Eine Aufgabe im Datenschutz-Management ist das vertragsrechtliche On- und Offboarding sowie die Auditierung von Auftragsverarbeitern der Loyalty Partner GmbH, PAYBACK GmbH und PAYBACK Austria GmbH, respektive alle Dienstleister der LP und der PAYBACK Programme in Deutschland und Österreich.

Die Auftragsverarbeiter der LPS und der PAYBACK Programme in Polen und Italien werden von der jeweiligen Organisation gemanaged.

Die DSGVO behandelt Auftragsverarbeiter (engl. Processor) in Artikel 28 und erfordert die enge Bindung eines Dienstleister, der in unserem Auftrag personenbezogene Daten verarbeitet, durch einen dedizierten Vertrag, eine „Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO“.

Um den Schutz der Rechte der betroffenen Personen zu gewährleisten, müssen Auftragsverarbeiter ihre technischen und organisatorischen Maßnahmen (TOMs) beschreiben und ggf. in Audits nachweisen können. Die Auftragsverarbeiter sind weisungsgebunden und dürfen die ihnen übergebenen personenbezogenen Daten nur zum definierten Zweck und unter Einhaltung aller definierten Maßnahmen zur Absicherung und späterer Löschung verarbeiten.

Hier findet ihr die verbindliche Datenschutz-Vorgabe zu Auftragsverarbeitern.

Eine Übersicht der aktiven Auftragsverarbeiter findet ihr hier: 
Y:\LP_Group\DSGVO\_Public\06_Auftragsverarbeiter\CDP-Supplier-List.pdf

Alle Auftragsverarbeiter "im Dreiecksverhältnis" die von Partnern direkt beauftragt werden: 
Y:\LP_Group\DSGVO\_Public\06_Auftragsverarbeiter\CDP-Supplier-Pool.pdf

Beauftragung von Auftragsverarbeitern

Als Teil von GCO unterstützen wir beim vertragsrechtlichen Onboarding neuer Auftragsverarbeiter, unabhängig davon, ob ihr initial einen unserer Juristen oder uns direkt ansprecht.

Im Idealfall beginnt ihr die Abstimmung der „Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO“ mit der deutschsprachigen Vorlage oder in Englisch mit dem Template „Data Processing Agreement According to Art. 28 of the EU General Data Protection Regulation (GDPR)“ direkt mit dem zukünftigen Dienstleister.

Diese Templates werden von GCO gepflegt und befinden sich für jede Organisation in einem Unterordner DPA bzw. AVV in Englisch und Deutsch unter folgendem Verzeichnisbaum:

Y:/GCO/Public/03_Contract_Templates

Wünscht der Dienstleister Änderungen an Vertragsklauseln, sind diese direkt mit dem zuständigen Juristen bei GCO abzustimmen.

Wir reviewen die Anhänge des Vertrags, insbesondere die technischen und organisatorischen Maßnahmen (TOMs) und unterstützen, bis diese unseren Anforderungen entsprechen.

Sobald Vertragsklauseln und Anhänge der AV-Vereinbarung final abgestimmt sind, gebt ihr den Vertrag zur Freigabe in den „FinCA“ Prozess.

Im Rahmen des Onboardings kann ein initiales Audit notwendig sein, bevor der Auftragsverarbeiter erstmalig personenbezogene Daten von uns erhält.

Oft sind parallel AEXP Prozesse wie TLM (Third Party Lifecycle Management) involviert, die Ihr unabhängig hiervon mit „Operational Excellence“ klärt.

Offboarding von Auftragsverarbeitern

Soll ein Auftragsverarbeiter nicht mehr eingesetzt werden, sind die Verträge zu kündigen und die Löschung der Daten mit Bestätigung einzufordern sowie der Dienstleister aus dem Verzeichnis der aktiven Auftragsverarbeiter zu nehmen.

Wir sind hier auf rechtzeitigen Hinweis von Euch angewiesen, um das vertragsrechtliche Offboarding von Auftragsverarbeitern zu unterstützen.

Auditierung von Auftragsverarbeitern

Abhängig von der Risikobewertung werden Auftragsverarbeiter initial beim Onboarding sowie periodisch auditiert.

Die jährliche Audit-Planung erfolgt durch uns in Abstimmung mit „Operational Excellence“ zur Koordination mit anderen Audit-Aktivitäten wie TLM. Berücksichtigt werden dabei Kriterien wie Risikobewertung, Zeitpunkt des zuletzt durchgeführten Audits mit welchem Ergebnis, aktuellen Vorkommnissen, etc. Die Audit-Planung durch uns wird bei Bedarf rechtzeitig mit euch, den designierten Ansprechpartnern für die Dienstleister, abgestimmt.

Ansprechpartner

Alle weitere Fragen gerne an Jens Selbach (-1635)