Datenschutzrechtliche Prüfung von Auftragsverarbeitungsverträgen von SAP für Cloud- und Support-Dienste (Cloud DPA)

Die von mir beratenen Unternehmen nutzen Cloud- und Professional Support Dienstleistungen von SAP, u.a. SuccessFactors. Bei manchen Mandanten wurden diese Dienste bereits in der Vergangenheit eingeführt oder es stand eine Neueinführung an. Teilweise wurden die Leistungen nicht von SAP direkt bezogen, sondern über einen Reseller, der die SAP Vertragsklauseln gespiegelt und an den Mandanten weitergereicht hat (Reseller/Vertragshändlermodell).

Es waren die von SAP bereitgestellten Datenschutzklauseln und insbesondere die Auftragsverarbeitungsverträge nach Art. 28 DSGVO zu prüfen.

Auch Mandanten mit bestehende Verträge mussten teilweise aufgrund der Rechtsprechung des EuGH in Sachen Schrems II und wegen der neuen EU-Standardvertragsklauseln (SCC) umstellen. Im Zuge dre neuen SCC hat SAP seine alten Auftragsverarbeitungsverträge Verträge durch neue ersetzt, die dann ebenfalls zu prüfen waren.

Durch meine Arbeit habe ich Erfahrung mit dem Vertragskonstrukt (teilweise Direktverträge mit Subdienstleistern in Drittländern) und kritischen Klauseln in den Verträgen sowie mit deren Verhandlung gesammelt.

Vertragsbezeichnungen relevanter Verträge waren u.a. "Vereinbarung über die Datenverarbeitung für SAP Cloud Services“, "Vereinbarung über die Datenverarbeitung für SAP Pflege und Professional Services".

Cloud DIenste waren u.a. (nicht abschließend, das DPA ist i.d.R. das gleiche):

SAP SuccessFactors

• SAP SFSF Perform / Reward
• SAP SFSF Recrutiing Execution
• SAP SFSF Onboarding
• SAP SFSF Succession & Career Development
• SAP SFSF Learning

SAP Customer Experience Solutions

• SAP Sales & Service Core
• SAP Field Service Management
• SAP Service and Asset Manager
• SAP Integration Suite