Auftragsverarbeitungsvertrag

Warum es diesen Vertrag überhaupt gibt

Das Datenschutzrecht erlaubt es einem Verantwortlichen nicht, einem Lieferanten personenbezogene Daten auf Treu und Glauben zu übergeben. Artikel 28 UK-DSGVO bestimmt, dass die Beziehung durch einen Vertrag geregelt sein muss, der den Auftragsverarbeiter bindet, und zählt auf, was dieser Vertrag enthalten muss. Die Pflicht gilt in beide Richtungen: Erheben Sie über eine Umfrage personenbezogene Daten und es besteht kein solcher Vertrag, verstoßen Sie dagegen, nicht nur wir. Deshalb fragen Vergabestellen früh danach, und deshalb veröffentlichen wir lieber diese Seite, als vierzigmal dieselbe E-Mail zu beantworten.

Die Seite zur UK-DSGVO erläutert die Aufteilung zwischen Verantwortlichem und Auftragsverarbeiter ausführlicher, einschließlich der Fälle, in denen stattdessen wir der Verantwortliche sind — Kontodaten und Support-Korrespondenz.

Wann Sie einen brauchen und wann nicht

Sie brauchen einen Vertrag, wenn Ihre Umfrage personenbezogene Daten erhebt. Die Schwelle ist niedriger, als es klingt. Eine Umfrage ohne Namensfeld kann trotzdem personenbezogene Daten erheben — über ein Freitextfeld, in dem jemand über sich selbst schreibt, über eine Adress- oder E-Mail-Frage, über einen Datei-Upload oder über ein verstecktes Feld, das ein Aktenzeichen aus Ihrem eigenen System mitführt. Trifft eines davon zu, behandeln Sie die Umfrage als Verarbeitung personenbezogener Daten und bringen Sie die Unterlagen in Ordnung.

Eine wirklich anonyme Umfrage — keine Kennungen, keine versteckten Felder, keine Uploads, kein Freitext, der zu persönlichen Angaben einlädt — braucht keinen Vertrag, weil es keine personenbezogenen Daten zu verarbeiten gibt. Seien Sie dabei ehrlich zu sich selbst. Der Abschnitt zur Anonymität behandelt die drei Funktionen, die sie am häufigsten versehentlich aufheben.

Was unser Vertrag abdeckt

Der Vertrag ist kurz und folgt dem Aufbau von Artikel 28 Absatz 3, statt ihn neu zu erfinden. Jeder dieser Punkte steht im Dokument:

Die Anlage, in klaren Worten

Die Anlage ist der Teil, den die meisten tatsächlich lesen, denn dort steht, wohin die Daten gehen. Umfrageinhalte, Antworten, gespeicherte Zwischenstände und hochgeladene Dateien werden von Supabase auf AWS-Infrastruktur in London (eu-west-2) gespeichert. Die dafür geltenden technischen Kontrollen — TLS bei der Übertragung, AES-256 im Ruhezustand, zeilenbasierte Zugriffssteuerung, serverseitig statt aus dem Browser bestimmte Trennung der Organisationen und ein privater Speicherbereich für Uploads, der nur über signierte URLs mit 300 Sekunden Gültigkeit lesbar ist — sind auf der Sicherheitsseite beschrieben, und dieselbe Beschreibung bildet die Anlage nach Artikel 32.

Jeder Dritte, auf den wir uns stützen, was er tut, was er sieht und wo, steht auf der Seite zu den Unterauftragsverarbeitern. Der Vertrag erteilt die allgemeine schriftliche Genehmigung für diese Liste und verpflichtet uns, eine Ergänzung zu veröffentlichen, bevor der neue Anbieter mit der Verarbeitung beginnt, mit einem Widerspruchsrecht für Sie aus sachlichen Datenschutzgründen. Zwei Zeilen auf jener Seite sind mit „noch zu bestätigen“ gekennzeichnet, weil wir die Region beim Anbieter noch nicht überprüft haben; wenn Sie eine davon vor der Unterschrift bestätigt brauchen, sagen Sie es — wir hören nach, statt zu raten.

Wie Sie ein Exemplar anfordern

Fragen Sie über die Kontaktseite. Nennen Sie uns den vollständigen Namen der vertragschließenden Organisation und die unterzeichnende Person sowie, ob Sie den Vertrag vor oder nach Anlage eines Kontos brauchen — beides ist möglich, und uns ist lieber, Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter liest ihn während der Bewertung, als dass im dritten Monat ein Problem auffällt.

Hat Ihre Organisation ein eigenes vorgeschriebenes Vertragsmuster, schicken Sie es. Kommunen, Einrichtungen des Gesundheitswesens und Hochschulen haben das meist, und Ihres zu prüfen geht schneller, als darüber zu streiten, wessen Papier gewinnt. Wir lesen es gründlich und melden uns mit konkreten Punkten, an denen eine Klausel nicht zur tatsächlichen Arbeitsweise der Plattform passt — etwa eine Kontrollklausel, die eine Vor-Ort-Prüfung in einem Rechenzentrum verlangt, das uns nicht gehört, oder eine Aufbewahrungszusage, die ein automatisches Verfallen voraussetzt, das es bei uns nicht gibt. Das weisen wir lieber aus, als etwas zu unterschreiben, das wir nicht einhalten können.

Was der Vertrag nicht leistet

Er wählt nicht Ihre Rechtsgrundlage, schreibt nicht Ihre Datenschutzhinweise und erstellt nicht Ihre Datenschutz-Folgenabschätzung (DPIA). Das sind Pflichten des Verantwortlichen, und kein Lieferantenvertrag überträgt sie. Wir füllen die Lieferantenteile einer DPIA aus und beantworten einen Sicherheitsfragebogen — was wir abdecken, steht auf der Seite zur UK-DSGVO —, aber die Bewertung selbst ist Ihre.

Er verleiht auch keine Zertifizierung, die wir nicht besitzen. Wir sind nicht nach ISO 27001 zertifiziert, haben kein SOC-2-Audit abgeschlossen und besitzen kein Cyber Essentials. Wenn Ihr Verfahren eines davon als harte Hürde behandelt, bringt Sie der Vertrag nicht darüber hinweg, und Sie sollten das wissen, bevor Sie Zeit in eine Bewertung stecken.

Verwandte Seiten

Sicherheit beschreibt die Kontrollen, zu denen der Vertrag uns verpflichtet. UK-DSGVO behandelt Rollen, Rechtsgrundlagen, Aufbewahrung und die Rechte der Teilnehmenden. Unterauftragsverarbeiter ist die Liste der Anlage in laufend gepflegter Form. Die Erklärung zur Barrierefreiheit ist das andere Dokument, nach dem Vergabestellen meist in derselben E-Mail fragen.

Diese Seite beschreibt den Vertrag. Sie ist keine Rechtsberatung und ersetzt Ihre eigene Prüfung nicht.