schließt das Unternehmen Auftragsverarbeitungsverträge mit seinen Dienstleistern ab?

Auftragsverarbeitungsvereinbarungen folgen aus dem Datenschutzregister, nicht aus der CSRD

Diese Frage betrifft die DSGVO, nicht die angegebene Quelle. Die Richtlinie (EU) 2022/2464 (CSRD) verpflichtet zur Berichterstattung über Nachhaltigkeitsinformationen, einschließlich des eigenen Geschäftsverhaltens und des Kettenansatzes im Hinblick auf soziale und Governance-Aspekte — aber die Verpflichtung, Auftragsverarbeitungsvereinbarungen mit Dienstleistern zu schließen, die personenbezogene Daten verarbeiten, ist in dieser Richtlinie nicht enthalten. Mit der hier bereitgestellten Quelle lässt sich also weder ja noch nein begründen: das Label steht auf "noch zu bestimmen" und bleibt dort, bis eine DSGVO-Quelle in der Datei vorhanden ist.

Das bedeutet nicht, dass die Frage uninteressant ist. Wer Kunden hat, die dies fragen, hat normalerweise bereits irgendwo dokumentiert, welche Dienstleister personenbezogene Daten verarbeiten — dieses Verzeichnis gehört zu das Verzeichnis der Verarbeitungstätigkeiten. Aus diesem Verzeichnis ist sofort ersichtlich, welche Parteien eine Auftragsverarbeitungsvereinbarung benötigen: jede Partei, die im Namen des Unternehmens personenbezogene Daten verarbeitet, fällt darunter. Ohne dieses Verzeichnis ist die Frage zu Auftragsverarbeitungsvereinbarungen in der Praxis schwierig zu beantworten, unabhängig davon, was hier als Quelle angegeben ist.

Warum dieses Thema getrennt von der angegebenen Quelle behandelt wird

Die CSRD (Richtlinie (EU) 2022/2464) regelt die Berichterstattungspflicht über Nachhaltigkeitsinformationen und berührt dabei Kettenbeziehungen, enthält aber keine Bestimmung über Auftragsverarbeitungsvereinbarungen im Sinne des Datenschutzes. Diese Verpflichtung ergibt sich aus der DSGVO, Artikel 28. Solange diese Quelle nicht zur Datei hinzugefügt wurde, bleibt diese Antwort auf "noch zu bestimmen" — genau wie bei einem damit verbundenen Datenverstoß die Antwort davon abhängt, was damals gemeldet wurde, als ein Datenverstoß auftrat. Beweis dabei, dann erst ja oder nein.