AVV als Mission Impossible
Ein Auftragnehmer sollte im AVV garantieren, unbefugte Zutritte vollständig zu verhindern. Ein anderer musste jeden Sicherheitsvorfall innerhalb weniger Stunden abschließend aufklären. Wieder ein anderer sollte sämtliche Vorgaben des Auftraggebers jederzeit, vollständig und, wie es sich anfühlte, ohne Rücksicht auf technische, organisatorische oder wirtschaftliche Grenzen umsetzen.
Zwischen Diskussion und Resignation
Zunächst erfolgten noch eifrige Diskussionen: Welche Verpflichtung ist zulässig? Wo beginnt eine faktische Garantie? Wann wird aus einer angemessenen Schutzmaßnahme eine unerfüllbare Zusage?
Je länger wir die Beispiele prüften, desto deutlicher traten die Konsequenzen hervor. Natürlich müssen Auftragsverarbeiter personenbezogene Daten schützen. Sie müssen Risiken bewerten, geeignete technische und organisatorische Maßnahmen umsetzen, Sicherheitsvorfälle melden und die Erfüllung ihrer Pflichten nachweisen.
Aber Datenschutzbeauftragte und Auftragsverarbeiter sind keine Zauberer. Kein Unternehmen kann sicherstellen, dass niemals jemand unbefugt ein Gebäude betritt, kein Beschäftigter jemals einen Fehler macht und kein technisches System jemals ausfällt. Gefordert ist ein angemessenes Schutzniveau, das sich am Risiko, am Stand der Technik, an den Implementierungskosten und an den konkreten Umständen der Verarbeitung orientiert.
Ein guter AVV beschreibt Verantwortlichkeiten eindeutig, erfüllbar und realistisch. Ein etwas weniger guter AVV versucht, jedes denkbare Risiko auf den Auftragnehmer zu verlagern. Kritisch wird es, wenn aus einer Pflicht zum Schut…
