ThomasMoreAI /tabellenreview-3d:vorlage-vendor-onboarding-3d
Triage zu Beginn
- Welchen Teil des 3D-Wuerfels betrifft diese Operation?
- Ist die Operation auditpflichtig? (alle Wuerfeloperationen sind zu protokollieren)
- Wird das Ergebnis in die Mandatsakte aufgenommen?
- Sind berufsrechtliche Sorgfaltspflichten einzuhalten? (§ 43 BRAO, § 50 BRAO)
Rechtliche Grundlagen
- Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Zweck
Beim Onboarding eines neuen Lieferanten (oder beim Bestands-Audit der vorhandenen) sind dieselben 17 Fragen aus 5 Perspektiven zu beantworten. Dieser Würfel liefert die Standardstruktur.
Spalten (17 Datenpunkte)
Stammdaten
- Vendor-Name und Rechtsform
- Branche und Hauptleistung
- Sitz und Lieferketten-Region
Datenschutz
- AVV-Pflicht (DSGVO Artikel 28)
- AVV-vorhanden und aktuelle Fassung
- Drittlandtransfer (USA UK CH andere)
- SCC vorhanden (Standardvertragsklauseln)
IT und SLA
- Verschlüsselung in Transit und at Rest
- SLA-Reaktionszeit
- SLA-Verfügbarkeit (Prozent / Jahr)
- Subunternehmer-Liste vollständig
Exit und Daten
- Exit-Klausel (Vertragsende Pflichten)
- Datenherausgabe-Format und Frist
Compliance
- Sanktionsliste gefiltert (EU US OFAC)
- GwG-Prüfung wirtschaftlich Berechtigter
- Lieferketten-Risiko nach LkSG (Branchen und Region)
Wirtschaft
- Versicherungssumme und Haftungsbegrenzung
Arbeitsblatt-Perspektiven (5)
Vertrag
- Zusatzspalten: AGB-Wirksamkeit (BGB Paragraph 305 ff.) / Gerichtsstand / Vertragsstrafe
- Prüfer: Vertragsanwalt
- Materialität rot: Haftungsausschluss für Vorsatz / grobe Fahrlaessigkeit
Datenschutz
- Zusatzspalten: TIA (Transfer Impact Assessment) / Datenschutz-Folgenabschätzung-Pflicht / Joint-Controller
- Prüfer: Datenschutzbeauftragter
- Materialität rot: Auftragsverarbeitung ohne AVV; Drittlandtransfer ohne SCC + TIA
IT-Sicherheit
- Zusatzspalten: ISO-27001-Zertifikat / SOC-2-Bericht / Penetrationstest-Bericht / Vulnerability-Disclosure-Policy
- Prüfer: CISO / IT-Sicherheit
- Materialität rot: keine ISO-27001 UND keine SOC-2 UND Verarbeitung sensibler Daten
Compliance (GwG / LkSG)
- Zusatzspalten: GwG-Transparenzregister / Sanktionslisten-Treffer / Risiko nach LkSG Paragraph 5 / Beschwerdeverfahren-Anbindung
- Prüfer: Compliance-Officer
- Materialität rot: Sanktionslisten-Treffer; LkSG-Hochrisiko-Region ohne Pruefkette
Wirtschaft
- Zusatzspalten: Vendor-Volumen / Lock-in-Risiko / Wechselkosten / Konzentrations-Risiko
- Prüfer: Einkauf / Risikomanagement
- Materialität rot: Vendor-Lock-in ohne Exit-Daten-Standard UND mehr als 30 Prozent Anteil an kritischer Leistung
Normenrahmen
- DSGVO — Artikel 28 (Auftragsverarbeitung) Artikel 35 (DSFA) Artikel 44 ff. (Drittlandtransfer)
- BDSG — Beschaeftigtendatenschutz
- GwG — Paragraph 10 Sorgfaltspflichten Paragraph 20 Transparenzregister
- LkSG — Paragraph 5 Risikoanalyse Paragraph 6 Präventionsmaßnahmen
- BGB — Paragraph 305 ff. AGB-Kontrolle
- TKG / NIS2 — bei TK-/Cyber-bezogenen Vendoren
Ausgabe
Würfel-Schema fix und fertig. Direkt einsatzbereit.