Auftragsverarbeitung
Bei einer Auftragsverarbeitung lässt ein Verantwortlicher personenbezogene Daten durch eine andere, externe Stelle verarbeiten. Er bestimmt allein über die Zwecke und Mittel und weist den Auftragsverarbeiter an, die Datenverarbeitung für ihn durchzuführen. Beispielsweise gelten viele Fälle des Outsourcings als Auftragsverarbeitung.
Die Auftragsverarbeitung ist abzugrenzen von der gemeinsamen Verantwortung (Art. 26 DSGVO), bei der die Beteiligten gemeinsam über die Zwecke und Mittel der Datenverarbeitung bestimmen.
Gesetze, Vorschriften und Rechtsprechung zur Auftragsverarbeitung
- Art. 28 DSGVO (Auftragsverarbeiter)
- Erwägungsgrund 81 der DSGVO
Wann liegt eine Auftragsverarbeitung vor?
Eine Auftragsverarbeitung liegt vor, wenn alle der nachfolgenden Voraussetzungen erfüllt sind:
- Auftraggeber und Auftragnehmer sind zwei unterschiedliche Stellen (juristische oder natürliche Personen). Keinerlei Rolle spielt, ob sie dem gleichen Konzern oder Unternehmensverbund angehören.
- Auftragnehmer und Auftraggeber tauschen personenbezogene Daten aus.
- Der Dienstleister verarbeitet personenbezogene Daten im Auftrag und auf Weisung des Auftraggebers. Er besitzt kein Mitspracherecht über den Zweck der Datenverarbeitung. Er arbeitet somit nicht aus einem Eigeninteresse mit den Daten, sondern um die ihm übertragenen Aufgaben bzw. den abgeschlossenen Vertrag zu erfüllen. Er handelt insofern nur als „verlängerter Arm“ des Auftraggebers.
- Der Dienstleister ist weisungsgebunden in Bezug auf die Datenbearbeitung. Der Auftraggeber darf dem Dienstleister vorschreiben, wie er mit den personenbezogenen Daten umzugehen hat.
Beispiel: Folgende Unternehmen handeln oft als Auftragsverarbeiter
- Callcenter
- Aktenvernichter
- Dienstleister zur Berechnung und Auszahlung von Gehältern
- Schreibbüro
- Lettershop
- Archivierungsdienstleister
- externe Systemadministratoren
- externe Firmen für die Wartung und Fernwartung von EDV-Geräten
Keine Auftragsverarbeitung liegt üblicherweise vor bei
- Steuerberatern, denen die Buchführung zur selbstständigen und „bestmöglichen“ Erledigung übertragen wird
- Rechtsanwälten, die die Interessen ihrer Auftraggeber selbstständig wahrnehmen
- Marktanalysen durch eine Marketingfirma unter deren eigener Regie
Liegt keine Auftragsverarbeitung vor, kommt nicht Art. 28 DSGVO, sondern die allgemeinen Vorschriften der DSGVO zur Anwendung.
Insbesondere muss dann geprüft werden, ob es Rechtsgrundlagen gibt, die eine Übermittlung und Verwendung der Daten gestatten. Im Fall einer Auftragsverarbeitung ergibt sich die Rechtsgrundlage dagegen direkt aus Art. 28 DSGVO.
Anforderungen an eine Auftragsverarbeitung
Liegt eine Auftragsverarbeitung vor, muss der Verantwortliche (Auftraggeber) Folgendes berücksichtigen:
Zum einen darf er nur Auftragsverarbeiter (Auftragnehmer) auswählen, die die Anforderungen der Datenschutzgesetze kennen und sich daran halten (vgl. Art. 28 Abs. 1 DSGVO).
Die Arbeiten müssen auf Grundlage eines Vertrags erfolgen. Der Vertrag muss festlegen (Art. 28 Abs. 3 DSGVO):
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Datenverarbeitung
- Arten der personenbezogenen Daten und Kategorien der betroffenen Personen
- Rechte und Pflichten des Verantwortlichen
- Dokumentationspflicht aller Weisungen des Verantwortlichen
- Pflicht zur Vertraulichkeit und Verschwiegenheit der Bearbeiter des Auftragsverarbeiters
- Der Auftragsverarbeiter muss angemessene technische und organisatorische Maßnahmen zur Datensicherheit gemäß Art. 32 DSGVO ergreifen.
- Subunternehmer muss der Auftragsverarbeiter genehmigen lassen oder konkret auf ihre Einschaltung hinweisen, damit der Auftraggeber widersprechen kann. Vertraglich müssen für Subunternehmer dieselben Vorgaben gelten wie zwischen den Haupt-Vertragsparteien.
- Unterstützung des Verantwortlichen bei der Erfüllung der Betroffenenrechte
- Unterstützung des Verantwortlichen bei Maßnahmen nach Art. 32–36 DSGVO (Datensicherheit, Meldepflicht bei Datenpannen, Datenschutz-Folgenabschätzung und vorherige Konsultation)
- Regelung zur Rückgabe oder Löschung der Daten nach Vertragsbeendigung
- Ermöglichung von Überprüfungen und Inspektionen sowie Anzeigepflicht bei rechtswidrigen Weisungen
Der Vertrag kann schriftlich oder elektronisch abgeschlossen werden (Art. 28 Abs. 9 DSGVO).
EU-Kommission und Aufsichtsbehörden können Musterverträge veröffentlichen, in denen die oben genannten Anforderungen enthalten sind (Art. 28 Abs. 7 und 8 DSGVO).
Folgen einer Auftragsverarbeitung
Liegt eine Auftragsverarbeitung vor, bedeutet das unter anderem:
- Es ist keine gesonderte Rechtsgrundlage für die Datenübermittlung und die weitere Datenverarbeitung erforderlich.
- Bei Mängeln oder Verstößen haften der Verantwortliche (Auftraggeber) und der Auftragsverarbeiter unmittelbar und gesamtschuldnerisch (Art. 82 DSGVO) – dies stellt eine Änderung dar gegenüber der früheren Rechtslage vor Inkrafttreten der DSGVO.
- Dass der Verantwortliche (Auftraggeber) den Auftragsverarbeiter kontrollieren muss, ergibt sich aus den allgemeinen Vorschriften: So wie er ein Kontrollsystem für seine gesamte Datenverarbeitung besitzen muss, muss er auch seine Dienstleister kontrollieren und dies nachweisen können (Rechenschaftspflicht in Art. 5 Abs. 2 DSGVO).
Geldbußen
Die Aufsichtsbehörde kann Geldbußen verhängen, wenn zwar eine Auftragsverarbeitung vorliegt, aber kein oder nur ein fehlerhafter Auftrag.
Die Geldbuße kann maximal 10 Mio. EUR betragen – oder 2 % des gesamten weltweiten Jahresumsatzes, falls dieser Betrag höher ist (Art. 83 Abs. 4 Buchstabe a DSGVO).
Mustervorlagen
Orientierungshilfen, Checklisten und Mustervorlagen können Sie bei folgenden Stellen abrufen:
- Mustervertragsanlage zur Auftragsverarbeitung des Bitkom Bundesverband Informationswirtschaft