Auftragsverarbeitung nach Art. 28 DSGVO: Vertrags- und Audit-Daten anonymisieren – DSGVO-konform anonymisieren (Art. 28 DSGVO)
Art. 28 DSGVO verlangt für die Auftragsverarbeitung einen Vertrag mit festgelegten Pflichten des Auftragsverarbeiters; weil Vertragsanlagen, Audit-Berichte und Datenflussbeschreibungen Personendaten enthalten, pseudonymisiert anonym.legal diese PII, damit AV-Verträge und Prüfunterlagen mit Dienstleistern abgestimmt und vorgelegt werden können, ohne reale Betroffenendaten offenzulegen.
When this applies
Sie schließen oder prüfen einen Auftragsverarbeitungsvertrag, und die Anlagen oder Audit-Berichte enthalten Personendaten. Der Vertrag nach Art. 28 DSGVO legt Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Pflichten des Auftragsverarbeiters fest; die beigefügten Datenflussbeschreibungen und Prüfberichte zeigen jedoch oft konkrete Betroffenendaten. Sollen diese Unterlagen mit dem Dienstleister abgestimmt, durch Dritte geprüft oder als Muster wiederverwendet werden, müssen die enthaltenen Personendaten geschützt werden. Dadurch entsteht der Bedarf, die PII in den Anlagen zu pseudonymisieren, ohne die vertraglichen Pflichten und technisch-organisatorischen Maßnahmen unleserlich zu machen.
How anonym.legal handles it
- AV-Vertrag, Anlagen und Audit-Berichte werden im Originalformat hochgeladen, ohne deren Struktur zu verändern.
- Die Engine durchsucht Datenflussbeschreibungen und Beispiele und erkennt enthaltene Personendaten aus über 285 unterstützten Entitätstypen.
- Diese werden konsistent pseudonymisiert, sodass wiederkehrende Betroffene über Vertrag und Anlagen hinweg eindeutig zuordenbar bleiben.
- Pflichten, technisch-organisatorische Maßnahmen und Datenkategorien bleiben im Klartext lesbar, damit die vertragliche Aussagekraft erhalten bleibt.
- Die Zuordnung von Pseudonym zu Klarname wird in einer verschlüsselten Mapping-Tabelle mit EU-Datenresidenz festgehalten.
- Die pseudonymisierte Fassung lässt sich mit dem Auftragsverarbeiter abstimmen oder prüfen, während sich die Originalanlagen bei Bedarf mit dem Schlüssel re-identifizieren lassen.
What you provide
- AV-Vertrag mit Anlagen
- Audit- und Prüfberichte zum Dienstleister
- Datenflussbeschreibungen oder Beispielbestände
Limitations & cautions
- Ob der Vertrag die Anforderungen des Art. 28 DSGVO vollständig erfüllt, bleibt eine rechtliche Prüfung.
- Reversible Pseudonymisierung ist nach Art. 4 Nr. 5 DSGVO keine Anonymisierung; die bereinigten Anlagen bleiben mit dem Schlüssel re-identifizierbar und sind zu sichern.
FAQ
Bleiben die vereinbarten Pflichten im Vertrag lesbar?
Ja, der Vertragstext und die technisch-organisatorischen Maßnahmen bleiben erhalten; nur Personendaten in Anlagen werden pseudonymisiert. So bleibt nachvollziehbar, welche Pflichten der Auftragsverarbeiter übernimmt.
Kann ich Audit-Berichte vor der Weitergabe bereinigen?
Ja, anonym.legal erkennt Personendaten in Prüfberichten und kann sie pseudonymisieren oder maskieren. Die Prüffeststellungen selbst bleiben dabei im Klartext erhalten, sodass der Bericht aussagekräftig bleibt.
Eignet sich der bereinigte Vertrag als Muster?
Ja, die pseudonymisierte Fassung lässt sich datenschutzkonform als Vorlage für weitere Dienstleister nutzen. Da die Verarbeitung mit EU-Datenresidenz erfolgt, können Sie das Muster auch breit im Unternehmen teilen.
Lassen sich die Originalanlagen später wiederherstellen?
Ja, mit dem zugehörigen Schlüssel lassen sich die Originalanlagen über die verschlüsselte Mapping-Tabelle re-identifizieren. So können Sie eine pseudonymisierte Abstimmungsfassung und die Originalfassung parallel für unterschiedliche Zwecke nutzen.