Im ersten Schritt bezüglich der Umsetzung der DSGVO empfahl ich Dir eine Liste mit allen «Datenflüssen»  aufzuschreiben.
Nun geht es um die externen Datenverarbeiter. Also alle Anbieter, welche Deine «Kundendaten» bzw. personenbezogene Daten…

  • verarbeiten
  • speichern
  • analysieren
  • oder zumindest ansehen können

In der Regel musst Du mit all diesen externen Anbietern einen Auftragsverarbeitungsvertrag (AV) abschliessen.

Kurz zusammengefasst beinhaltet dieser Vertrag, dass der Anbieter sich an die Regelungen der DSGVO hält und Dich bei Missbrauch der Daten (z.B. Datenmissbrauch) informiert.

Disclaimer:
Als Webdesignerin darf und kann ich keine Rechtsauskunft geben! Ich schildere in diesem Artikel lediglich mein Verständnis zu diesem Thema.
Ich möchte mit diesem und den folgenden Artikeln meine Sicht der DSGVO weitergeben um Dich zu unterstützen, auch weiterhin eine rechtssichere Website zu betreiben. Wenn Du wirklich rechtssichere Antworten erhalten möchtest, musst Du aber einen Anwalt kontaktieren.

Beispiele von Auftragsverarbeiter

  • Google Dienste
  • E-Mailanbieter
  • Webhoster
  • Newsletter Anbieter
  • Rechnungs- und Buchhaltungssoftware
  • Webdesigner
  • Buchhalter
  • Social Media Berater

Die Liste ist nicht abschliessend. Sobald ein Unternehmen oder eine private Person auf Deine Kundendaten bzw. von Dir gespeicherte personenbezogene Daten zugreifen kann, solltest Du einen Vertrag abschliessen.

Merke Dir, dass Du einen Vertrag abschliessen musst und nicht umgekehrt. Denn im Grunde gibst Du die personenbezogenen Daten weiter, daher musst Du dafür sorgen, dass diese Daten nicht weiterverwendet werden!

Ein Beispiel: Je nach Auftrag habe ich als Webdesignerin Zugriff auf Deine Website, Google Analytics, Online Terminvereinbarungstools usw. Hier überall speicherst Du personenbezogene Daten. Damit ich diese Daten nicht «missbrauchen» kann, ist ein solcher Vertrag notwendig.

Zweites Beispiel: Du arbeitest mit dem Tool Webinaris. Da auch hier personenbezogene Daten gesammelt und gespeichert werden welche DU lieferst, ist ein solcher Vertrag notwendig.

US-Anbieter

Bei amerikanischen Anbietern empfiehlt es sich zu prüfen, ob diese sich an das Privacy Shield  Abkommen halten.

Dies kannst Du auf dieser Website prüfen:

https://www.privacyshield.gov

Muster Auftragsverarbeitungsvertrag (AV)

Hier einige Links wo Du Muster für Auftragsverarbeitungsverträge nach DSGVO findest:

E-Recht 24 im Mitgliederbereich unter dem Punkt DSGVO
https://www.e-recht24.de

Datenschutz-Guru.de
https://www.datenschutz-guru.de/auftragsdatenverarbeitung

Activemind.de
https://www.activemind.de/datenschutz/dokumente/av-vertrag/

Wer kümmert sich um den Vertrag?

Wie oben beschrieben, bist im Grunde Du in der Pflicht. Aber keine Sorge die meisten Anbieter bieten bereits einen solchen Vertrag an.

Damit Du nicht so lange suchen musst wie ich 😊 erstellte ich untenstehende Liste. Einige Anbieter sind selber noch mit der Umsetzung der DSGVO beschäftigt. Daher keine Sorge, wenn Dein Anbieter noch keine Lösung anbietet.

Trotzdem solltest Du dies im Auge behalten und ggf. solltest Du dich um einen anderen Anbieter kümmern.

„Gratis Anbieter“
Vorsicht bei einigen gratis Anbieter bzw. deren gratis Angeboten. Z.B. sind nach meinen Recherchen Gmail, Google Drive usw. nicht DSGVO konform. Diese Angebote sind auch für private Anwender gedacht und da braucht es keine DSGVO!
Ich empfehle jeweils die Business Version dieser Angebote zu verwenden. Also z.B. GSuite, Microsoft Business oder auch Dropbox Business usw.

Halte dabei immer im Hinterkopf, dass es um personenbezogene Daten geht. Also wenn Du z.B. auf der privaten Google Drive / Google Doc technische Anleitungen erstellst und somit keine personenbezogene Daten abspeicherst, dann ist die DSGVO nicht relevant.

Umsetzung

Ich empfehle Dir für den 2. Schritt die Auftragsverarbeitungsverträge abzuschliessen oder Dir zu notieren, bei welchem Anbietern Du dies später nachholen musst.

Schreib Dir alles auf damit Du für den «Schritt 3 – Verarbeitungsverzeichnis erstellen » vorbereitet bist.

Liste Anbieter und Auftragsverarbeitungsverträge (AV)

Diese Liste werde ich fortlaufend erweitern und aktualisieren. Trotzdem wird diese auf keinen Fall alle Anbieter enthalten. Frag bei Unklarheiten direkt bei Deinem Anbieter nach.

Stand Liste 06.04.2018 / alphabetisch sortiert

Dropbox

Drobpox und die DSGVO
Hier findest Du allgemeine Informationen zum Datenschutz und zur DSGVO.
https://www.dropbox.com/de/help/security/general-data-protection-regulation

Ich empfehle Dropbox Business zu verwenden. Hier werden die Daten verschlüsselt übertragen und abgelegt. Ob ein AV nötig bzw. bereitgestellt wird, konnte ich auch nach mehrmaligen Nachfragen leider nicht herausfinden.

Facebook

Facebook und die DSGVO
Hier findest Du allgemeine Informationen zum Datenschutz und zur DSGVO.
https://www.facebook.com/business/gdpr#Facebook-als-Datenverantwortlicher-vs.-Auftragsverarbeiter

Nach meinem Verständnis ist hier kein AV nötig.

Interessant und Vorsicht geboten ist aber bei der Verwendungvon folgenden Diensten:

Facebook Pixel

Für die Verwendung des Pixels braucht es vermutlich einen AV.  Dieser steht noch nicht zur Verfügung. Ob dies wirklich nötig ist und ein AV angeboten wird, ist mir zur Zeit nicht bekannt.
Zudem brauchst Du eine Opt-Out Möglichkeit und einen Hinweis in der Datenschutzerklärung. Ich empfehle Dir folgenden Artikel:
https://drschwenke.de/facebook-pixel-voraussetzungen-fuer-einen-rechtssicheren-einsatz/

Custom Audiences

Hier musst Du sicherstellen, dass die Daten rechtmässig erhoben werden und an Facebook weitergeleitet werden dürfen. Zusätzlich musst Du folgende Nutzungsbedingungen akzeptieren:
https://www.facebook.com/ads/manage/customaudiences/tos.php#

Facebook Page Plugin und Share Buttons

Dies und weitere Anpassungen auf der Website werde ich in einem späteren Artikel erläutern (ca. Ende April).

Google

Google und der Datenschutz
Hier findest Du allgemeine Informationen zum Datenschutz und zur DSGVO.
https://privacy.google.com/intl/de_ALL/businesses/controls/

AdWords

Hier fungiert der Kunde und Google jeweils als unabhängige Verantwortliche gemäss der DSGVO, mit Ausnahme der Funktionen „Kundenabgleich“ und „Ladenverkäufe.
Daher kein AV nötig!

AdSense

Meines Wissens fungiert hier der Kunde und Google jeweils als unabhängige Verantwortliche gemäss der DSGVO, daher kein AV nötig!

Analytics

Hier muss der AV akzeptiert, die Daten müssen anonymisiert werden und zudem muss dies auf der Website in der Datenschutzbestimmung stehen.
Eine Anleitung für diese Schritte findest Du hier:
www.lichtweb.ch/google-analytics-wordpress

Data Studio

Gehe auf Nutzerkonto – Konto und Datenschutz und akzeptierte den „Zusatz zur Datenverarbeitung“

GSuite

Hier muss auch die AV akzeptiert werden. Arbeite selber nicht mit GSuite, denke aber dass dies vergleichbar wie bei Data Studio und Analytics im Nutzerkonto zu finden ist.

Merchant Center

Theoretisch übermittelst Du hier nur Produktdaten und keine personenbezogene Daten.
Daher meines Wissens kein AV nötig.

Search Console

Da Du hier keine personenbezogenen Daten an Google weiterleitest, meines Wissens kein AV nötig

Tag Manager

Hier muss der AV akzeptiert und die Daten müssen anonymisiert weitergeleitet werden.
Eine Anleitung hierzu findest Du hier:
www.lichtweb.ch/google-tag-manager-dsgvo

YouTube

Meines Wissens brauchst Du hier keine AV, da es ja die Plattform von Google ist.
Vorsicht bei eingebetteten YouTube Videos  auf Deiner Website! Hier müssen verschiedene Einstellungen beachtet werden. Hierzu werde ich in einem späteren Zeitpunkt eine Empfehlung zusammenstellen.

Microsoft

Interessant sind hier vor allem auch z.B. OneDrive Business und SharePoint. Nach mehrmaligen Nachfragen bei Microsoft wurde mir bestätigt, dass die Daten verschlüsselt übermittelt und gespeichert werden.

Ein AV ist laut Microsoft nicht nötig. Ich bin hier trotzdem noch skeptisch und bleibe am Thema dran.

Weitere Informationen zu Microsoft und die DSGVO findest Du unter folgendem Link:
https://www.microsoft.com/de-de/TrustCenter/privacy/gdpr

Newsletter Anbieter

Active Campain

Kann hier runtergeladen werden:
https://help.activecampaign.com/attachments/token/uwR3MAvkLs1CbfZX7o2pL2HtH/?name=ActiveCampaign+-+Data+Processing+Addendum+-+031918+%281%29.pdf

CleverReach

AV vorhanden, kann per Support angefordert werden.

GetResponse

AV vorhanden, kann per Support angefordert werden.

Klick Tipp

Direkt im Account unter Mein Konto > Auftragsdatenverarbeitung

MailChimp

https://mailchimp.com/legal/forms/data-processing-agreement

Webanbieter / Webbaukästen

Jimdo.com

AV vorhanden, kann per Support angefordert werden.

Wix.com

In Bearbeitung / Abklärung.

WordPress.com

In Bearbeitung / Abklärung.

Webhoster

In der Regel speichert Dein Webhoster personenbezogene Daten z.B. auch via Deiner WordPress Installation bei Kommentaren, Formularen aber auch Deine E-Mails usw. Daher ist hier in der Regel ein AV notwendig.

Erfahrungsgemäss sind einige deutsche Webhoster bereits ready – Schweizer Webhoster sind meist noch in der Abklärung und Umsetzung.

All-Inkl.com

AV vorhanden kann per Support angefordert werden.
Ende Mai soll dieser Vertrag in der Member Area bereitgestellt werden.

Cyon.ch

In Bearbeitung / Abklärung. Kunden werden informiert

Hostpoint.ch

In Bearbeitung / Abklärung. Kunden werden informiert

Hoststar.ch

In Bearbeitung / Abklärung

Novatrend.ch

In Bearbeitung / Abklärung

Diverse Anbieter

Acuityscheduling

Datenschutzbestimmung:
https://help.acuityscheduling.com/hc/en-us/articles/219149587-Security-Privacy-Compliance

AV https://app.hellosign.com/s/89eebeea

Digistore

Kein AV nötig. Digistore verkauft die Produkte unter seinem eigenen Namen. Daher Funktionsübertragung und keine Auftragsverarbeitung!

Drift

Anscheinend in Bearbeitung.
https://www.drift.com/gdpr/

Evernote

Anscheinend in Bearbeitung. Abwarten.

PayPal

Meines Wissens kein AV nötig.
https://www.onlinehaendler-news.de/recht/rechtsfragen/31217-neue-paypal-agb-was-haendler-dazu-wissen-sollten.html

Webinaris

In Bearbeitung

Terminland

https://www.terminland.de/downloads/Terminland-AGB_ADV.pdf

Trello.com

Muss beim Support angefordert werden support@trello.com

YouCanbook.me

Anscheinend in Bearbeitung. Abwarten.

Newsletter

Mit der Anmeldung bist Du einverstanden, dass ich Dir Newsletter zu den Themen WordPress, AdWords und Online Marketing zusende. Du kannst Dich jederzeit von meinem Newsletter abmelden. Weitere Informationen findest Du in der Datenschutzerklärung.