{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"comprendre-le-role-du-sous-traitant-selon-le-rgpd-responsabilites-et-implications","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/de_at\/die-rolle-des-unterauftragnehmers-gemas-der-dsgvo-verstehen-verantwortlichkeiten-und-auswirkungen\/","title":{"rendered":"Die Rolle des Subunternehmers im Rahmen der DSGVO verstehen: Verantwortlichkeiten und Auswirkungen"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t

DSGVO-Subunternehmer: Warum die Bewertung Ihrer Dienstleister zu einem entscheidenden Thema f\u00fcr Ihr Unternehmen geworden ist<\/h1>\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Die Auslagerung der Datenverarbeitung an einen Dienstleister entbindet das Unternehmen niemals von seinen Verantwortlichkeiten. Seit 2021 CNIL<\/strong> hat die Sanktionen gegen Organisationen versch\u00e4rft, die ihre Mitarbeiter nicht ordnungsgem\u00e4\u00df bewertet oder reguliert hatten DSGVO-Unterauftragnehmer<\/strong> 1 Million Euro gegen Mobius Solutions im Dezember 2025, 1,5 Millionen Euro gegen Dedalus Biologie, 600.000 Euro gegen die Canal+ Group, 800.000 Euro gegen Discord. Die Botschaft ist klar: Lagern Sie die Verarbeitung aus. personenbezogene Daten<\/strong> Die Einhaltung wird nicht delegiert.<\/p>\n

F\u00fcr Manager hat sich der Fokus von rechtlichen Fragen hin zum Risikomanagement verlagert. Die Bewertung von Dienstleistern und die Formalisierung von der DSGVO-Unterauftragsvertrag<\/strong>Die \u00dcberwachung der Lieferkette \u00fcber einen l\u00e4ngeren Zeitraum: Dies sind rechtliche Verpflichtungen, deren Nichteinhaltung kostspielig ist.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Die Rolle des DSGVO-Subunternehmers und seine Pflichten verstehen<\/h2>

Wer ist ein Unterauftragnehmer im Sinne der DSGVO?<\/h3>

Die DSGVO definiert einen Datenverarbeiter als jede nat\u00fcrliche oder juristische Person, die Daten verarbeitet personenbezogene Daten<\/strong> im Namen von Datenverantwortlicher<\/strong>Sobald ein Dienstanbieter auf Daten zugreift, diese hostet, analysiert oder speichert, personenbezogene Daten<\/strong> Wenn Sie ihm etwas anvertrauen, ist er ein Subunternehmer: Cloud-Hoster, SaaS-Anbieter, Lohnabrechnungsdienstleister, Marketingagenturen, Callcenter, CRM-, E-Mail-Anbieter, IT-Wartungsunternehmen.<\/p>

Die Grenze mit dem Status von Datenverantwortlicher<\/strong> Das ist nicht immer offensichtlich. Ein Dienstleister, der \u00fcber Zweck und Art der Datenverarbeitung entscheidet, f\u00e4llt in eine h\u00f6here Kategorie und tr\u00e4gt dann die volle Verantwortung. Genau in diese Falle tappte Mobius Solutions Ltd., die daraufhin von der zust\u00e4ndigen Beh\u00f6rde mit einer Geldstrafe von einer Million Euro belegt wurde. CNIL<\/strong> im Dezember 2025 wegen der Wiederverwendung von Deezer-Daten zur Verbesserung eigener Dienste ohne Anweisung des Kunden.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Die in Artikel 28 dargelegten Verpflichtungen des Unterauftragnehmers<\/h3>

Artikel 28 der DSGVO listet ausdr\u00fccklich die Pflichten des Subunternehmers<\/strong> : ausschlie\u00dflich gem\u00e4\u00df dokumentierter Anweisungen handeln, die Vertraulichkeit des autorisierten Personals gew\u00e4hrleisten, geeignete technische und organisatorische Sicherheitsma\u00dfnahmen umsetzen, die Datenverantwortlicher<\/strong> bei der Wahrung der Rechte von Einzelpersonen und der Meldung von Verst\u00f6\u00dfen, der L\u00f6schung oder R\u00fcckgabe von Daten nach Beendigung der Dienstleistung und der Aufrechterhaltung eines Verarbeitungst\u00e4tigkeitenregister<\/strong> spezifisch f\u00fcr seine T\u00e4tigkeit.<\/p>

Diese letzte Verpflichtung wird oft \u00fcbersehen. Die franz\u00f6sische Datenschutzbeh\u00f6rde CNIL hat sie jedoch in mehreren aktuellen Sanktionen, darunter im Fall Mobius Solutions, angef\u00fchrt. Wer kein Register f\u00fchrt, verliert im Falle einer Pr\u00fcfung den wichtigsten Nachweis f\u00fcr die Einhaltung der Vorschriften.<\/p>

Weitervergabe von Unterauftr\u00e4gen: Vorherige Genehmigung ist zwingend erforderlich<\/h3>

Ein Subunternehmer darf einen weiteren Subunternehmer nur mit vorheriger schriftlicher Genehmigung, sei es spezifisch oder allgemein, beauftragen (\u201eKaskadenprinzip\u201c). Datenverantwortlicher<\/strong>Bei allgemeiner Autorisierung muss der Anbieter den Kunden \u00fcber alle \u00c4nderungen informieren, damit dieser Widerspruch einlegen kann. Ein SaaS-Anbieter, der auf einen Cloud-Hosting-Anbieter angewiesen ist, welcher wiederum einen Monitoring-Subanbieter nutzt, muss jeden einzelnen Schritt in der Kette dokumentieren k\u00f6nnen.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Die Pflicht zur Bewertung von Subunternehmern: eine allzu oft vernachl\u00e4ssigte Pflicht<\/h2>

Eine explizite und strukturierende Verpflichtung der DSGVO<\/h3>

Artikel 28 Absatz 1 der DSGVO ist eindeutig: Datenverantwortlicher<\/strong> \u201eEs werden ausschlie\u00dflich Subunternehmer eingesetzt, die ausreichende Garantien bieten.\u201c Dies ist keine Empfehlung, sondern eine zwingende Verpflichtung. Vor Vertragsabschluss muss der Verantwortliche sicherstellen, dass der Dienstleister \u00fcber die erforderlichen Kompetenzen, Verfahren und die notwendige Organisation verf\u00fcgt, um Daten gem\u00e4\u00df den geltenden Bestimmungen zu verarbeiten.<\/p>

Dies impliziert ein formalisiertes Bewertungsverfahren: Kriterienraster, Konformit\u00e4tsfragebogen, Anforderung von Belegen (Sicherheitsrichtlinie, Zertifizierungen, DPA<\/strong>, Register, Bezeichnung eines Datenschutzbeauftragter<\/strong>), Analyse nachfolgender Subunternehmer, \u00dcberpr\u00fcfung des Serverstandorts und etwaiger potenzieller Datentransfers<\/strong> Au\u00dferhalb der EU. Diese Beurteilung muss nachverfolgt und aufbewahrt werden \u2013 ohne sie kann der Manager weder seine Sorgfaltspflicht noch seine Einhaltung des Rechenschaftspflichtprinzips nachweisen.<\/p>

CNIL-Sanktionen, die Manager alarmieren sollten<\/h3>

Im Jahr 2024 CNIL<\/strong> Sie verh\u00e4ngte 87 Sanktionen mit einem Gesamtvolumen von \u00fcber 55 Millionen Euro. Mehrere aktuelle F\u00e4lle zeigen, dass die Bewertung und Regulierung ihrer Dienstleister zu einem zentralen Kontrollbereich geworden ist.<\/p>

Der Fall Dedalus Biologie (April 2022, 1,5 Millionen Euro) bleibt beispielhaft. CNIL<\/strong> Die franz\u00f6sische Wettbewerbsbeh\u00f6rde verh\u00e4ngte gegen diesen Softwarehersteller f\u00fcr medizinische Labore eine Sanktion nach einem massiven Datenleck mit Gesundheitsdaten. Neben der Sicherheitsl\u00fccke wurde vor allem das Fehlen der in Artikel 28 festgelegten Pflichtklauseln in den Standardvertr\u00e4gen als Grund angef\u00fchrt. Diese Entscheidung markiert einen Wendepunkt: Ein Subunternehmer kann nun direkt bestraft werden, wenn er die Gesch\u00e4ftsbeziehung nicht ordnungsgem\u00e4\u00df formalisiert, unabh\u00e4ngig von der Verantwortung des Auftraggebers.<\/p>

Der Fall Mobius Solutions Ltd \/ Deezer (Dezember 2025, 1 Million Euro) verdeutlicht die h\u00e4ufigsten M\u00e4ngel: Datenaufbewahrung \u00fcber das Vertragsende hinaus, Verarbeitung au\u00dferhalb der Anweisungen des Kunden, fehlendes Register, mangelnde Sicherheitsma\u00dfnahmen, die zur Ver\u00f6ffentlichung der Daten von mehreren Millionen Nutzern im Darknet f\u00fchrten.<\/p>

Der Discord-Fall (2022, 800.000 \u20ac) f\u00fchrt zu Sanktionen seitens der Datenverantwortlicher<\/strong> Das Fehlen eines den Bestimmungen von Artikel 28 entsprechenden Vertrags. Die Canal+ Group, die 2022 mit einer Geldstrafe von 600.000 \u20ac belegt wurde, wurde insbesondere wegen des Fehlens ausreichender vertraglicher Vereinbarungen bestraft. Stand 27. Januar 2021 CNIL<\/strong> f\u00fchrte seine Doktrin ein, indem er gleichzeitig eine Datenverantwortlicher<\/strong> (150.000 \u20ac) und seinem Unterauftragnehmer (75.000 \u20ac) wegen Nichtergreifung von Ma\u00dfnahmen gegen Credential Stuffing.<\/p>

Was die CNIL bei ihren Pr\u00fcfungen untersucht<\/h3>

W\u00e4hrend Entscheidungen getroffen werden, wird das Kontrollnetz des CNIL<\/strong> Die Details sind nun klarer. Die Beh\u00f6rde pr\u00fcft die Existenz eines\/einer DSGVO-Unterauftragsvereinbarung<\/strong> schriftlich und gem\u00e4\u00df Artikel 28, die Dokumentation der Anweisungen, die aktuelle Liste der nachfolgenden Unterauftragnehmer, die tats\u00e4chlich umgesetzten technischen und organisatorischen Ma\u00dfnahmen, die Meldeverfahren f\u00fcr einen Datenschutzverletzung<\/strong>, die Regelungen zur Unterst\u00fctzung von Einzelpersonen bei der Wahrnehmung ihrer Rechte, die Bedingungen f\u00fcr die Beendigung des Vertrags und die Nachvollziehbarkeit der durchgef\u00fchrten Pr\u00fcfungen.<\/p>

Um Ihre Organisation auf diese Kontrollpunkte vorzubereiten, bieten wir Ihnen folgende Leistungen an: Ein vollst\u00e4ndiger Leitfaden f\u00fcr DSGVO-Compliance-Audits<\/a><\/strong> beschreibt die anzuwendende Methodik.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Wollen Sie Ihre Subunternehmerkette absichern und Ihre Compliance nachweisen?\u00a0<\/strong><\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tSprechen Sie mit einem Viqtor\u00ae-Experten<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Aufbau eines soliden Vertragsrahmens: der DSGVO-Unterauftragsvertrag<\/h2>

Die zwingenden Bestimmungen des Artikels 28 Absatz 3<\/h3>

Die Datenverarbeitungsvereinbarung (DPA)<\/strong>, Oder DSGVO-Unterauftragsvereinbarung<\/strong>muss einen Kernsatz von in der Verordnung vorgeschriebenen Klauseln enthalten: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der Daten und Kategorien von Personen, Pflichten und Rechte der Datenverantwortlicher<\/strong>Der Vertrag muss au\u00dferdem acht konkrete Verpflichtungen des Unterauftragnehmers enthalten: die Ausf\u00fchrung dokumentierter Anweisungen, die Gew\u00e4hrleistung der Vertraulichkeit, die Durchf\u00fchrung der erforderlichen Sicherheitsma\u00dfnahmen, die Beauftragung weiterer Unterauftragnehmer nur mit Genehmigung, die Unterst\u00fctzung bei der Beantwortung von Anfragen von Einzelpersonen, die Unterst\u00fctzung in Sicherheits- und Benachrichtigungsfragen, die R\u00fcckgabe oder L\u00f6schung von Daten nach Vertragsende und die Bereitstellung aller f\u00fcr Audits notwendigen Informationen.<\/p>

Die Standard-Gesch\u00e4ftsbedingungen eines Verlags sind im Allgemeinen unzureichend, wie zum Beispiel die CNIL<\/strong> Dedalus und mehrere andere Dienstleister, die inzwischen sanktioniert wurden, wurden daf\u00fcr kritisiert. Eine \u00dcberpr\u00fcfung jedes einzelnen Vertrags ist unerl\u00e4sslich.<\/p>

Fallstricke, die es beim Schreiben zu vermeiden gilt<\/h3>

Mehrere Fehler untergraben regelm\u00e4\u00dfig die Einhaltung der Vorschriften. Eine Klausel, die den Subunternehmer vollst\u00e4ndig von der Haftung befreit, ist gegen\u00fcber dem CNIL<\/strong> was das Opfer eines Lecks betrifft. Eine fehlende oder veraltete Liste nachfolgender Subunternehmer legt die Datenverantwortlicher<\/strong> zu einem Fehlschlag. Vage beschriebene Sicherheitsma\u00dfnahmen reichen nicht aus: die CNIL<\/strong> erwartet ein konkretes, \u00fcberpr\u00fcfbares und datiertes Referenzdokument. Das Fehlen eines Verfahrens zur Meldung von Verst\u00f6\u00dfen oder Fristen, die mit den 72 Stunden, die dem\/der\/den Betroffenen auferlegt wurden, nicht vereinbar sind, Datenverantwortlicher<\/strong>, wird systematisch gegen\u00fcber s\u00e4umigen Subunternehmern einbehalten.<\/p>

Die zentrale Rolle des Datenschutzbeauftragten und der Daten-Governance<\/h3>

DER Datenschutzbeauftragter<\/strong> Der Datenschutzbeauftragte spielt eine zentrale Rolle: Er leitet die Bewertung von Dienstleistern, pr\u00fcft Vertragsklauseln, \u00fcberwacht das Verzeichnis der Subunternehmer und macht die Gesch\u00e4ftsleitung auf Risiken aufmerksam. In Abwesenheit eines Datenschutzbeauftragten Datenschutzbeauftragter<\/strong>Diese Aufgaben m\u00fcssen von einer klar definierten Funktion durchgef\u00fchrt werden. Datenverwaltung<\/a> ma\u00dfgeblich h\u00e4ngt es von der F\u00e4higkeit ab, die Beziehung zu den Subunternehmern \u00fcber die Zeit aufrechtzuerhalten.<\/p><\/div>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Beziehungsmanagement im Zeitverlauf: Audits, \u00dcberwachung und Vorfallmanagement<\/h2>

Eine fortlaufende Verpflichtung, keine blo\u00dfe Formalit\u00e4t bei der Unterschrift<\/h3>

Es gen\u00fcgt nicht, es in einen Vertrag aufzunehmen. Datenverantwortlicher<\/strong> muss im Laufe der Zeit sicherstellen, dass sein Dienstleister seine Verpflichtungen einh\u00e4lt: regelm\u00e4\u00dfige Audits, j\u00e4hrliche \u00dcberpr\u00fcfung der DPA<\/strong>systematische Aktualisierung im Falle einer \u00c4nderung (neuer nachfolgender Subunternehmer, neuer Leistungsumfang, neuer Serverstandort).<\/p>

Dort CNIL<\/strong> ist eindeutig: Die Verwendung eines Subunternehmers befreit niemals von der Datenverantwortlicher<\/strong> Canal+ wurde wegen Verletzung seiner Sorgfaltspflicht sanktioniert. Die Sanktion beruhte genau auf der Feststellung, dass die effektive \u00dcberwachung der Dienstleister nicht umgesetzt wurde. Im Gegensatz dazu beweist ein Unternehmen, das Pr\u00fcfberichte, ausgef\u00fcllte Frageb\u00f6gen und Ma\u00dfnahmenpl\u00e4ne vorlegen kann, seine Sorgfaltspflicht, selbst im Falle eines Vorfalls.<\/p>

DER Viqtor-Subunternehmermodul<\/a> Die Bewertung, der Vertrag, nachfolgende Unterauftragnehmer, Pr\u00fcfungen und die Historie der Transaktionen werden in einem einzigen Repository zentralisiert.<\/p>

Reaktion auf eine Datenschutzverletzung bei einem Dienstanbieter<\/h3>

Ein erheblicher Anteil der Verst\u00f6\u00dfe, die jedes Jahr der Polizei gemeldet werden, CNIL<\/strong> beinhaltet einen Subunternehmer. Datenverantwortlicher<\/strong> Daher muss von Anfang an ein Schnellwarnsystem im Vertrag vorgesehen sein. Der Subunternehmer ist verpflichtet, seinen Auftraggeber \u201eso schnell wie m\u00f6glich\u201c zu informieren, was in der Praxis 24 bis 48 Stunden bedeutet, um die Benachrichtigung innerhalb der gesetzlichen 72-Stunden-Frist zu erm\u00f6glichen. CNIL<\/strong>Unsere Seite, die dem gewidmet ist Erkl\u00e4rung zu Datenschutzverletzungen<\/a> Er beschreibt die einzelnen Schritte detailliert.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Was Sie beachten sollten<\/h2>