Kaum ein Unternehmen verarbeitet seine Daten heute ausschließlich selbst. Hosting, Cloud-Speicher, E-Mail-Marketing, Fernwartung der IT oder die externe Lohnabrechnung: Überall dort, wo ein Dienstleister im Auftrag mit personenbezogenen Daten arbeitet, verlangt die DSGVO einen Vertrag zur Auftragsverarbeitung. Fehlt er, liegt ein Verstoß vor, den Aufsichtsbehörden sowohl beim Auftraggeber als auch beim Dienstleister ahnden können.
Was ist Auftragsverarbeitung?
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen (Art. 4 Nr. 8 DSGVO). Er entscheidet nicht selbst über Zwecke und wesentliche Mittel der Verarbeitung. Typische Beispiele sind Rechenzentren, Software-as-a-Service-Anbieter, Newsletter-Dienste, Aktenvernichter, Callcenter oder IT-Dienstleister mit Zugriff auf Kundendaten.
Keine Auftragsverarbeitung: Typische Abgrenzungen
Nicht jede Zusammenarbeit mit Dritten ist Auftragsverarbeitung. Berufsgeheimnisträger wie Rechtsanwälte, Steuerberater bei der fachlichen Beratung oder Wirtschaftsprüfer handeln regelmäßig eigenverantwortlich. Auch Banken, Post- und Paketdienste oder Inkassounternehmen, die Forderungen übernehmen, sind in der Regel eigene Verantwortliche. Entscheiden zwei Unternehmen gemeinsam über Zwecke und Mittel, kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO mit eigenen Vertragspflichten vorliegen.
Pflichtinhalte nach Art. 28 Abs. 3 DSGVO
- Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen,
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen,
- Verpflichtung der eingesetzten Personen zur Vertraulichkeit,
- angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
- Regelungen zum Einsatz von Unterauftragsverarbeitern,
- Unterstützung bei Betroffenenrechten und bei Datenpannen,
- Löschung oder Rückgabe der Daten nach Ende des Auftrags,
- Nachweis- und Kontrollrechte des Verantwortlichen.
Auf diese Punkte sollten Sie achten
Lassen Sie sich eine Liste der Unterauftragsverarbeiter geben und vereinbaren Sie ein Informations- und Widerspruchsrecht bei Änderungen. Setzt der Dienstleister Server oder Subunternehmer außerhalb der EU ein, braucht es eine tragfähige Übermittlungsgrundlage; seit dem Schrems-II-Urteil reicht das Privacy Shield hierfür nicht mehr aus. Für Datenpannen sollten kurze Meldefristen vereinbart werden, denn Ihre eigene 72-Stunden-Frist beginnt mit Kenntnis. Einzelheiten in unserem Leitfaden zur Datenpanne.
Standardverträge großer Anbieter
Große Plattformen bieten ihre Auftragsverarbeitungsverträge meist nur als nicht verhandelbare Standardbedingungen an, häufig online im Kundenkonto. Das ist zulässig, entbindet aber nicht von der Prüfung, ob die Inhalte den Anforderungen genügen. Speichern Sie die jeweils akzeptierte Fassung ab; ein Link auf die aktuelle Version des Anbieters genügt für Ihre Dokumentation nicht.
Organisation im Unternehmen
Führen Sie eine Übersicht aller Auftragsverarbeiter mit Vertragsstatus. Diese Liste lässt sich unmittelbar mit Ihrem Verzeichnis von Verarbeitungstätigkeiten verknüpfen, in dem die Empfänger ohnehin anzugeben sind. Ob ein Vertrag erforderlich ist, sollte vor der Einführung neuer Software geprüft werden, nicht erst danach.
Mit einer Übersicht der Dienstleister, geprüften Standardverträgen und einem Blick auf Unterauftragnehmer und Drittlandbezüge ist das Thema gut zu beherrschen. Wir entwerfen Auftragsverarbeitungsverträge und prüfen die Verträge Ihrer Dienstleister. Schreiben Sie uns oder buchen Sie direkt einen Termin.
Share this content:
Schreibe einen Kommentar