Datenschutz-Nachweise verschicken

Ein Kunde fragt nach Ihren Datenschutz-Nachweisen. Genau das schicken Sie.

Die E-Mail ist vier Zeilen lang und nennt nichts konkret. Dahinter steht eine Einkaufs-Checkliste, die Sie nicht sehen, und ein Vertrag, der sich nicht bewegt, bis Sie antworten. Diese Seite zeigt, wie Sie erkennen, welche von vier Anfragen Sie bekommen haben, was Sie jeweils schicken, was Sie weglassen, und wie Sie das Anschreiben formulieren, damit Sie nächste Woche nicht drei Rückfragen beantworten.

Paket kostenlos erstellen Fertiges Paket ansehen

Lesen Sie alles. Nichts davon braucht ein Konto.

Klären Sie zuerst, welche Anfrage Sie haben

"Bitte senden Sie uns Ihre Datenschutz-Dokumentation" bedeutet vier verschiedene Dinge, je nachdem wer es getippt hat, und das Falsche zu schicken ist der Anfang des Hin und Her.

Die Onboarding-Anfrage. Vom Einkauf, kurz vor Vertragsschluss, meist mit einer knappen Liste oder ganz ohne. Man braucht ein Dokument für Ihre Lieferantenakte. Das ist der häufigste Fall und der, um den es hier vor allem geht.

Der Fragebogen. Eine Tabelle mit Zeilen. Andere Aufgabe: Sie füllen deren Formular aus, statt Ihr Dokument zu schicken. Dafür gibt es eine eigene Anleitung. Die meisten Lieferanten hängen das Paket ohnehin an den Datenschutzteil.

Die Unterschriftsanfrage. "Bitte unterzeichnen Sie den beigefügten AVV." Ein Vertrag, keine Auskunft. Lesen, bei Bedarf die Klauseln zu Unterauftragsverarbeitern und Prüfrechten verhandeln, und Ihre Unterlagen mitschicken, damit die Prüferin sieht, dass beides zusammenpasst.

Die Ausschreibungsanfrage. Ein Rahmenvertrag oder eine öffentliche Vergabe mit bewertetem Datenschutzteil und Zeichenbegrenzung. Gleicher Inhalt, andere Verpackung: gefragt sind kurze, zitierbare Antworten, kein vierzigseitiger Anhang.

Wenn die E-Mail es nicht klar macht, fragen Sie nach. Eine Rückmeldung, "schicke ich gern, geht es um die Lieferantenanlage oder haben Sie ein Formular, das ich ausfüllen soll?", spart eine Woche.

Was Sie bei der Onboarding-Anfrage schicken

Ein Dokument, kein Ordner voller Anhänge

Der häufigste Fehler ist, mit sechs Dateien zu antworten und der Prüferin das Zusammensetzen zu überlassen. Sie wird es nicht tun. Schicken Sie ein Dokument mit den Abschnitten darin und hängen Sie die einzelnen Nachweise, Zertifikate und unterschriebenen Verträge daran.

Wer Sie sind und wer verantwortlich ist

Rechtsträger, Handelsregisternummer, Anschrift und eine namentlich benannte Person mit E-Mail für Datenschutzfragen. Kein Funktionspostfach ohne jemanden dahinter. Das wird zuerst geprüft und ist am leichtesten richtig zu machen.

Was Sie konkret mit deren Daten tun

Nicht alles, was Ihr Unternehmen macht. Die Verarbeitungstätigkeiten, die die verkaufte Leistung betreffen, mit Zweck, Rechtsgrundlage, Datenkategorien und Löschfristen. Sauber abgegrenzt, und die Hälfte der Rückfragen entsteht gar nicht erst.

Ihre Auftragsverarbeiter, mit Ländern

Jeder Dienst, der die Daten berührt, der Rechtsträger, das Verarbeitungsland und ob ein AVV vorliegt. Veröffentlichen Sie diese Liste unter fester Adresse, sagen Sie das und geben Sie die URL an: sie beantwortet das jetzt und jede künftige Änderung ohne weitere E-Mail.

Transfers, und die Grundlage für jeden

Wo Daten die EU verlassen, an wen und auf welchem Mechanismus. Dieser Abschnitt und die Auftragsverarbeiter-Liste sind dieselben Tatsachen, die Prüferin gleicht sie also ab. Erzeugen Sie beides aus einer Quelle, sonst laufen sie auseinander.

Technische und organisatorische Maßnahmen, ehrlich

Was Sie tatsächlich tun: Anmeldung und MFA, Geräteverschlüsselung, Zugriffskontrolle, Updates, Backups, und jedes Zertifikat mit Ablaufdatum. Ein Teilweise mit Notiz liest sich besser als ein Ja, das widerlegt wird. Fügen Sie kein Kontrollrahmenwerk ein, das Sie nicht betreiben.

Melde- und Beschwerdeverfahren

Ihre Meldefrist in Stunden und wie jemand eine Anfrage oder Beschwerde stellt. Liegen beide unter einer öffentlichen Adresse, die die Prüferin öffnen kann, ist das stärker als eine Beschreibung, weil es zeigt, dass sie außerhalb des gerade geschriebenen Dokuments existieren.

Ein Prüfdatum und eine Unterschrift

Wann zuletzt geprüft wurde, wann die nächste Prüfung ansteht, und eine benannte Person, die die Richtigkeit zum heutigen Tag bestätigt. Diese Zeile macht aus einer Beschreibung den Nachweis eines Prozesses, und deshalb liest sich derselbe Inhalt unterschrieben besser als unterschriftslos.

Was gefragt wird, und was es tatsächlich beantwortet

"Bitte senden Sie uns Ihre Datenschutz-Dokumentation."

Das Paket: Tätigkeiten, Auftragsverarbeiter, Transfers, Maßnahmen, Verfahren, unterschrieben und datiert.

Ihr Verzeichnis, dargestellt

"Wer sind Ihre Auftragsverarbeiter und wo liegen unsere Daten?"

Die Tabelle mit Rechtsträger, Zweck, Land und AVV, dazu die öffentliche URL, falls Sie eine haben.

Ihr Dienstleisterverzeichnis

"Bestätigen Sie, ob Daten die EU verlassen."

Empfänger, Land und Mechanismus je Transfer, passend zur Auftragsverarbeiter-Liste.

Ihr Verzeichnis: Transfers

"Wie ist Ihre Meldefrist bei Datenschutzverletzungen?"

Die Stundenzahl und was die Uhr startet, aus dem Verfahren, das Sie tatsächlich betreiben.

Ihr Meldeverfahren

"Haben Sie einen Datenschutzbeauftragten?"

Ob Sie zur Benennung verpflichtet sind, und wenn nicht, die stattdessen verantwortliche benannte Person.

Ihr Verzeichnis: Verantwortlichkeit

"Schicken Sie uns Ihre Datenschutzerklärung."

Die aktuelle Fassung mit Veröffentlichungsdatum, im Paket enthalten statt allein geschickt.

Ihre veröffentlichte Erklärung

"Fügen Sie die Zusammenfassung Ihres Penetrationstests bei."

Noch nichts zu schicken. Das ist eine Tatsache über Ihren Betrieb, kein Dokument.

Das können nur Sie beantworten

"Wie sind Ihre Löschfristen?"

Die Frist je Tätigkeit, mit dem Ereignis, das sie auslöst, statt einer Zahl für das ganze Unternehmen.

Ihr Verzeichnis: Löschfristen

"Bestätigen Sie Ihre Cyber-Versicherung."

Noch nichts zu schicken. Das ist eine Tatsache über Ihren Betrieb, kein Dokument.

Das können nur Sie beantworten

Links steht, was kleinen Lieferanten geschickt wird. Rechts steht, woher die Antwort kommt, sobald Sie ein Verzeichnis führen, statt sie jedes Mal neu zu schreiben.

Was Sie weglassen

Personenbezogene Daten. Ihr Verzeichnis beschreibt, wie Sie personenbezogene Daten verarbeiten. Es enthält nie welche. Keine Kundenlisten, keine Personalakten, keine Beispiele mit echten Namen.
Ihre internen Risikonotizen. Das Register, das Sie für sich führen, enthält Bewertungen, Nachfassnotizen, Dinge, von denen Sie wissen, dass sie zu beheben sind. Das ist Ihr Arbeitsdokument, nicht deren.
Alles über Ihre anderen Kunden. Zu nennen, für wen Sie sonst arbeiten, ist für Sie ein Vertraulichkeitsproblem und sagt der Prüferin nichts über diesen Vertrag.
Vollständige Netzpläne oder Systeminventare. Auf Nachfrage bieten Sie stattdessen eine Zusammenfassung oder eine Bestätigung an und sagen warum. Prüferinnen akzeptieren das routinemäßig.
Alles, was Sie nicht belegen können. Steht hinter einer Aussage nichts, was Sie tatsächlich tun, lassen Sie sie weg. Ein widerlegter Satz lässt das ganze Dokument misstrauisch lesen.

Das Anschreiben

Vier Sätze, und es leistet mehr als das Dokument.

Guten Tag [Name], anbei unser Datenschutzpaket für [die Leistung], mit unseren Verarbeitungstätigkeiten, Auftragsverarbeitern und Transfers, den technischen und organisatorischen Maßnahmen sowie unseren Melde- und Beschwerdeverfahren. Unsere Auftragsverarbeiter-Liste ist unter [URL] veröffentlicht und wird aktuell gehalten, Sie können sie also jederzeit selbst prüfen. Ansprechpartner für Datenschutz ist [Name, E-Mail]. Falls Ihre Lieferantenanlage stattdessen ein bestimmtes Formular verlangt, senden Sie es mir zu, ich schicke es diese Woche zurück.

Der letzte Satz ist der entscheidende: er nimmt dem Fragebogen, der zwei Wochen später kommt, den Wind aus den Segeln, und er sagt der Prüferin, dass Sie nicht schwierig sein werden.

Wie Sie es verschicken

Ein Link schlägt einen Anhang, wo deren Prozess es zulässt, denn ein Link bleibt aktuell und Sie sehen, dass er geöffnet wurde. Setzen Sie ein Ablaufdatum und widerrufen Sie ihn zum Vertragsende.
Ein PDF, wenn das Portal eine Datei will. Viele Lieferantenportale nehmen keine URL an. Drucken Sie dasselbe Dokument, statt ein zweites zu schreiben.
Nie ein geteilter Ordner. Zugriffe brechen, Berechtigungen werden geprüft, und in einem Jahr wissen Sie nicht mehr, wer ihn noch hat.
An die Person, die gefragt hat, mit dem kaufmännischen Kontakt in Kopie, damit wer auf den Vertrag wartet sieht, dass es vorangeht.

Was passiert, wenn es angekommen ist

Drei Ausgänge, alle normal. Es wird angenommen, der Vertrag läuft weiter, und Sie hören nichts mehr. Es kommt mit zwei, drei konkreten Fragen zurück, was heißt, dass die Prüferin ihre Arbeit macht und es meist gründlich gelesen wurde; beantworten Sie sie im selben Dokument und schicken es erneut statt per E-Mail, damit es eine gültige Fassung gibt. Oder es kommt mit einem Fragebogen zurück, weil deren Prozess das eigene Formular verlangt, egal was Sie geschickt haben. Auch dann war die Arbeit nicht umsonst: das Paket beantwortet die meisten Datenschutzzeilen, und Sie hängen es an.

Wie das nächste Mal eine Stunde kostet

Die meisten Lieferanten werden öfter als einmal im Jahr gefragt und bauen das Dokument jedes Mal neu, aus einer Jahre alten Datenschutzerklärung und dem, was in der letzten E-Mail stand. Die Alternative ist, das Verzeichnis einmal zu führen und das Paket als dessen Darstellung zu behandeln statt als Text, den Sie verfassen. Dann aktualisiert ein Anbieterwechsel jedes künftige Paket, ein neuer Kunde kostet eine Stunde, und die Antwort im März kann der Antwort im Januar nicht widersprechen. Genau deshalb baut Rowpa das Paket aus einem Verzeichnis, statt Ihnen eine Vorlage zu geben.

Preise

Dieser Leitfaden ist kostenlos und braucht kein Konto. Wenn Sie es lieber nicht von Hand zusammenstellen: Rowpa liest Ihre Website, entwirft das Verzeichnis und macht daraus das Paket, adressiert an den Fragenden, mit Auftragsverarbeitern, Transfers, Maßnahmen, Verfahren und einer benannten Unterschrift, als widerrufbarer Link oder PDF. Kostenlos alles bauen und lesen, jeden Abschnitt. 49 € einmalig (ein Paket-Pass), um ein Paket an einen Kunden zu senden, Neuerzeugungen für ein Jahr inklusive, keine hinterlegte Karte. Oder ab Starter 44 €/Monat für drei im Monat. Alle Preise zzgl. MwSt.

Kostenlos starten Alle Tarife

Häufige Fragen

Sie haben nach unserem DSGVO-Zertifikat gefragt. Wir haben keins.

Ein DSGVO-Zertifikat gibt es nicht, und die Prüferin weiß das meist: es ist die Kurzform für "zeigen Sie mir, dass Sie das ernst nehmen". Schicken Sie das Paket, und wenn Sie Cyber Essentials oder ISO 27001 halten, legen Sie es mit Ablaufdatum bei. Halten Sie nichts, sagen Sie, was Sie stattdessen tun. Niemand wird wegen des Fehlens eines Zertifikats abgelehnt, das es nicht gibt.

Sollen wir unsere Datenschutzerklärung mitschicken?

Legen Sie sie bei, aber nicht als die Antwort. Eine Datenschutzerklärung ist für die Öffentlichkeit über deren Daten geschrieben. Gefragt wird nach Ihrem Betrieb und deren Daten. Nur die Erklärung zu schicken ist der häufigste Grund, warum ein Paket sofort mit Fragen zurückkommt.

Wie lang sollte das Dokument sein?

Lang genug zum Antworten, kurz genug zum Lesen. Für einen kleinen Lieferanten sind das ein paar Seiten, größtenteils Tabellen. Die Länge ist nicht das Signal, die Konkretheit ist es.

Muss eine Anwältin das vor dem Versand prüfen?

Für das Paket meist nicht: es beschreibt, was Sie tun, und dafür sind Sie die Fachperson. Für einen AVV, den Sie unterschreiben sollen und in dem Haftung steht, lohnt sich eine Prüfung, wenn der Vertrag sich lohnt.

Der Kunde sitzt in Frankreich, wir in Deutschland. Ändert das etwas?

Innerhalb der EU ändert es an der Transferlage nichts. Es kann bedeuten, dass Sprache und Ansprechpartner anders erwartet werden. Die Form des Pakets bleibt gleich.

Können wir dasselbe Paket für den nächsten Kunden nehmen?

Den Inhalt ja, das Dokument nein. Ein Paket ist an einen benannten Kunden adressiert und auf das zugeschnitten, was Sie für ihn tun, und das Dokument von Kunde A an Kunde B zu schicken ist schludrig und ein kleines Vertraulichkeitsleck. Erzeugen Sie es stattdessen neu aus demselben Verzeichnis, das dauert Minuten.

Weiterlesen

Schicken Sie es heute, nicht nächstes Wochenende.

Bauen Sie Ihr ganzes Verzeichnis kostenlos. Bezahlen Sie erst, wenn Sie etwas versenden. Keine Karte nötig.

Paket kostenlos erstellen