Beginnen Sie mit den tatsächlichen Entitäten
Identifizieren Sie den Vertragsanbieter, den Infrastrukturbetreiber und relevante Unterauftragsverarbeiter. Ein Unternehmen kann einen rechtlichen Sitz haben, der sich vom physischen Standort des Servers unterscheidet. Auch Ihr eigener Standort und die Personen in Ihren Daten können eine Rolle spielen.
Den regionalen Rahmen verstehen
Schweden und Finnland gehören zur EU; Norwegen und Island nehmen am EWR teil. Spezifische Pflichten hängen weiterhin vom Dienst, der Aktivität und den Parteien ab. Ziehen Sie qualifizierte Beratung für eine konkrete rechtliche oder regulatorische Anforderung hinzu.
Datenkarte prüfen
Dokumentieren Sie den Standort des Primärservers, der Sicherungen, der Protokolle und des Supportzugriffs. Ein Server in der EU oder im EWR bedeutet nicht automatisch, dass jeder Auftragsverarbeiter und Administrator am selben Ort bleibt.
Bevorzugen Sie eine dokumentierte Verpflichtung
Ein abgeschlossener Vertrag, Verarbeitungsbedingungen und eine klare Richtlinie sind stärkere Belege als die Aussage, dass eine Region von Natur aus privat ist. Bestätigen Sie den Betreiber, die geltende Vereinbarung und die tatsächliche Einrichtung für die Bestellung, die Sie bewerten.
Übernehmen Sie keine rechtlichen Zusicherungen eines anderen Anbieters
Eine Aussage über ein Unternehmen, eine Einrichtung oder ein Gerichtsverfahren lässt sich nicht auf einen neu gebrandeten Dienst übertragen. Prüfen Sie den tatsächlichen Betreiber und lassen Sie die relevanten Richtlinien für diese Vereinbarung überprüfen. Bestätigen Sie die Betreiberinformationen von KoalaVPS direkt, statt einem anderen Anbieter dessen Identität, Registrierungen oder Geschichte zuzuschreiben.
Halten Sie die Prüfung aktuell
Notieren Sie Datum und Version der Vereinbarung und Richtlinie, auf die Sie sich gestützt haben. Überprüfen Sie die Datenkarte nach einer Änderung eines Standorts, Zahlungsabwicklers, Support-Tools oder Backup-Ziels erneut. Eine Compliance-Prüfung sollte das System beschreiben, das heute existiert.
Nutzen Sie die vier Länder als Ausgangspunkte für die Prüfung
Schweden und Finnland sind EU-Länder; Norwegen und Island sind EWR-Länder außerhalb der EU. Ihre Datenschutzbehörden bieten einen nützlichen offiziellen Ausgangspunkt: Schwedens IMY, Finnlands Büro des Datenschutzbeauftragten, Norwegens Datatilsynet und Islands Persónuvernd. Dies stuft kein Land als immun gegen rechtmäßige Offenlegung ein und legt nicht fest, welche Behörde für eine bestimmte Beschwerde zuständig ist.
- Stockholm / Schweden: Überprüfen Sie den tatsächlichen Betreiber und seine vertraglichen Verpflichtungen, bevor Sie sich auf den Standort verlassen.
- Helsinki / Finnland: Prüfen Sie Primärspeicher, Backup-Geografie und Supportzugriff getrennt.
- Oslo / Norwegen: Unterscheiden Sie die Teilnahme am EWR-Datenschutz von der EU-Mitgliedschaft.
- Reykjavík / Island: Bewerten Sie die Vertragspartei, Netzwerkrouten und den Backup-Plan, statt aus dem Ländernamen eine Immunität abzuleiten.
Offizielle Dokumentation: EDSB: nationale Aufsichtsbehörden
Fragen Sie, wer auf Daten zugreifen kann, nicht nur, wo der Datenträger liegt
Erstellen Sie eine Datenflussaufzeichnung für Produktion, Replikate, Backups, Telemetrie und Support. Eine separate Organisation außerhalb des EWR, die personenbezogene Daten empfängt oder darauf zugreift, kann unter den relevanten Bedingungen Fragen zur internationalen Übermittlung aufwerfen; eine regionale Serverbezeichnung allein klärt die Analyse nicht. Bitten Sie den Anbieter, seine Subunternehmer und Zugriffsregelungen zu benennen. Lassen Sie die tatsächliche Verarbeitung und den Vertrag für Ihre Arbeitslast prüfen, wenn daraus rechtliche Pflichten entstehen.
- Bestimmen Sie Ihre Rolle und die Rolle des Anbieters für jede Verarbeitungstätigkeit, statt anzunehmen, dass jede Dienstbeziehung identisch ist.
- Fordern Sie den Auftragsverarbeitungsvertrag, das Verfahren für Änderungen an Unterauftragsverarbeitern, Löschbedingungen und den Ansprechpartner für Vorfälle an.
- Wenn sich ein Support-Tool oder ein Sicherungsziel ändert, aktualisieren Sie die Prüfung, bevor Sie sich auf die alte Standortangabe verlassen.
Offizielle Dokumentation: EDSB: Internationale Datenübermittlungen · EDSB: Verantwortlichkeiten von Verantwortlichem und Auftragsverarbeiter