Auftragsverarbeitungsvertrag, wenn ein Berater Zugriff auf Ihr BC erhält

Wenn sich ein Berater in Ihr Business Central einloggt, kann er Kunden-, Lieferanten- und Mitarbeiterdaten sehen. Dann ist der Partner in der Regel Auftragsverarbeiter, und Sie sind Verantwortlicher. Das erfordert eine schriftliche Vereinbarung. Dieser Artikel beschreibt, was ein solcher Vertrag normalerweise abdeckt und was Sie fragen sollten. Er ist keine Rechtsberatung. Lassen Sie sich von Ihrem eigenen Berater oder Datenschutzbeauftragten bestätigen, was bei Ihnen gilt.

Warum es den Vertrag gibt

Die DSGVO verlangt, dass ein Unternehmen, das einen anderen personenbezogene Daten in seinem Auftrag verarbeiten lässt, einen Vertrag mit ihm hat. Das gilt auch, wenn ein Berater bei der Fehlersuche nur Daten einsehen kann. Der Vertrag beschreibt, was der Auftragsverarbeiter darf und wofür er sorgen muss.

Fragen Sie, ob der Partner einen Standardvertrag hat und ob Sie selbst eine Vorlage haben. Viele Unternehmen haben eine eigene.

Es ist außerdem sinnvoll zu klären, wer beim Partner Zugriff erhalten kann und wie viele. Je weniger Personen, desto leichter ist die Kontrolle. Fragen Sie, ob der Partner nur denjenigen Zugriff gibt, die ihn brauchen.

Was ein Vertrag normalerweise enthält

Ein Auftragsverarbeitungsvertrag beschreibt typischerweise Folgendes. Prüfen Sie, dass jeder Punkt klar ist und zu dem Zugriff passt, den der Berater tatsächlich erhält.

Zweck und Dauer der Verarbeitung
Welche Arten personenbezogener Daten und welche Gruppen von Personen betroffen sind
Dass der Auftragsverarbeiter nur nach Ihrer Weisung handelt
Verschwiegenheitspflicht der Mitarbeiter, die Zugriff erhalten
Sicherheitsmaßnahmen, sowohl technische als auch organisatorische
Unterstützung bei der Beantwortung von Auskunftsersuchen und beim Umgang mit Verletzungen des Schutzes personenbezogener Daten
Wie und wann Daten bei Vertragsende gelöscht oder zurückgegeben werden
Ihr Recht auf Kontrolle, zum Beispiel durch Audit oder Dokumentation

Unterauftragsverarbeiter

Nutzt der Partner weitere Dienstleister, die ebenfalls Zugriff auf Daten erhalten, nennt man sie Unterauftragsverarbeiter. Das kann ein Supportsystem, ein IT-Betriebsdienstleister oder ein KI-Werkzeug sein. Der Vertrag sollte eine Liste davon enthalten und regeln, wie Sie informiert werden, wenn sich die Liste ändert.

Fragen Sie, ob Sie einem neuen Unterauftragsverarbeiter widersprechen können und was geschieht, wenn Sie es tun. Lesen Sie dazu auch den Artikel über KI-Werkzeuge im Support.

Bitten Sie um eine Liste mit Namen und um die Angabe, auf welche Informationen jeder von ihnen Zugriff erhält. Prüfen Sie, dass der Partner mit ihnen Verträge geschlossen hat, die dieselben Anforderungen stellen wie Sie an den Partner.

Übermittlung außerhalb der EU

Werden Daten von einer Stelle außerhalb von EU und EWR verarbeitet, stellen die Regeln besondere Anforderungen an die Grundlage der Übermittlung. Fragen Sie, ob Mitarbeiter oder Subunternehmer des Partners außerhalb der EU sitzen und ob sie Ihre Daten einsehen können. Lassen Sie im Vertrag festhalten, welche Übermittlungsgrundlage verwendet wird. Lassen Sie Ihren Berater das beurteilen.

Fragen Sie auch, wo Ihre Daten physisch liegen, wenn ein Berater mit ihnen arbeitet. Microsoft gibt an, in welcher Region eine Umgebung liegt, und das sehen Sie im admin center. Der eigene Computer eines Beraters, ein Supportsystem oder ein KI-Werkzeug kann aber an einem anderen Ort liegen. Genau das soll der Vertrag beschreiben.

Denken Sie auch an die Zugriffsverhältnisse in Business Central

Microsoft Learn schreibt, dass ein delegierter Administrator in Ihrer Umgebung als Benutzer mit einem Pseudonym und dem Namen des Unternehmens erscheint und dass seine Aktionen im Änderungsprotokoll nachverfolgt werden können. Das erleichtert die Dokumentation, wer Zugriff hatte. Fragen Sie den Partner, wer hinter jedem Pseudonym steht.

Beschränken Sie den Zugriff auf das Notwendige. Microsoft beschreibt, dass Sie pro Umgebung den Partnerzugriff ein- und ausschalten und auf bestimmte Partner begrenzen können. Lesen Sie dazu den Artikel über Fernsupport und Zugriff.

Nächster Schritt

Fordern Sie den Vertrag des Partners an, lesen Sie ihn mit Ihrer Checkliste und lassen Sie ihn von Ihrem eigenen Berater bestätigen. Wenn Sie Fragen zum Support bei Addverk haben, schreiben Sie uns.