Sie verwenden einen veralteten Browser. Um im Internet auch weiterhin sicher unterwegs zu sein, empfehlen wir ein Update.

Nutzen Sie z.B. eine aktuelle Version von Edge, Chrome oder Firefox

Fit für die DSGVO finden Sie jetzt hier

Auftragsverarbeitung

Bei einer Auftragsverarbeitung lässt ein Verantwortlicher personenbezogene Daten durch eine andere, externe Stelle verarbeiten. Er bestimmt allein über die Zwecke und Mittel und weist den Auftragsverarbeiter an, die Datenverarbeitung für ihn durchzuführen. Beispielsweise gelten viele Fälle des Outsourcings als Auftragsverarbeitung.

➜ Auftragsverarbeitung: Anforderungen und Beispiele

Mustervertrag für gemeinsame Verantwortlichkeit
Bild: Florin1605 / iStock / Getty Images Plus
DSGVO

Die juristischen Auseinandersetzungen um die Fanpages auf Facebook haben ein besonderes Konstrukt in das Bewusstsein verantwortlicher Stellen gerückt: die gemeinsame Verantwortung für die Einhaltung des Datenschutzes, wie sie der EuGH festgestellt hatte. Eine neue Mustervereinbarung will nun Transparenz schaffen.

Praxistipps zur Abgrenzung

Das Konstrukt der gemeinsamen Verantwortlichkeit schafft derzeit viel Unmut. Lesen Sie, welche Fragen und Beispiele Sie nutzen können, um eine klarere Trennung zu schaffen.

Urteil des EuGH

Datenschutz im religiösen Bereich – das scheint nichts, worum sich der normale Datenschützer kümmern muss. Manchmal entscheiden Gerichte allerdings anhand eines solchen Falls Grundsatzfragen von allgemeinem Interesse. Genau das ist bei einer Entscheidung des EuGH der Fall, die sich mit Datenschutzfragen bei den Zeugen Jehovas in Finnland befasst. Die Entscheidung ist so wichtig, dass sie jedem Datenschützer bekannt sein muss.

Fakten-Check zur DSGVO

Derzeit stehen AV-Verträge hoch im Kurs. Es lohnt jedoch ein Check, ob es sich tatsächlich um Auftragsverarbeitung handelt. In vielen Fällen kommt man nämlich auch mit geringerem Aufwand zu einem sauberen Ergebnis.

Hilfsmittel zur Auftragsverarbeitung
Bild: iStock.com / Maxiphoto
Datenverarbeitung im Auftrag - oder nicht?

Welche Abgrenzungs-Beispiele zur Auftragsverarbeitung gibt es? Wann ist das Hosting von Webseiten keine Auftragsverarbeitung? Unterliegen Steuerberater den Anforderungen der Auftragsverarbeitung? Das Bayerische Landesamt für Datenschutz (BayLDA) bietet in einer Neufassung seiner Infoblätter hierzu viele Informationen, die in der Praxis weiterhelfen.

Gemeinsam Verantwortliche

Der Datenschutz auf einer Facebook-Fanpage ist nicht ausschließlich das Problem von Facebook. Seit dieser Entscheidung des EuGH herrscht helle Aufregung in Unternehmen, aber auch in Vereinen und anderen Organisationen, die eine Fanpage betreiben. Die Grundsätze, die der EuGH aufgestellt hat, gelten eindeutig auch für die DSGVO. Das macht die Entscheidung auf Jahre hinaus grundlegend wichtig.

DP+
Was genau ist Joint Controllership?
Bild: iStock.com / PeopleImages
Abgrenzung und Inhalte

In vielen Fällen findet eine Datenverarbeitung mit Unterstützung eines anderen Unternehmens statt. Um die Rechtmäßigkeit der Verarbeitung zu gewährleisten, ist es von großer Bedeutung, solche Sachverhalte korrekt einzuordnen. Beteiligte müssen wissen, ob sie Verantwortliche, Auftragsverarbeiter oder Joint Controller sind.

Auftragsverarbeitung

Die IT-Risiken werden immer komplexer, qualifiziertes Personal ist Mangelware – das lässt nicht nur kleine und mittlere Unternehmen daran denken, die IT-Sicherheit auszulagern. Doch wer sogenannte Managed Security Services nutzt, überträgt nur Aufgaben, nicht die komplette Verantwortlichkeit. Lesen Sie, worauf Sie als Datenschutzbeauftragter achten sollten, wenn Ihr Unternehmen plant, die IT-Sicherheit in die Hände Dritter zu geben.

Haben Sie die IT-Sicherheit an einen Auftragnehmner ausgelagert, sollten Sie bei der Prüfung der technischen und organisatorischen Maßnahmen vor allem die folgenden Anforderungen an Datenschutz und Datensicherheit hinsichtlich ihrer Umsetzung unter die Lupe nehmen.

2 von 2

Die Auftragsverarbeitung ist abzugrenzen von der gemeinsamen Verantwortung (Art. 26 DSGVO), bei der die Beteiligten gemeinsam über die Zwecke und Mittel der Datenverarbeitung bestimmen.

Gesetze, Vorschriften und Rechtsprechung zur Auftragsverarbeitung

  • Art. 28 DSGVO (Auftragsverarbeiter)
  • Erwägungsgrund 81 der DSGVO

Wann liegt eine Auftragsverarbeitung vor?

Eine Auftragsverarbeitung liegt vor, wenn alle der nachfolgenden Voraussetzungen erfüllt sind:

  1. Auftraggeber und Auftragnehmer sind zwei unterschiedliche Stellen (juristische oder natürliche Personen). Keinerlei Rolle spielt, ob sie dem gleichen Konzern oder Unternehmensverbund angehören.
  2. Auftragnehmer und Auftraggeber tauschen personenbezogene Daten aus.
  3. Der Dienstleister verarbeitet personenbezogene Daten im Auftrag und auf Weisung des Auftraggebers. Er besitzt kein Mitspracherecht über den Zweck der Datenverarbeitung. Er arbeitet somit nicht aus einem Eigeninteresse mit den Daten, sondern um die ihm übertragenen Aufgaben bzw. den abgeschlossenen Vertrag zu erfüllen. Er handelt insofern nur als „verlängerter Arm“ des Auftraggebers.
  4. Der Dienstleister ist weisungsgebunden in Bezug auf die Datenbearbeitung. Der Auftraggeber darf dem Dienstleister vorschreiben, wie er mit den personenbezogenen Daten umzugehen hat.

Beispiel: Folgende Unternehmen handeln oft als Auftragsverarbeiter

  • Callcenter
  • Aktenvernichter
  • Dienstleister zur Berechnung und Auszahlung von Gehältern
  • Schreibbüro
  • Lettershop
  • Archivierungsdienstleister
  • externe Systemadministratoren
  • externe Firmen für die Wartung und Fernwartung von EDV-Geräten

Keine Auftragsverarbeitung liegt üblicherweise vor bei

  • Steuerberatern, denen die Buchführung zur selbstständigen und „bestmöglichen“ Erledigung übertragen wird
  • Rechtsanwälten, die die Interessen ihrer Auftraggeber selbstständig wahrnehmen
  • Marktanalysen durch eine Marketingfirma unter deren eigener Regie

Liegt keine Auftragsverarbeitung vor, kommt nicht Art. 28 DSGVO, sondern die allgemeinen Vorschriften der DSGVO zur Anwendung.

Insbesondere muss dann geprüft werden, ob es Rechtsgrundlagen gibt, die eine Übermittlung und Verwendung der Daten gestatten. Im Fall einer Auftragsverarbeitung ergibt sich die Rechtsgrundlage dagegen direkt aus Art. 28 DSGVO.

Anforderungen an eine Auftragsverarbeitung

Liegt eine Auftragsverarbeitung vor, muss der Verantwortliche (Auftraggeber) Folgendes berücksichtigen:

Zum einen darf er nur Auftragsverarbeiter (Auftragnehmer) auswählen, die die Anforderungen der Datenschutzgesetze kennen und sich daran halten (vgl. Art. 28 Abs. 1 DSGVO).

Die Arbeiten müssen auf Grundlage eines Vertrags erfolgen. Der Vertrag muss festlegen (Art. 28 Abs. 3 DSGVO):

  • Gegenstand und Dauer der Verarbeitung
  • Art und Zweck der Datenverarbeitung
  • Arten der personenbezogenen Daten und Kategorien der betroffenen Personen
  • Rechte und Pflichten des Verantwortlichen
  • Dokumentationspflicht aller Weisungen des Verantwortlichen
  • Pflicht zur Vertraulichkeit und Verschwiegenheit der Bearbeiter des Auftragsverarbeiters
  • Der Auftragsverarbeiter muss angemessene technische und organisatorische Maßnahmen zur Datensicherheit gemäß Art. 32 DSGVO ergreifen.
  • Subunternehmer muss der Auftragsverarbeiter genehmigen lassen oder konkret auf ihre Einschaltung hinweisen, damit der Auftraggeber widersprechen kann. Vertraglich müssen für Subunternehmer dieselben Vorgaben gelten wie zwischen den Haupt-Vertragsparteien.
  • Unterstützung des Verantwortlichen bei der Erfüllung der Betroffenenrechte
  • Unterstützung des Verantwortlichen bei Maßnahmen nach Art. 32–36 DSGVO (Datensicherheit, Meldepflicht bei Datenpannen, Datenschutz-Folgenabschätzung und vorherige Konsultation)
  • Regelung zur Rückgabe oder Löschung der Daten nach Vertragsbeendigung
  • Ermöglichung von Überprüfungen und Inspektionen sowie Anzeigepflicht bei rechtswidrigen Weisungen

Der Vertrag kann schriftlich oder elektronisch abgeschlossen werden (Art. 28 Abs. 9 DSGVO).

EU-Kommission und Aufsichtsbehörden können Musterverträge veröffentlichen, in denen die oben genannten Anforderungen enthalten sind (Art. 28 Abs. 7 und 8 DSGVO).

Folgen einer Auftragsverarbeitung

Liegt eine Auftragsverarbeitung vor, bedeutet das unter anderem:

  • Es ist keine gesonderte Rechtsgrundlage für die Datenübermittlung und die weitere Datenverarbeitung erforderlich.
  • Bei Mängeln oder Verstößen haften der Verantwortliche (Auftraggeber) und der Auftragsverarbeiter unmittelbar und gesamtschuldnerisch (Art. 82 DSGVO) – dies stellt eine Änderung dar gegenüber der früheren Rechtslage vor Inkrafttreten der DSGVO.
  • Dass der Verantwortliche (Auftraggeber) den Auftragsverarbeiter kontrollieren muss, ergibt sich aus den allgemeinen Vorschriften: So wie er ein Kontrollsystem für seine gesamte Datenverarbeitung besitzen muss, muss er auch seine Dienstleister kontrollieren und dies nachweisen können (Rechenschaftspflicht in Art. 5 Abs. 2 DSGVO).

Geldbußen

Die Aufsichtsbehörde kann Geldbußen verhängen, wenn zwar eine Auftragsverarbeitung vorliegt, aber kein oder nur ein fehlerhafter Auftrag.

Die Geldbuße kann maximal 10 Mio. EUR betragen – oder 2 % des gesamten weltweiten Jahresumsatzes, falls dieser Betrag höher ist (Art. 83 Abs. 4 Buchstabe a DSGVO).

Mustervorlagen

Orientierungshilfen, Checklisten und Mustervorlagen können Sie bei folgenden Stellen abrufen:

Datenschutz PRAXIS - Der Podcast
Vielen Dank! Ihr Kommentar muss noch redaktionell geprüft werden, bevor wir ihn veröffentlichen können.