Analyse Tools Drittanbieter: Datenschutz sicher prüfen

Das Wichtigste in Kürze:

• Bei Cloud-Diensten und externen Marketing– oder IT-Dienstleistern ist häufig ein AVV nach Art. 28 DSGVO erforderlich.
• Ein solcher Vertrag muss zehn Pflichtinhalte enthalten, darunter Weisungsgebundenheit, Sub-Processor-Regeln und Datenrückgabe.
• Prüfe zuerst die Rollenverteilung und danach Vertrag, Einwilligung, Datenflüsse und mögliche DSFA-Pflichten.

Ein Analyse-Dashboard ist schnell eingebunden. Die datenschutzrechtliche Prüfung beginnt jedoch nicht erst beim ersten Bericht, sondern bereits bei der Frage, welche Daten an welchen Anbieter fließen. Genau hier entstehen in der Praxis die meisten Unsicherheiten: Ist der Dienstleister lediglich Auftragsverarbeiter? Nutzt er Daten für eigene Zwecke? Welche weiteren Anbieter greifen auf Informationen zu?

Analyse Tools Drittanbieter sind externe Dienste, die Daten über Websitebesuche, Kampagnen, Nutzerinteraktionen oder technische Abläufe erfassen und auswerten. Dazu gehören etwa Cloud-Analyse, Marketing-Tools oder Systeme, die Messdaten an weitere Dienstleister übermitteln.

Eine alte Untersuchung zur Nutzung von Web-Analyse in kleinen und mittelständischen Unternehmen zeigt, dass Analyseergebnisse bereits lange für betriebliche Entscheidungen genutzt werden (Statista, 2009). Entscheidend ist deshalb nicht nur, ob ein Tool nützlich ist. Entscheidend ist, ob du seine Datenverarbeitung nachvollziehen und rechtlich sauber steuern kannst. Dieser Beitrag zeigt dir, welche Anbieter du nennen musst, wann ein AVV nötig wird und wo eine Datenschutz-Folgenabschätzung ins Spiel kommt.

Warum Analyse Tools Drittanbieter datenschutzrechtlich relevant sind

Analyse Tools Drittanbieter verarbeiten Daten nicht im luftleeren Raum. Schon ein eingebundenes Skript, ein Cloud-Konto oder eine Schnittstelle kann personenbezogene Informationen an externe Systeme übertragen. Dazu zählen nicht nur Namen oder E-Mail-Adressen. Auch Online-Kennungen, IP-Adressen, Geräteinformationen oder Nutzungsdaten können einen Personenbezug herstellen, abhängig vom jeweiligen Verarbeitungskontext.

Der erste Schritt ist deshalb eine vollständige Übersicht über die Datenflüsse. Frage nicht nur: „Welches Tool verwenden wir?“ Frage genauer:

• Welche Daten werden erhoben?
• Zu welchem Zweck werden sie verarbeitet?
• Wer erhält Zugriff?
• In welchem System werden sie gespeichert?
• Welche weiteren Dienstleister sind beteiligt?
• Wie lange bleiben die Daten verfügbar?

Die EDPB-Leitlinien zu Verantwortlichem und Auftragsverarbeiter betonen die Bedeutung einer korrekten Rollenbestimmung. Die EDPB Guidelines 07/2020 wurden in Version 1.0 am 02. September 2020 angenommen, laut European Data Protection Board (2020). Diese Einordnung entscheidet darüber, welche Vertrags- und Informationspflichten greifen.

Ein häufiger Fehler: Unternehmen übernehmen einfach die Bezeichnung aus der Anbieteroberfläche. „Analytics“, „Marketing“ oder „Cloud“ sagt noch nichts darüber aus, ob der Anbieter Auftragsverarbeiter oder eigener Verantwortlicher ist. Maßgeblich bleiben Zwecke und Mittel der Verarbeitung.

Analyse Tools Drittanbieter und der AVV nach Art. 28 DSGVO

Wenn ein externer Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du grundsätzlich einen Auftragsverarbeitungsvertrag. Das betrifft laut den vorliegenden Datenschutzinformationen unter anderem Cloud-Nutzung, externe Lohnbuchhaltung, Marketing-Tools und IT-Wartung. Art. 28 DSGVO verlangt dabei, dass nur Auftragsverarbeiter mit hinreichenden Garantien eingesetzt werden und ein schriftlicher Vertrag geschlossen wird.

Der AVV ist keine bloße Formalität. Er legt fest, was der Anbieter darf, woran er gebunden ist und wie du die Verarbeitung kontrollierst. Nach Art. 28 Abs. 3 DSGVO muss der Vertrag zehn Pflichtinhalte enthalten. Dazu gehören unter anderem Weisungsgebundenheit, Regelungen zur Vertraulichkeit, technische und organisatorische Maßnahmen, Unterstützung bei Betroffenenrechten, Vorgaben für weitere Auftragsverarbeiter sowie die Rückgabe oder Löschung der Daten nach Vertragsende.

Diese zehn Pflichtinhalte gehören hinein

Prüfe im Vertrag insbesondere, ob diese Themen vollständig geregelt sind:

1. Gegenstand und Dauer der Verarbeitung.
2. Art und Zweck der Verarbeitung.
3. Art der personenbezogenen Daten.
4. Kategorien betroffener Personen.
5. Weisungen des Verantwortlichen.
6. Vertraulichkeit der eingesetzten Personen.
7. Technische und organisatorische Maßnahmen.
8. Unterstützung bei Datenschutzpflichten.
9. Genehmigung und Kontrolle von Sub-Processoren.
10. Datenrückgabe oder Löschung nach Vertragsende.

Die Liste ersetzt keine juristische Prüfung, hilft dir aber bei der Vorprüfung. Besonders wichtig sind die Datenrückgabe und die Sub-Processor-Regelung. Ein Tool kann seine Infrastruktur auf weitere Anbieter stützen. Diese Beteiligten müssen transparent erfasst und vertraglich berücksichtigt werden.

Auch die Haftung darfst du nicht ausblenden. Hält ein weiterer Auftragsverarbeiter Datenschutzpflichten nicht ein, kann der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten haften. Das macht die Auswahl des Anbieters und die Prüfung seiner Vertragsunterlagen zu einem praktischen Risikothema.

Verantwortlicher oder Auftragsverarbeiter?

Nicht jeder Drittanbieter ist automatisch Auftragsverarbeiter. Die entscheidende Frage lautet: Verarbeitet der Anbieter Daten ausschließlich nach deinen Weisungen oder bestimmt er eigene Zwecke und wesentliche Mittel der Verarbeitung?

Ein Auftragsverarbeiter unterstützt dich bei einer Verarbeitung, die du selbst verantwortest. Ein eigener Verantwortlicher entscheidet dagegen zumindest teilweise selbst über Zweck oder wesentliche Mittel. Die Abgrenzung hängt nicht an der Überschrift des Vertrags und auch nicht daran, ob der Anbieter „Tool“ oder „Plattform“ genannt wird.

Zwecke und Mittel prüfen

Erstelle für jedes Analyse Tool eine kurze Rollenprüfung. Dokumentiere dabei:

• deinen eigenen Zweck der Datenerhebung,
• die vom Anbieter festgelegten Verarbeitungsschritte,
• mögliche eigene Nutzungszwecke des Anbieters,
• die eingesetzten Sub-Processor,
• Lösch- und Aufbewahrungsfristen,
• deine Weisungs- und Kontrollmöglichkeiten.

Die EDPB-Leitlinien behandeln genau diese Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter. Laut European Data Protection Board (2020) gehören dazu die Bewertung von Zwecken und Mitteln sowie das Risiko einer falschen Rollen- oder Funktionszuordnung. Eine falsche Einordnung kann dazu führen, dass ein AVV abgeschlossen wird, obwohl die tatsächliche Verarbeitung anders funktioniert.

Sub-Processor kontrollieren

Ein Sub-Processor ist ein weiterer Dienstleister, den dein direkter Anbieter einsetzt. Das kann etwa ein Cloud-Hoster, ein Support-Dienst oder ein technischer Infrastrukturpartner sein. Du musst deshalb nicht nur den Hauptanbieter betrachten. Prüfe auch seine Liste weiterer Verarbeiter, Änderungsmechanismen und Widerspruchsmöglichkeiten.

Achte auf konkrete Angaben. Eine pauschale Formulierung wie „weitere Dienstleister können eingesetzt werden“ hilft dir wenig, wenn du nicht erkennst, wer beteiligt ist und welche Aufgabe diese Anbieter übernehmen. Gute Vertragsunterlagen schaffen nachvollziehbare Zuständigkeiten.

DSFA, Einwilligung und technische Prüfung

Ein AVV allein erledigt nicht jede Datenschutzpflicht. Je nach Art, Umfang, Umständen und Zweck der Verarbeitung kann zusätzlich eine Datenschutz-Folgenabschätzung erforderlich sein. Art. 35 DSGVO verlangt eine DSFA insbesondere dann, wenn durch neue Technologien voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen entsteht.

Die Frage lautet daher nicht nur: „Haben wir einen Vertrag?“ Du musst auch bewerten, ob die geplante Analyse ein hohes Risiko erzeugt. Relevant sind etwa Umfang und Detailtiefe der Erfassung, die betroffenen Personengruppen, die Zusammenführung verschiedener Datenquellen und die Auswirkungen einer missbräuchlichen Nutzung.

Laut Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO (2019) dient die DSFA dazu, Risiken systematisch zu bewerten und geeignete Schutzmaßnahmen abzuleiten. Das ist kein einmaliger Haken in einer Projektliste. Ändert sich die technische Einrichtung oder der Verarbeitungszweck, muss die Bewertung erneut betrachtet werden.

Auch Consent-Fragen gehören in die Prüfung. Ob und wann eine Einwilligung nötig ist, hängt vom konkreten Tool, den eingesetzten Technologien, dem Zweck und den weiteren rechtlichen Grundlagen ab. Eine pauschale Aussage für alle Analyse Tools Drittanbieter wäre deshalb unseriös.

Praktische Checkliste für die Auswahl

Die Auswahl sollte vor der technischen Einbindung beginnen. So verhinderst du, dass ein Tool bereits Daten verarbeitet, bevor Vertrag, Rollenprüfung und Datenschutzinformationen fertig sind.

Vor dem Vertrag

Fordere vom Anbieter mindestens folgende Unterlagen und Informationen an:

• AVV oder Vertragsmuster nach Art. 28 DSGVO,
• Beschreibung der technischen und organisatorischen Maßnahmen,
• aktuelle Liste der Sub-Processor,
• Angaben zu Speicher- und Verarbeitungsorten,
• Lösch- und Rückgabekonzept,
• Informationen zu Support- und Administrationszugriffen,
• Beschreibung der Datenkategorien und Zwecke.

Prüfe danach, ob die Anbieterangaben zu deinem tatsächlichen Einsatz passen. Ein Vertrag für allgemeine Cloud-Nutzung beantwortet nicht automatisch alle Fragen zu Tracking, Profilbildung oder Kampagnenauswertung.

Nach der Einrichtung

Dokumentiere, wann das Tool aktiviert wurde, welche Datenfelder übertragen werden und welche Einstellungen du gewählt hast. Kontrolliere, ob die technische Implementierung dem Vertrag entspricht. Werden beispielsweise zusätzliche Parameter übertragen, muss die Prüfung aktualisiert werden.

Halte außerdem fest, wie du Auskunfts-, Lösch- oder Berichtigungsanfragen bearbeitest. Ein Anbieter sollte dich dabei unterstützen können. Verantwortlich für die Organisation des Prozesses bleibst jedoch du beziehungsweise dein Unternehmen, sofern du der Verantwortliche bist.

Für die redaktionelle und technische Aufbereitung deiner Datenschutz- und Marketingkommunikation kannst du außerdem die Leistungen von Schreibwertig ansehen. Gerade bei erklärungsbedürftigen Themen entscheidet eine klare Sprache darüber, ob Nutzer Hinweise verstehen und Entscheidungen nachvollziehen können.

Fazit

Analyse Tools Drittanbieter bringen wertvolle Informationen für Marketing, Website und Produktentscheidungen. Sie erzeugen aber auch Verantwortlichkeit. Prüfe zuerst die Datenflüsse, ordne die Rollen ein und kläre anschließend, ob ein AVV nach Art. 28 DSGVO erforderlich ist.

Achte auf die zehn Pflichtinhalte, Sub-Processor, Datenrückgabe und deine Kontrollrechte. Ergänze die Prüfung um Consent-Fragen und eine mögliche DSFA nach Art. 35 DSGVO. So entsteht kein rein formaler Datenschutzordner, sondern ein nachvollziehbarer Prozess.

Wenn du bestehende Tools prüfen oder deine Anbieterübersicht strukturieren willst, starte mit einer vollständigen Liste aller eingebundenen Dienste. Genau dort findest du meist die offenen Punkte, die im Alltag sonst übersehen werden.

Häufig gestellte Fragen

Muss ich für Analyse Tools Drittanbieter immer einen AVV abschließen?

Nein, nicht automatisch. Ein AVV ist erforderlich, wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Bei Cloud-Nutzung sowie externen Marketing- und IT-Dienstleistern ist das häufig der Fall. Prüfe deshalb zunächst Zweck, Mittel, Datenkategorien und Weisungsgebundenheit. Die Bezeichnung des Tools allein entscheidet nicht über die rechtliche Rolle.

Welche Pflichtinhalte muss ein AVV enthalten?

Ein AVV nach Art. 28 Abs. 3 DSGVO muss zehn Pflichtinhalte enthalten. Dazu gehören unter anderem Weisungsgebundenheit, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterstützung bei Betroffenenrechten, Regeln für Sub-Processor sowie Datenrückgabe oder Löschung nach Vertragsende. Prüfe außerdem, ob Gegenstand, Dauer, Zwecke und betroffene Datenkategorien konkret beschrieben sind.

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Eine DSFA ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen erzeugt. Art. 35 DSGVO nennt dabei insbesondere die Nutzung neuer Technologien sowie die Betrachtung von Art, Umfang, Umständen und Zwecken. Bewerte deshalb die konkrete Implementierung und nicht nur den Namen des Analyse-Tools.