Ohne Vertrag geht hier nichts
Wenn Du mit einem Auftragsverarbeiter (Outsourcing) für die Verarbeitung von personenbezogenen Daten zusammen arbeitest, verlangt die DSGVO ganz klar und deutlich einen Vertrag. Das nennt man den Auftragsverarbeiter-Vertrag.
Im Art. 30 DSGVO wird von Dir gefordert, dass Du ein Verzeichnis führst wo alle Verarbeitungstätigkeiten aufgeführt sind, die im Verantwortlichkeits- bzw. dem Zuständigkeitsbereich des Verantwortlichen liegen. Der Verantwortliche bist Du.
Die Dokumentationsanforderungen der DSGVO sind viel weiter gefasst, als es im z.B. für Deutschland geltenden BSDG, bisher der Fall war (das BSDG ist in diesem Fall nur exemplarisch zum Vergleich angesprochen).
Wenn Du nun mit einem Auftragsverarbeiter zusammenarbeitest, muss dieser Vertrag mit Deinem „Verzeichnis der Verarbeitungstätigkeiten“ übereinstimmen.
Bedenke bei diesem Vertrag auch eine mögliche Verarbeitung in Papierform.
