Warum eine DPA-Validierung sinnvoll ist
Ein Data Processing Agreement regelt die Rechte und Pflichten zwischen Verantwortlichem und Auftragsverarbeiter. Die formale Existenz eines Vertrags ersetzt nicht die Notwendigkeit, die tatsächliche Umsetzung der vereinbarten Schutzmaßnahmen zu überprüfen. Eine gezielte Validierung hilft, Diskrepanzen zu identifizieren, z. B. fehlende Dokumentation zu Subprozessoren oder unklare Verantwortlichkeiten bei Datenpannen.
Kernaspekt
Technische und organisatorische Maßnahmen (TOMs) sollten nicht nur genannt, sondern nachweisbar implementiert sein. Das bedeutet: Versionierte Dokumente, Zugriffskontrollen und Protokolle sind relevante Nachweise.
Die Prüfung sollte belegen, dass vertragliche Zusagen mit den tatsächlichen Betriebsprozessen übereinstimmen. Dazu gehört auch die Kontrolle von Subunternehmerketten und gegebenenfalls die Empfehlung präziserer vertraglicher Formulierungen.
