Verantwortlicher vs. Auftragsverarbeiter – und warum das wichtig ist
Bei den meisten SaaS-Produkten ist Ihr Kunde der Verantwortliche und Sie sind der Auftragsverarbeiter. Ihre Datenschutzerklärung sollte Daten über Ihren Kunden (Kontakt, Abrechnung, Login-Telemetrie – hier sind Sie Verantwortlicher) von den Daten unterscheiden, die er in Ihren Dienst hochlädt (die Daten seiner Endnutzer – hier sind Sie Auftragsverarbeiter). Dieser Generator trennt beides in zwei klar beschriftete Abschnitte, damit Einkaufsprüfer großer Kunden finden, was sie brauchen, ohne ein Ticket aufzumachen.
Seite mit Unterauftragsverarbeitern
Einkaufsteams fragen vor der Unterschrift nach einer öffentlichen Liste der Unterauftragsverarbeiter. Der Generator erstellt eine eigene, datierte Tabelle mit AWS / GCP / Azure, Stripe, Postmark oder Resend, Datadog oder New Relic, Intercom und allen eigenen Unterauftragsverarbeitern, die Sie hinzufügen. Jede Zeile enthält Name, Zweck, Region der Verarbeitung und einen Link zur Sicherheitsdokumentation des jeweiligen Anbieters.
Verweis auf den Auftragsverarbeitungsvertrag
Ihre Datenschutzerklärung ist kein Auftragsverarbeitungsvertrag (AVV, englisch DPA) – sie sollte aber auf einen verweisen. Der Generator enthält einen Abschnitt „Auftragsverarbeitungsverträge“, der Kunden zu der URL führt, unter der sie Ihren AVV unterzeichnen können, optional mit einem Anhang mit Standardvertragsklauseln für Übermittlungen aus der EU in die USA.