PM-Tool-Auswahl nach Stadt.

Datenhaltung und Datenschutz: der standortunabhängige Rahmen

Die rechtlichen Anforderungen an die Datenhaltung hängen nicht vom Standort des Teams ab, sondern davon, welche Daten verarbeitet werden und wo sie liegen. Deshalb steht der Rahmen hier einmal — die Standortseiten behandeln, was in der jeweiligen Wirtschaftsregion an Projektarten und Anforderungen tatsächlich anders ist.

Drei Fragen, die regelmässig vermischt werden

Wo stehen die Server, wer betreibt sie, und welchem Recht untersteht der Betreiber? Die dritte Frage ist die entscheidende und wird am seltensten beantwortet. Ein Unternehmen mit Sitz ausserhalb des EWR kann unter dem Recht seines Sitzstaates zur Herausgabe von Daten verpflichtet werden, auch wenn diese physisch in einem europäischen Rechenzentrum liegen. Der Serverstandort allein beantwortet die Frage also nicht.

Was Sie konkret erfragen sollten

In welchem Land ist die vertragsschliessende Gesellschaft eingetragen, und wer ist ihre Muttergesellschaft? In welchen Ländern liegen Produktivdaten, Sicherungen und Protokolldaten — jeweils einzeln? Welche Unterauftragsbearbeiter werden eingesetzt, in welchen Ländern, und wie wird über Änderungen informiert? Wer im Anbieterunternehmen kann auf Kundendaten zugreifen, und wie wird das protokolliert?

Die aussagekräftigste Einzelfrage ist die nach der vollständigen Liste der Unterauftragsbearbeiter mit Sitzland und Verarbeitungszweck. Anbieter mit sauberer Struktur haben diese Liste öffentlich; wer sie nicht liefern kann, hat sie meist selbst nicht.

Der Auftragsverarbeitungsvertrag

Wer Personendaten durch einen Anbieter verarbeiten lässt, braucht eine vertragliche Grundlage dafür. Prüfen Sie den Vertrag vor Abschluss, nicht danach, und achten Sie besonders auf zwei Punkte: Wie wird über neue Unterauftragsverarbeiter informiert, und besteht ein Widerspruchsrecht? Und in welcher Frist und welchem Format werden die Daten nach Vertragsende herausgegeben und gelöscht?

Diese Ausführungen sind eine allgemeine fachliche Einordnung für die Anbieterprüfung und ersetzen keine Rechtsberatung. Für die verbindliche Beurteilung im konkreten Fall legen Sie die Anbieterunterlagen Ihrer Datenschutzberatung oder Rechtsabteilung vor.

Grenzüberschreitende Projekte

Bei Vorhaben mit Beteiligten in Deutschland, Österreich und der Schweiz gelten unterschiedliche Rahmenbedingungen. Die Annahme, eine Lösung passe automatisch für alle drei Länder, trägt nicht immer — insbesondere dort, wo öffentliche Auftraggeber oder regulierte Branchen beteiligt sind. Klären Sie früh, welche Anforderungen für welche Datenbestände gelten.