Anbieterregister & Auftragsverarbeiter
Ein Datensatz je Anbieter: KI-Angaben, DSGVO-Rolle, Art.-28-Prüfung, Drittlandtransfer und Onboarding.
Jeder Anbieter wird einmal erfasst. Das Anbieterregister im AI-Act-Bereich und die Auftragsverarbeitung im DSGVO-Bereich sind zwei Ansichten auf denselben Datensatz: Das Register zeigt Stammdaten und KI-Angaben, die Auftragsverarbeitung zeigt Art. 28, Drittlandtransfer und Onboarding. Was Sie an einer Stelle ändern, sehen Sie an der anderen.
Auf einen Blick
- Enthalten ab
- Professional
- Wo in der App
- Anbieterregister (AI Act) bzw. DSGVO → Erfassen → Auftragsverarbeitung
- Ergebnis
- Anbieterliste mit DSGVO-Rolle, AVV-Status, Transfergrundlage und Onboarding-Status
- Rechtsbezug
- Art. 26, 28, 44–49 DSGVO; Art. 25 KI-VO
- API
- /api/v1/vendor-register
DSGVO-Rolle
Die Rolle entscheidet, ob ein Auftragsverarbeitungsvertrag (AVV) nötig ist. Die App bietet die Einordnung als Vorschlag an; sie ist eine fachliche Einschätzung, keine Rechtsberatung.
| Rolle | Folge |
|---|---|
| Auftragsverarbeiter (PROCESSOR) | AVV nach Art. 28 erforderlich. |
| Weiterer Auftragsverarbeiter (SUB_PROCESSOR) | AVV bzw. Weitergabe der Pflichten erforderlich (Art. 28 Abs. 2, 4). |
| Eigener Verantwortlicher (INDEPENDENT_CONTROLLER) | Empfänger, kein AVV. |
| Gemeinsam Verantwortliche (JOINT_CONTROLLER) | Vereinbarung nach Art. 26 statt AVV: Datum, Aufteilung der Pflichten, wesentlicher Inhalt für Betroffene. |
| Behörde (AUTHORITY) | Empfänger, kein AVV. |
| Konzerngesellschaft (GROUP_COMPANY) | Kein Konzernprivileg in der DSGVO: je nach Fall Auftragsverarbeiter oder Verantwortlicher. |
| Keine (NONE) | Keine personenbezogenen Daten oder noch nicht eingeordnet. |
Art.-28-Checkliste: 15 Pflichtinhalte des AVV
Für Auftragsverarbeiter prüft die App den Vertrag gegen den Text von Art. 28 DSGVO:
- Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien Betroffener, Rechte und Pflichten des Verantwortlichen (Art. 28 Abs. 3 UAbs. 1 S. 1): fünf Punkte.
- Die acht Pflichten nach Art. 28 Abs. 3 lit. a–h, etwa Weisungsbindung, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung, Löschung oder Rückgabe, Nachweise und Kontrollen.
- Hinweis bei rechtswidriger Weisung (Art. 28 Abs. 3 UAbs. 2).
- Weitergabe derselben Pflichten an Unterauftragsverarbeiter (Art. 28 Abs. 4).
Onboarding-Status mit Freigabe
Vorwärts geht es nur Schritt für Schritt und nur, wenn die Voraussetzungen erfüllt sind; zurück auf Entwurf oder Prüfung geht es jederzeit.
| Status | Voraussetzung |
|---|---|
| ENTWURF | Anbieter angelegt. |
| PRUEFUNG | Vertragspartner auf beiden Seiten benannt (eigene Konzerngesellschaft, Rechtsträger des Anbieters). |
| AVV_UNTERZEICHNET | Nur für Auftragsverarbeiter: alle 15 Punkte der Art.-28-Checkliste erfüllt und AVV unterschrieben. |
| FREIGEGEBEN | Zusätzlich je nach Fall: Vereinbarung bei gemeinsamer Verantwortlichkeit; bei Drittlandtransfer Zielland und Rechtsgrundlage, bei Standardvertragsklauseln das Modul, bei Art. 49 Fall und Begründung, bei DPF bzw. Angemessenheit für die USA die DPF-Zertifizierung mit Nachweislink. Anbieter ohne AVV-Pflicht gehen direkt von Prüfung zu Freigabe. |
Mehrstufige Freigabe (Beta)
Ist für das Lieferanten-Onboarding ein Freigabe-Workflow eingerichtet, setzt die letzte Freigabestufe den Status FREIGEGEBEN. Die Voraussetzungen oben gelten trotzdem: Fehlt etwas, bleibt die Freigabe offen und kann nach dem Nachtragen von Hand erfolgen. Eine Ablehnung setzt PRUEFUNG auf ENTWURF zurück.
Weitere Angaben je Anbieter
- KI-Anbieter ja/nein, Produkt, Kategorie, Risikoeinschätzung und AI-Act-Klasse.
- Strukturierte Liste der Unterauftragsverarbeiter mit Status (ausstehend, genehmigt, widersprochen).
- Drittlandtransfer mit derselben Werteliste wie der Drittland-Tracker, einschließlich DPF und Standardvertragsklauseln als Rückfallebene.
- Prüftermine: nächste Prüfung, letzte Bewertung, zuletzt geprüft von.