服务提供商的数据保护考虑及其可靠性

根据第 14 条签订的订单处理合同。 28 GDPR 是一项重要标准，从某种意义上说，如果控制者希望聘请服务提供商来实现其目的，则这被视为数据保护法下的良好做法。在信息时代，由于云技术的无处不在，它们被大规模生产，并且以多种形式出现。有许多模板和示例，既来自各个利益团体，也由监管机构提供。在咨询实践中，我们也会时常遇到由客户自己创意而创作的设计。

自制合同和胃里轻微的咕噜声
现在，“手工编织的合同”并不一定比其他合同更糟糕；但在某些情况下至少——可以说——更有创造力。最近在贸易中流传的一件标本证明了其创造者的独特创造力。

上述数据处理合同（AV）包含一项条款，根据该条款

（a）合同通常应按照提供商（=处理者）的模式签订，并且，

（b）如果控制者（在特殊情况下）希望提交自己的合同并将其纳入其内容，巴西商业传真列表 则将收取数千美元（！）的额外“审查费”，因为在这种情况下，外国合同必须提交给外部专业律师进行审查。

原则上，对于a)点，没有什么可反对的，只是作为负责人，你经常会发现自己处于“接受它并感到高兴”的境地（或者，说得更激烈一些：吃饭或死亡）。然而，对于第 b 点，您可能会感觉到胃里有轻微但无法解释的咕噜声——感觉有些味道不对劲。

好吧，您不一定非要出示自己的合同 -毕竟，只要在实践中有效，任何一份合同都可以（正如我们所报道的，这有时会很棘手）。但它仍然看起来很奇怪。

GDPR 是否承认“可靠性”这一特性？
然而，仅凭这一点可能不足以成为拒绝此类服务提供商或其数据处理协议的理由。最后，GDPR 第 28（3）条中的测试列表中没有提到任何直觉，无论是积极意义上的直觉（通过其缺失明显可见），还是消极意义上的直觉（通过其存在明显可见）。许多资深的数据保护倡导者可能会自发地想到，可靠性这一商法中众所周知的特征是先决条件。它在其他地方用于决定谁可以开设餐馆、经营赌场或携带枪支。

不可否认，IT 服务提供商很难与猎枪的拥有者相比。但从比喻意义上讲，上面概述的合同条款可能让人联想到合法轮盘赌，因此与赌场的概念相关，对吗？

可靠不仅仅意味着（仅仅）准时上班……
尊敬的读者在这里又有权表示适度的皱眉；这个类比虽然有点深远，但实际上也站不住脚。相反，看看法律就能更容易地找到正确的答案：GDPR 第 28 条第 (1) 款规定，处理者“必须提供充分的保证，实施适当的技术和组织措施，使处理符合本条例的要求。”

“夸大”合同条款的症结
如果理想情况是上述示例中提供的示例合同不仅完全满足提供商的需求，而且还满足责任方（=客户）的需求，那么根本就不会创建这里显示的文章。因为，当然，事情的结果 a) 与预期不同，并且 b) 与预期不同，这就是为什么该条约——几乎理所当然地——提供了大量的讨论材料（或者更激烈地说：一系列的缺陷和不足）。简而言之：它不再以合理的方式满足数据保护要求。

现在，当然，所有那些原本喜欢对这种“法律诡辩”报以微笑并且——由于缺乏专业知识或为了尽可能方便而感到有义务——的人都可以坐下来，或多或少地“挥手通过”这样的合同：以后没人会在意这个！

目前来看，情况可能确实如此——但公司管理层除外，他们可能对这种至少是故意疏忽，甚至是微妙的故意违法行为持悲观看法。但这不是演习的目的；无论如何，据作者所知，随机作弊（导致的）并不构成第 14 条规定的原则之一。 5 GDPR。

让球滚过胡椒中的野兔：结论
然而，任何人在认识到前面提到的合同数据保护基础的同时，重视有效的义务结构，都应该考虑以下几点。

艺术意义内的组织措施。 28（1） GDPR 一方面包括实际的合同管理，以及免费就模糊之处进行谈判的意愿。任何只能坚持执行自己可能毫无意义的法律观点的人都必须面对一个问题：他们是否在自由市场中感到舒适。

另一方面，如果服务提供商只能依靠额外付费的外部咨询能力，那么此类服务提供商在数据保护法方面的专业知识至少会受到严重质疑；此外，这种行为给人的印象是，数据保护问题从根本上来说是一个非常特殊的事情，与公司自身的正常业务运营明显不相容，任何偏离既定计划的行为都必须被视为不相称的。此外，根据一般条款和条件法的原则（参见 BGB 第 305 条及后续条款），此类行为（在 GDPR 的适用范围内）在民法下也可能具有相关性，即无效性。

因此，任何人从一开始就事实上排除（即通过设置不成比例和客观上不合理的财务障碍）在发生冲突时弥补任何现有合同差距的意愿，都不能保证处理将按照 GDPR 的原则进行 - 包括并且特别是按照艺术。 28 GDPR。