日常的合同处理：何时需要签订合同？

分界线、实际案例和典型错误

在许多企业中，与外部服务提供商的合作完全是顺其自然而成的。网站是由一家代理机构运营的，云端工具存储客户数据，而IT服务提供商则定期访问系统和邮箱。然而，在数据保护方面却常常被忽视了一个方面：合同规定的处理订单的条款。

并非罕见，即使个人数据早已由第三方处理，但仍存在此类合同的缺失。往往甚至没有意识到存在任何数据保护法规定的义务。

因为GDPR不仅要求在大型项目或敏感特殊情况时进行审核。即使是日常业务流程也可以构成数据处理，从而迫使需要签订数据保护协议。

从咨询的角度来看，实际上，正是这些„日常“的情况在实践中被特别容易忽视，并可能带来严重的法律和组织后果。

订单处理到底意味着什么?

当外部服务提供商代表公司并根据其指示处理个人数据时，即称之为订单处理。

这里很重要的一点是：服务提供商并不自主决定处理目的和手段，而是完全代表委托方行事。

其法律依据载于 GDPR 第 28 条。该条明确规定，此类合作只有在签订相应的合同的情况下才允许进行。

对于企业而言，这意味着：一旦服务提供商参与了个人数据处理，就必须及时评估是否存在指令性操作，从而履行签订数据保护协议的义务。

何时需要签订合同

如果服务提供商不仅偶然会看到个人数据，而且实际会对这些数据进行处理，那么就需要签订 AV 合同。

典型例子包括：

在这种情况下，普通的服务合同是不够的。如果没有 AV 协议，就缺乏一个统一的数据保护法律基础。

实际上这意味着：即使是长期建立的服务关系，也应该定期检查其数据保护合规性是否仍然有效。尤其是在 IT 结构已经成熟的情况下，往往会发现一些未被察觉的漏洞。

何时无需签订 AV 合同

实践中常见的错误

最常见的错误并非不必要的合同，而是完全没有 AV 合同。许多公司多年来一直使用外部软件提供商、网站服务提供商或云解决方案，却从未检查过是否存在订单处理系统。
这种情况尤其常见于历史悠久的建筑结构中。尽管如此，系统仍被引入，供应商也更换了，而数据保护协议却未得到落实。至少在监管机构的审查中或在数据泄露发生后，这种漏洞就会显现出来。

然后很快就会发现，不仅合同缺失，而且往往还缺少文件记录、服务提供商的审核以及对技术保护措施的合同保障。

实际上，经常可以看到，订单处理不能被孤立地看待。缺乏合同往往伴随着其他缺陷，例如服务提供商审核、处理活动目录中的文件记录以及技术和组织措施的实施。

企业现在应该做些什么

第一步是进行诚实的评估。只有在经过评估之后，才能清楚地判断哪些领域确实需要采取行动。

同样重要的是现有合同的质量。许多 AV 合同已经过时，措辞过于笼统，或者没有充分考虑到诸如第三方转移、分包处理商或技术保护措施等当前要求。

单凭签署合同是不够的。实际的合作也必须遵守数据保护法的要求。

尤其在成熟的组织中，往往缺乏全面的了解。只有经过系统性评估，才能明确哪些服务提供商实际上属于订单处理范畴，以及哪些领域需要采取行动。

从咨询的角度来看，建议采取结构化的方法：首先应完整地梳理所有所使用的服务提供商。随后，将进行数据保护方面的归类以及对现有合同的审查。只有在此基础上，才能对各项措施进行优先排序并有效地实施。

及早进行数据保护方面的规范化有助于避免不必要的风险，并确保现有流程具有法律上的稳定性。通常通过结构化的审核即可快速、务实地解决许多不确定性。

总结

委托处理是企业日常工作中常常被无视的方面之一。这并非因为企业有意放弃这种做法，而是因为许多人根本不清楚签订 AV 合同是多么必要。正因如此，仔细考察现有服务提供商和流程是值得的。

对企业而言，这意味着：对服务提供商的审核不应该只是一次性的操作，而应该成为有效数据保护管理体系不可或缺的一部分。

及时进行检测或委托他人进行检测能够明确责任分工，降低责任风险，并避免检测或事故期间出现不愉快的意外情况。

通常只有在进行有系统的资产评估时，人们才会意识到日常生活中已经存在了多少数据保护方面的漏洞。正是在这儿，有效的、可操作的的数据保护管理才开始。

根据我们的经验，我们发现即使是简单的结构性初始审核也能带来显著的透明度，并快速地发现潜在的风险。正是在这儿，有效的、可操作的隐私管理体系才能发挥作用。