Kriterium ist, bevor es zu einer zwingenden Anforderung wird. Diese Anpassung wird dazu beitragen, die Risiken, die Kosten für die Überwachung der Einhaltung der Vorschriften und den Arbeitsaufwand für unsere Organisation zu verringern.
Wir stehen Ihnen gerne zur Verfügung, um dieses Thema näher zu erläutern und zu erörtern.
Mit freundlichen Grüßen,
„Das DPO-Team“
Standard-Beschaffungsklausel
„Um die Risiken einer Nichteinhaltung der DSGVO zu minimieren, werden Dienstleister, die von uns übermittelte personenbezogene Daten verarbeiten, dazu aufgefordert, die vollständige DSGVO-Konformität ihres Dienstleistungsangebots durch eine DSGVO-Zertifizierung nachzuweisen. Eine solche Zertifizierung wird im Auswahlverfahren als großer Vorteil und Wettbewerbsvorteil gewertet. Bis zum [Datum in 24 Monaten oder später einfügen] wird die DSGVO-Zertifizierung voraussichtlich zu einer zwingenden Voraussetzung werden.“
Mitteilung an Dienstleister
„Sehr geehrte Dienstleister und Auftragsverarbeiter,
Unsere Organisation nimmt den Schutz personenbezogener Daten und ihre Verpflichtungen gemäß der DSGVO sehr ernst. Wir möchten Sie darüber informieren, dass wir beschlossen haben, unsere Beschaffungsrichtlinie zu aktualisieren.
Gemäß Art. 28 DSGVO sind für die Verarbeitung Verantwortliche Risiken und Haftungsansprüchen ausgesetzt, falls ihre Auftragsverarbeiter die Vorschriften nicht einhalten. Um unsere Risiken zu mindern, ermutigen wir unsere Dienstleister, die vollständige DSGVO-Konformität ihres Dienstleistungsangebots durch eine DSGVO-Zertifizierung nachzuweisen. Eine solche Zertifizierung wird im Auswahlverfahren unserer Dienstleister und Auftragsverarbeiter als starker Wettbewerbsvorteil gewertet.
Zu einem späteren Zeitpunkt, in 24 Monaten, wird die DSGVO-Zertifizierung voraussichtlich zu einer verbindlichen Anforderung für unsere Beschaffungspolitik werden.
Auch wenn eine solche DSGVO-Zertifizierung unseren Partnern wahrscheinlich einen gewissen Aufwand abverlangen wird, sind wir zuversichtlich, dass sie für sie gegenüber anderen B2B-Partnern und Kunden einen starken Wettbewerbsvorteil darstellen und es ihnen ermöglichen wird, neue Marktanteile zu gewinnen.
Weitere Informationen zur DSGVO-Zertifizierung finden Sie online, zum Beispiel unter gdprcertification.com und europrivacy.com.
Mit freundlichen Grüßen,
„Das Beschaffungsteam“