Aktuelles
Datum:
Werden IT-Dienste ausgelagert und dabei personenbezogene Daten verarbeitet, müssen Unternehmen zunächst die datenschutzrechtliche Rolle des Dienstleisters klären. Liegt eine Auftragsverarbeitung vor, genügt der erforderliche Auftragsverarbeitungsvertrag allein nicht. Der Verantwortliche muss die Risiken bewerten, geeignete technische und organisatorische Maßnahmen festlegen und deren Umsetzung regelmäßig, anlassbezogen und risikoorientiert überprüfen. Der Beitrag zeigt, wie Datenschutz und Outsourcing Assurance ineinandergreifen und wie sich Dienstleisterrisiken von der Auswahl über den laufenden Betrieb bis zur Beendigung der Zusammenarbeit wirksam steuern und belastbar nachweisen lassen.
Cloud-Services, Software-as-a-Service, externe Rechenzentren und der ausgelagerte IT-Betrieb sind feste Bestandteile vieler Geschäftsmodelle. Datenschutzrechtlich ist dabei entscheidend, welche personenbezogenen Daten der Dienstleister verarbeitet, auf welche Systeme er zugreifen kann, von welchen Standorten aus die Leistung erbracht wird und welche Folgen eine Verletzung von Vertraulichkeit, Integrität oder Verfügbarkeit hätte.
Datenschutz beim IT-Outsourcing beginnt daher vor der Vertragsunterzeichnung. Zunächst sind Leistungsgegenstand, Datenarten, betroffene Personengruppen, Zugriffswege und Verarbeitungskontexte zu erfassen. Darauf aufbauend ist die Rolle des Dienstleisters einzuordnen und risikoorientiert zu beurteilen, ob die vorgesehenen vertraglichen, technischen und organisatorischen Maßnahmen angemessen sind. Im laufenden Betrieb muss überprüfbar bleiben, ob diese Anforderungen tatsächlich umgesetzt werden und welche Nachweise dafür vorliegen.
Genau an dieser Stelle treffen Datenschutz und Outsourcing Assurance aufeinander.
Nicht jede Beauftragung eines externen Dienstleisters stellt automatisch eine Auftragsverarbeitung dar. Je nach tatsächlicher Aufgaben- und Entscheidungsverteilung kann der Dienstleister Auftragsverarbeiter, selbst Verantwortlicher oder gemeinsam mit dem auslagernden Unternehmen Verantwortlicher sein. Maßgeblich sind die tatsächlichen Verhältnisse, insbesondere wer Zwecke und wesentliche Mittel der Verarbeitung bestimmt; die vertragliche Bezeichnung allein entscheidet nicht über die datenschutzrechtliche Rolle.
Liegt eine Auftragsverarbeitung vor, muss der Verantwortliche vor der Beauftragung prüfen, ob der Dienstleister hinreichende Garantien dafür bietet, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die sichere Verarbeitung den Anforderungen der DSGVO entspricht und die Rechte der betroffenen Personen schützt. Der Vertrag nach Art. 28 DSGVO ist hierfür eine zentrale rechtliche Grundlage. Zertifikate, Fragebögen und Prüfberichte können die Bewertung unterstützen, ersetzen aber weder die eigene dokumentierte Prüfung ihrer Aussagekraft. Ebenso wichtig ist die Beurteilung der tatsächlichen Umsetzung: Sind die beschriebenen Maßnahmen für den konkreten IT-Dienst angemessen, nachvollziehbar dokumentiert und nachweislich wirksam?
Aus einer formalen Vertragsprüfung wird damit eine operative Kontrollfrage: Kann das Unternehmen nachvollziehbar belegen, warum es seinem Dienstleister personenbezogene Daten anvertraut und wie es dessen Sicherheitsniveau überwacht?
Ein wesentlicher Anknüpfungspunkt sind die technischen und organisatorischen Maßnahmen – kurz TOMs. Dazu gehören beispielsweise Berechtigungsmanagement, Authentifizierung, Verschlüsselung, Backup- und Wiederherstellungsverfahren, Protokollierung sowie physische und organisatorische Sicherheitsmaßnahmen.
Viele dieser Themen sind zugleich klassische Bestandteile eines internen Kontrollsystems beim Dienstleister. Daraus ergeben sich erhebliche Synergien zwischen Datenschutzprüfung und Outsourcing Assurance.
Ein vorhandener Kontrollnachweis kann beispielsweise Informationen darüber liefern, ob Zugriffsrechte regelmäßig überprüft werden, Änderungen an produktiven Systemen kontrolliert erfolgen oder Sicherheitsvorfälle strukturiert behandelt werden. Für das auslagernde Unternehmen entsteht dadurch eine wesentlich belastbarere Informationsbasis als durch die alleinige Vorlage einer Richtlinie oder eines ausgefüllten Dienstleisterfragebogens.
Allerdings ist entscheidend, welche Kontrollen tatsächlich Gegenstand des jeweiligen Nachweises waren.
Gerade größere IT- und Cloud-Dienstleister stellen ihren Kundinnen und Kunden regelmäßig Berichte nach ISAE 3402, IDW PS 951 oder vergleichbaren Standards zur Verfügung. Solche Berichte sind nicht automatisch Datenschutzprüfungen und können nur innerhalb ihres definierten Prüfungsgegenstands belastbare Informationen liefern. Zudem ist zu unterscheiden, ob der Bericht lediglich die Beschreibung und Ausgestaltung der Kontrollen zu einem Stichtag oder auch deren Wirksamkeit über einen bestimmten Zeitraum beurteilt. Richtig eingeordnet können solche Berichte einen wichtigen Baustein der Dienstleisterüberwachung darstellen.
Sie sollten jedoch nicht lediglich abgelegt, sondern inhaltlich ausgewertet werden. Dabei stellen sich unter anderem folgende Fragen:
Bei der Auswertung sind insbesondere folgende Fragen zu beantworten: Welche Dienstleistungen, Systeme, Gesellschaften und Standorte umfasst der Bericht? Deckt der Berichtszeitraum den für das Unternehmen relevanten Zeitraum ab? Welche Kontrollen wurden geprüft, welche Abweichungen festgestellt und wie wurden diese bewertet? Sind Unterauftragnehmer einbezogen oder vom Prüfungsumfang ausgenommen? Welche komplementären Kontrollen muss das auslagernde Unternehmen selbst umsetzen? Und passen Prüfungsgegenstand und Kontrollziele überhaupt zu den konkreten Datenschutzrisiken des bezogenen IT-Dienstes?
Vor allem aber muss geprüft werden, ob die für den Datenschutz relevanten Themen überhaupt Bestandteil des Berichts sind. Ein Bericht über Kontrollen eines Dienstleistungsunternehmens kann beispielsweise belastbare Aussagen zu Berechtigungen, Change-Management oder IT-Betrieb enthalten, ohne spezifische Anforderungen an Löschung, Betroffenenrechte, Weisungsmanagement oder weitere datenschutzrechtliche Prozesse abzudecken.
Ein Assurance-Bericht kann die Datenschutzüberwachung somit unterstützen – er ersetzt sie nicht.
Wo eine gezielte Aussage zu Datenschutzanforderungen benötigt wird, kann eine gesonderte Datenschutzprüfung, beispielsweise in Anlehnung an IDW PH 9.860.1, eine sinnvolle Ergänzung darstellen. Ihr Ergebnis bezieht sich jedoch auf den festgelegten Prüfungsgegenstand und Prüfungszeitraum; es bestätigt nicht pauschal die vollständige DSGVO-Konformität und entbindet den Verantwortlichen nicht von seinen eigenen Pflichten.
Outsourcing-Beziehungen enden heute häufig nicht beim unmittelbar beauftragten Dienstleister. Cloud- und Plattformanbieter greifen ihrerseits auf Rechenzentren, Supportgesellschaften, Softwareanbieter oder weitere Subdienstleister zurück.
Dadurch entstehen häufig mehrstufige Dienstleisterketten. Bei einer Auftragsverarbeitung bedarf der Einsatz weiterer Auftragsverarbeiter der vorherigen besonderen oder allgemeinen schriftlichen Genehmigung des Verantwortlichen. Im Fall einer allgemeinen Genehmigung muss der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Änderungen informieren und ihm Gelegenheit geben, Einwände zu erheben. Den weiteren Auftragsverarbeitern sind im Wesentlichen dieselben Datenschutzpflichten aufzuerlegen. Zudem muss transparent sein, wo Daten gespeichert und von welchen Standorten aus administrative, Support- oder sonstige Zugriffe erfolgen. Auch der Zugriff aus einem Drittland kann eine datenschutzrechtlich relevante Drittlandübermittlung darstellen, selbst wenn die Daten innerhalb der EU gespeichert sind. Bei tatsächlichen Drittlandübermittlungen sind der einschlägige Übermittlungsmechanismus, gegebenenfalls erforderliche zusätzliche Schutzmaßnahmen und das verbleibende Risiko zu prüfen. Ein bloßer Konzernbezug zu einem Drittland begründet dagegen nicht automatisch eine Übermittlung. Das Vertrags- und Kontrollkonzept sollte Änderungen in der Dienstleisterkette erfassen, Zuständigkeiten festlegen und bei Bedarf eine erneute Risikobewertung auslösen.
Aus Assurance-Sicht stellt sich parallel die Frage, wie weit der vorhandene Kontrollnachweis tatsächlich reicht. Werden Subdienstleister in der Systembeschreibung berücksichtigt? Sind deren Kontrollen Bestandteil der Prüfung oder explizit ausgeschlossen? Welche Risiken verbleiben beim auslagernden Unternehmen?
Datenschutz und Outsourcing Assurance betrachten damit dieselbe Lieferkette aus unterschiedlichen Perspektiven – und können gemeinsam ein deutlich vollständigeres Bild liefern.
Ein Unternehmen lagert seine Entgeltabrechnung an einen externen Dienstleister aus. Dieser verarbeitet Stammdaten, Gehaltsinformationen, Bankverbindungen und weitere personenbezogene Daten der Beschäftigten. Gleichzeitig ist die korrekte Verarbeitung der Daten für wesentliche Geschäfts- und Rechnungslegungsprozesse relevant.
Datenschutzrechtlich sind unter anderem die Rollen der Beteiligten, die vertraglichen Regelungen, die TOMs, Unterauftragnehmer sowie mögliche Drittlandtransfers zu beurteilen.
Der Dienstleister stellt zusätzlich einen ISAE-3402-Typ-2-Bericht zur Verfügung. Dieser enthält Nachweise über Benutzerberechtigungen, Änderungen am Abrechnungssystem, Schnittstellen und den IT-Betrieb. Für das Unternehmen sind diese Informationen wertvoll. Zeigt die Analyse des Berichts jedoch, dass beispielsweise Löschprozesse oder spezifische datenschutzrechtliche Kontrollen nicht vom Prüfungsumfang erfasst werden, verbleibt insoweit weiterer Prüfungsbedarf.
Das Beispiel verdeutlicht den Mehrwert einer integrierten Betrachtung: Der Datenschutz definiert die Anforderungen – Assurance schafft Transparenz darüber, welche Kontrollen beim Dienstleister tatsächlich nachgewiesen sind und wo noch Lücken bestehen.
Ein wirksames Datenschutz- und Outsourcing-Management sollte deshalb den gesamten Lebenszyklus einer Auslagerung umfassen.
Vor der Beauftragung stehen Risikoklassifizierung, Due Diligence, Rollenklärung und die Bewertung der vorgesehenen Sicherheitsmaßnahmen. Soweit die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, ist zudem zu prüfen, ob vor Beginn der Verarbeitung eine Datenschutz-Folgenabschätzung erforderlich ist. Während der Vertragslaufzeit sind insbesondere Änderungen an Leistungen und Verarbeitung, neue Unterauftragnehmer, Kontrollberichte, Sicherheitsvorfälle, Schwachstellen sowie vereinbarte Abhilfemaßnahmen nachzuverfolgen. Bei einer Auftragsverarbeitung muss der Dienstleister Verletzungen des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich melden; klare vertragliche Informations-, Eskalations- und Mitwirkungspflichten sollten sicherstellen, dass dieser seine eigenen Prüf-, Dokumentations- und Meldepflichten erfüllen kann. Bei Beendigung der Auslagerung sind personenbezogene Daten nach Wahl und Weisung des Verantwortlichen kontrolliert zurückzugeben oder zu löschen, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Zugriffsrechte sind zu entziehen und die Umsetzung nachvollziehbar zu dokumentieren.
Gerade bei kritischen Dienstleistern empfiehlt sich daher ein risikoorientierter Ansatz: Je höher die Abhängigkeit des Unternehmens und je sensibler die verarbeiteten Daten, desto intensiver sollten Auswahl, Überwachung und Nachweisführung ausgestaltet sein.
Die Verbindung von Datenschutz und Outsourcing Assurance ermöglicht einen integrierten Blick auf rechtliche, organisatorische und prüferische Anforderungen.
Je nach Ausgangslage unterstützen wir Unternehmen insbesondere bei der Analyse und Bewertung bestehender Outsourcing-Beziehungen, der Einordnung datenschutzrelevanter Dienstleister sowie der Beurteilung technischer und organisatorischer Maßnahmen.
Im Rahmen von Dienstleister-Assessments und GAP-Analysen kann untersucht werden, inwieweit vorhandene Kontrollen die definierten Anforderungen abdecken und an welchen Stellen Handlungsbedarf besteht.
Liegen bereits ISAE-3402-, IDW-PS-951- oder vergleichbare Assurance-Berichte vor, unterstützen wir bei deren strukturierten Auswertung. Dabei werden Prüfungsumfang, Kontrollziele, Feststellungen, Subdienstleister und vom auslagernden Unternehmen zu erfüllende Kontrollen analysiert und den eigenen Anforderungen gegenübergestellt.
Für Dienstleistungsunternehmen wiederum können wir beim Aufbau einer prüfungsfähigen Kontrolllandschaft und bei der Vorbereitung bzw. Durchführung von Assurance-Prüfungen unterstützen. Je nach Zielsetzung können dabei sowohl klassische Outsourcing-Kontrollen als auch datenschutzbezogene Prüfungsgegenstände betrachtet werden. Eine Datenschutzprüfung nach IDW PH 9.860.1 kann insbesondere dann sinnvoll sein, wenn gegenüber Kunden ein spezifischer Nachweis über Datenschutzorganisation, Verfahren und Maßnahmen geschaffen werden soll.
So entsteht aus einzelnen Datenschutz-, IT- und Outsourcing-Kontrollen ein nachvollziehbares Gesamtbild über die Risiken und die Kontrollumgebung der Dienstleistung.
Fazit
Outsourcing ermöglicht Unternehmen Spezialisierung, Skalierbarkeit und den effizienten Einsatz moderner Technologien. Gleichzeitig entsteht eine zunehmende Abhängigkeit von externen Dienstleistern – und damit die Notwendigkeit, Datenschutz- und Kontrollrisiken systematisch zu steuern.
Ein Auftragsverarbeitungsvertrag und dokumentierte TOMs sind notwendige Grundlagen, aber kein Selbstzweck. Eine belastbare Dienstleistersteuerung muss zeigen, dass die Anforderungen zum konkreten IT-Dienst und dessen Risiken passen, tatsächlich umgesetzt werden und über geeignete Nachweise überprüfbar sind. Zugleich muss klar bleiben, welche Kontrollen der Dienstleister übernimmt und welche Pflichten und Restrisiken beim auslagernden Unternehmen verbleiben.
Die Verbindung von Datenschutz und Outsourcing Assurance schafft dafür Transparenz. Sie ermöglicht es, vorhandene Nachweise gezielt zu nutzen, nicht abgedeckte Datenschutzanforderungen frühzeitig zu erkennen und die Überwachung von IT-Dienstleistern risikoorientiert, nachvollziehbar und prüfungsfähig auszugestalten.
