Auftragsverarbeitung und Unterauftragsverarbeiter
Kurz gesagtDie Unterauftragnehmerliste Ihres Anbieters ist die ehrlichste Abhängigkeitskarte, die Sie kostenlos bekommen.
Jeder Dienst, der personenbezogene Daten für Sie verarbeitet, braucht einen Vertrag nach Artikel 28 DSGVO. Die meisten Unternehmen unterschreiben ihn, legen ihn ab und lesen ihn nie wieder. Das ist ein Fehler, aber nicht aus dem Grund, den Datenschutzschulungen nennen.
Warum das Dokument interessant ist
An jedem solchen Vertrag hängt eine Liste der Unterauftragsverarbeiter: aller Unternehmen, die der Anbieter selbst einsetzt, um Ihnen den Dienst zu liefern. Diese Liste ist öffentlich, meist auf einer Unterseite der Anbieterwebsite, und sie ist die einzige Stelle, an der ein Anbieter offenlegen muss, worauf er selbst aufsetzt.
Dort steht dann, dass der europäische SaaS-Anbieter seine Rechenleistung bei AWS bezieht, seine E-Mails über SendGrid verschickt und seinen Support über Zendesk fährt. Drei US-Unternehmen in der Kette eines Produkts, das mit „Hosting in Deutschland" wirbt. Siehe Datenresidenz und Datensouveränität.
Was Sie damit machen
Nehmen Sie Ihre zehn wichtigsten Dienste. Öffnen Sie für jeden die Unterauftragnehmerliste. Notieren Sie zwei Spalten: Firmensitz und Verarbeitungsort. Das dauert einen Vormittag und ersetzt die meisten Beratungspräsentationen zu diesem Thema.
Es beantwortet auch die Frage, die eine Ausschreibungsformulierung wie „Daten bleiben in Deutschland" nie beantwortet: bleiben sie das auch in der zweiten Reihe?
Die Pflicht, die daran hängt
Nach Artikel 28 muss der Auftragsverarbeiter Sie über beabsichtigte Änderungen der Unterauftragnehmer informieren, und Sie können widersprechen. In der Praxis wird das Widerspruchsrecht selten ausgeübt, weil es faktisch die Kündigung bedeutet — aber die Benachrichtigung selbst ist ein kostenloses Frühwarnsystem für Verschiebungen in Ihrer Lieferkette.
Wenn ein Anbieter die Liste nicht führt oder nicht herausgibt, ist auch das eine Information. Siehe Schrems II.