Rollen zuerst klären
Verantwortliche bestimmen Zwecke und Mittel der Verarbeitung. Auftragsverarbeiter handeln im Rahmen dokumentierter Weisungen. Ob diese Rollen auf einen konkreten Dienst zutreffen, richtet sich nach den tatsächlichen Verhältnissen und nicht allein nach der Vertragsüberschrift.
Artikel 28 DSGVO beschreibt die Anforderungen an die Auftragsverarbeitung. Dazu gehören unter anderem Gegenstand und Dauer, Art und Zweck, Datenkategorien, Vertraulichkeit, technische Maßnahmen und Unterstützung bei Betroffenenrechten.
Die Modellroute mitdenken
Anwendungshosting, Speicherung, Dokumentenerkennung und externe Modellaufrufe können verschiedene Dienstleister einbeziehen. Die aktuelle Unterauftragnehmerliste und Regeln für Änderungen schaffen Transparenz. Region, Fernzugriff und Löschung nach Vertragsende ergänzen die Bewertung.
Für AI Link wird der vereinbarte Leistungsumfang mit der tatsächlich freigegebenen Anbieterstruktur betrachtet. Ein Vertragsdokument sollte zur ausgewählten Konfiguration passen.
Unterlagen für die Prüfung sammeln
Eine hilfreiche Prüfung verbindet den Vertrag mit technischen und organisatorischen Maßnahmen, einer Liste der Datenarten und einem konkreten Ablaufbild. Haltet offene Fragen und die zuständige Person fest, bevor produktive Daten verarbeitet werden.
Quellen & Vertiefung
Originalpublikationen, Herstellerdokumentation und weiterführende Informationen zu den erläuterten Begriffen und Zahlen.