Internationale iGaming-Datenübertragungen: Anbieterbewertung

Was soll die Transferkarte zeigen?

Identifizieren Sie die exportierenden und empfangenden Einheiten, Datenkategorien, Zweck, Länder und Zugriffsvereinbarungen. Die Europäische Kommission veröffentlicht Standardvertragsklauseln für relevante internationale Übermittlungen im Rahmen der DSGVO.

Ein zypriotischer Betreiber, der ein europäisches Rechenzentrum nutzt, verfügt möglicherweise weiterhin über Support- oder Analysezugriff im Ausland. Bitten Sie Lieferanten, diese Vereinbarungen explizit zu beschreiben. Die Aussage, dass Daten „in Europa gehostet“ werden, reicht nicht aus, um die gesamte Verarbeitungskette abzubilden.

Wie soll der Rechtsmechanismus ausgewählt werden?

Beurteilen Sie, ob eine anwendbare Angemessenheitsentscheidung oder ein anderer zulässiger Mechanismus die Übertragung abdeckt. Bei Verwendung von Standardvertragsklauseln wählen und vervollständigen Sie die entsprechende Vereinbarung für die konkreten Parteien und die Verarbeitung.

Die Klauseln ersetzen nicht das Verständnis der Übertragung. Überprüfen Sie die Umstände, geltenden Anforderungen und alle erforderlichen zusätzlichen Schutzmaßnahmen. Vermeiden Sie es, einen generischen Anhang mit leeren Beschreibungen der Daten und Empfänger zu signieren.

Welche Fragen sollten Lieferanten beantworten?

Verwenden Sie die folgenden Fragen als Beweisanforderung, anstatt eine Fragebogenbewertung als automatische Genehmigung zu behandeln.

• Welche juristischen Personen erhalten oder greifen auf die Daten zu?
• Welche Länder und Unterauftragsverarbeiter sind beteiligt?
• Welche Daten werden zu welchem Zweck übermittelt?
• Auf welchen Transfermechanismus wird zurückgegriffen?
• Welche technischen und organisatorischen Schutzmaßnahmen gelten?
• Wie werden Weiterleitungen und Änderungen kommuniziert?
• Wie kann der Betreiber seine Datensätze erhalten, zurückgeben oder löschen?

Welche praktischen Schutzmaßnahmen sollten berücksichtigt werden?

Berücksichtigen Sie neben der rechtlichen Regelung auch Minimierung, Zugriffsbeschränkungen, Protokollierung und angemessene Verschlüsselung. Ihre Eignung hängt vom Verarbeitungszweck und der Architektur ab.

Beispielsweise benötigt ein Support-Team im Ausland möglicherweise eine eingeschränkte Diagnoseansicht anstelle von Kopien von Ausweisdokumenten. Eine Neugestaltung des Zugriffs kann den Umfang der Übertragung verringern. Behaupten Sie nicht, dass Verschlüsselung jedes Problem löst, ohne zu prüfen, wer auf die Schlüssel und den Klartext zugreifen kann.

Wann muss die Bewertung aktualisiert werden?

Überprüfen Sie Änderungen bei Empfängern, Ländern, Diensten, Unterauftragsverarbeitern und relevanten Gesetzen. Eine Übertragungskarte wird unzuverlässig, wenn ein Anbieter stillschweigend sein Supportmodell ändert.

Führen Sie für jede Materialvereinbarung ein Eigentümer- und Prüfprotokoll. Verknüpfen Sie die Bewertung mit der Beschaffung und dem Änderungsmanagement, damit ein neuer Anbieter sie nicht umgehen kann. Wenn der Sachverhalt oder die Rechtslage ungewiss sind, erfassen Sie das offene Problem und klären Sie es, bevor Sie den Zugriff erweitern.