MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Die Erstellung einer Datenaustauschvereinbarung beginnt mit der Frage, wer den Zweck der Verarbeitung festlegt, da dies die Rollenverteilung gemäß DSGVO und somit die Vertragsstruktur bestimmt. Anschließend wird festgelegt, welche Daten ausgetauscht werden, auf welcher Rechtsgrundlage (Art. 6 DSGVO), mit welchen Sicherheitsmaßnahmen (Art. 32 DSGVO), wie mit Datenschutzverletzungen umzugehen ist (Art. 33 und 34 DSGVO) und ob Daten außerhalb des EWR übermittelt werden. Wird diese Reihenfolge nicht eingehalten, entsteht ein Vertrag, der nicht der tatsächlichen Beziehung zwischen den Parteien entspricht.
Die kurze Antwort
- Rollenbestimmung: unabhängige Verantwortliche, gemeinsam (Art. 26 DSGVO) oder Auftragsverarbeiter (Art. 28 DSGVO).
- Datenumfang: Welche Datenkategorien, in welcher Richtung und zu welchem Zweck?
- Rechtsgrundlage und Zweckbindung: auf welcher Grundlage Sie Ihre Daten weitergeben und dass der Zweck begrenzt bleibt (Art. 5 und 6 DSGVO).
- Sicherheit: geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO).
- Datenschutzverletzungen und Datenübermittlung: Benachrichtigungsvereinbarungen und mögliche Übermittlung außerhalb des EWR.
Entwurf einer Datenaustauschvereinbarung: Beginnen Sie mit der Rolle
Die Rollenverteilung ist die Grundlage. Für jeden Datenstrom ist festzulegen, wer Zweck und Mittel bestimmt. Hat jede Partei einen eigenen Zweck, handelt es sich um unabhängige Verantwortliche, und eine Austauschvereinbarung ist erforderlich. Legen die Parteien den Zweck gemeinsam fest, gilt eine Vereinbarung über die gemeinsame Verantwortung (Art. 26 DSGVO). Verarbeitet eine Partei ausschließlich im Auftrag der anderen, ist keine Austauschvereinbarung, sondern ein Auftragsverarbeitungsvertrag erforderlich (Art. 28 DSGVO).
Dieser Schritt wird oft ausgelassen, was zu einem Vertrag mit falschen Verpflichtungen führt. Daher sollte die Rolle im Dokument explizit festgelegt werden, damit die anwendbare Regelung später nicht angefochten werden kann.
Den Datenumfang klar definieren
Beschreiben Sie genau, welche Daten ausgetauscht werden. Ungenau beschriebene Datenflüsse führen zu unerwünschtem Datenaustausch und verstoßen gegen die Zweckbindung gemäß Art. 5 DSGVO. Folgendes ist zu beachten:
- Datenkategorien: zum Beispiel Name und Adresse, Kontaktdaten oder Nutzungsdaten und ob besondere Arten von personenbezogenen Daten enthalten sind.
- Richtung: einseitig oder gegenseitig, und pro Fluss angegeben.
- Zweck: der konkrete, klar definierte Zweck, für den die Daten verwendet werden dürfen.
- Rechtsgrundlage: die Grundlage gemäß Art. 6 DSGVO, wie z. B. Einwilligung, Vertrag oder berechtigtes Interesse.
Je präziser der Anwendungsbereich definiert ist, desto geringer ist die Wahrscheinlichkeit, dass eine Partei Daten für etwas verwendet, wofür es keine Rechtsgrundlage gibt.
Sicherheit, Aufbewahrungsfrist und betroffene Personen
Dokumentieren Sie die von beiden Parteien getroffenen Sicherheitsmaßnahmen. Art. 32 DSGVO erfordert geeignete technische und organisatorische Maßnahmen, die auf die Sensibilität der Daten abgestimmt sind. Berücksichtigen Sie Verschlüsselung, Zugriffskontrolle und Protokollierung. Vereinbaren Sie außerdem Aufbewahrungsfristen: Daten, die ihren Zweck erfüllt haben, müssen gelöscht werden.
Regelt außerdem, wie ihr mit den Rechten betroffener Personen umgeht. Bei unabhängigen Verantwortlichen bearbeitet jede Partei ihre eigenen Anfragen. Bei gemeinsamer Verantwortung legt ihr in Artikel 26 der Verordnung fest, wer die Auskunftspflicht erfüllt und wer Anfragen auf Auskunft, Berichtigung und Löschung bearbeitet. So stellt ihr sicher, dass betroffene Personen wissen, an wen sie sich wenden können.
Datenschutzverletzungen und Datentransfer
Fügen Sie einen Absatz zum Umgang mit Datenschutzverletzungen hinzu, der der gesetzlichen Meldepflicht entspricht. Grundsätzlich meldet ein Verantwortlicher eine Datenschutzverletzung innerhalb von 72 Stunden an die Datenschutzbehörde, es sei denn, ein Risiko für betroffene Personen ist unwahrscheinlich (Art. 33 DSGVO). Besteht ein hohes Risiko für die Rechte und Freiheiten betroffener Personen, erfolgt eine Benachrichtigung dieser Personen zusätzlich (Art. 34 DSGVO). Legen Sie fest, wer für welche Meldung zuständig ist und wie die Beteiligten sich gegenseitig direkt informieren.
Wenn Daten den Europäischen Wirtschaftsraum verlassen, gelten die Bestimmungen von Kapitel V der DSGVO (Art. 44 ff.). Geben Sie die Rechtsgrundlage hierfür an, beispielsweise einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Ohne diese Grundlage ist eine Übermittlung nicht zulässig.
Ein praktisches Beispiel: Ein Großhändler übermittelt Bestelldetails an einen Logistikpartner, der die Auslieferung übernimmt. Der Partner legt den Bestimmungsort nicht selbst fest, sondern führt die Lieferung im Auftrag des Kunden durch. Im Rahmen der Vertragserstellung stellt sich heraus, dass hier eine Vereinbarung zur Auftragsverarbeitung und nicht ein Austauschvertrag angebracht ist. Diese vorherige Rollenprüfung verhindert, dass der Großhändler einen unpassenden Vertrag unterzeichnet.
Letzte Vorkehrungen, die Sie nicht vergessen werden
- Vertraulichkeit: beidseitig, auch nach Beendigung der Zusammenarbeit.
- Haftung: Wer trägt im Falle eines Verstoßes oder einer Datenschutzverletzung welche Schäden?
- Dauer und Beendigung: Was geschieht mit den Daten nach Beendigung der Zusammenarbeit?
- Audit: das Recht, die Einhaltung der Vereinbarungen zu überprüfen.
- Anwendbares Recht: Welches Recht findet Anwendung und welches Gericht ist zuständig?
Ehrliche Empfehlung
Wenn Sie ausschließlich nicht-personenbezogene Daten austauschen, beispielsweise technische oder anonymisierte Daten, können Sie den Vertrag problemlos selbst erstellen. Eine übersichtliche Vorlage mit Vereinbarungen zu Zweck, Vertraulichkeit und Sicherheit genügt; ein Anwalt ist nicht erforderlich.
Suchen Sie umgehend Unterstützung, sobald personenbezogene Daten betroffen sind, die Rollenverteilung nicht sofort ersichtlich ist oder Daten den EWR verlassen bzw. besondere Kategorien personenbezogener Daten betreffen. Die Unterscheidung zwischen unabhängigen Verantwortlichen (Artikel 26) und Artikel 28 erfordert besondere Aufmerksamkeit und hat Auswirkungen auf die Haftung und das Risiko von Bußgeldern. Ein fehlerhaftes Formular kann nicht nachträglich korrigiert werden.
Lesen Sie auch die Erläuterungen zu Datenaustauschvereinbarungen und den damit verbundenen Kosten . Sie können das Dokument über die Seite für Datenaustauschvereinbarungen erstellen lassen .
Häufig gestellte Fragen
Definieren Sie zunächst die Rollen für jeden Datenstrom, legen Sie dann den Datenumfang, den Zweck und die Rechtsgrundlage fest und regeln Sie Sicherheit, Aufbewahrungsfrist, Benachrichtigungen bei Datenschutzverletzungen und jegliche Übermittlung außerhalb des EWR. Schließen Sie mit Vertraulichkeit, Haftung und Kündigung ab.
Denn davon hängt ab, welche DSGVO-Regelung Anwendung findet. Unabhängige Verantwortliche, gemeinsame Verantwortung (Art. 26 DSGVO) und ein Auftragsverarbeiterverhältnis (Art. 28 DSGVO) erfordern jeweils unterschiedliche Regelungen. Die falsche Rollenverteilung führt zu einem Vertrag, der die Realität nicht widerspiegelt.
Eine Rechtsgrundlage gemäß Art. 6 DSGVO, wie beispielsweise Einwilligung, Vertragserfüllung oder berechtigtes Interesse. Die Daten dürfen nur für den spezifischen Zweck verwendet werden, für den sie übermittelt wurden, gemäß der Zweckbindung nach Art. 5 DSGVO.
Geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, abgestimmt auf die Sensibilität der Daten. Beispiele hierfür sind Verschlüsselung, Zugriffskontrolle, Protokollierung und Vereinbarungen darüber, wer welche Maßnahmen implementiert und aufrechterhält.
Legen Sie fest, wer eine Datenschutzverletzung meldet und innerhalb welcher Frist, nach Benachrichtigung der Datenschutzbehörde innerhalb von 72 Stunden (Art. 33 DSGVO) und, im Falle eines hohen Risikos, den betroffenen Personen (Art. 34 DSGVO). Vereinbaren Sie, wie die Parteien sich gegenseitig unverzüglich informieren.
Ja, wenn Daten den EWR verlassen. Geben Sie die Rechtsgrundlage an, auf der dies gemäß Kapitel V der DSGVO (Art. 44 ff.) zulässig ist, beispielsweise einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Ohne gültige Rechtsgrundlage ist eine Übermittlung nicht zulässig.
Bei ausschließlich nicht personenbezogenen Daten ist dies mit einem guten Modell oft möglich. Bei personenbezogenen Daten, unklarer Rollenverteilung, besonderen Datenkategorien oder Übermittlungen außerhalb des EWR ist eine professionelle Prüfung ratsam, da ein fehlerhaftes Formular Haftungsfolgen und Bußgelder nach sich ziehen kann.
