MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Ein gutes Beispiel für eine Auftragsverarbeitungsvereinbarung enthält stets dieselben Kernelemente: eine Beschreibung der Verarbeitung, verbindliche Weisungen, die Sicherheitsverpflichtung (Art. 32 DSGVO), Vereinbarungen bezüglich Unterauftragnehmern, die Meldepflicht bei Datenschutzverletzungen sowie die Rückgabe oder Löschung der Daten nach Abschluss der Verarbeitung. Diese Bestandteile sind nicht optional – Art. 28 Abs. 3 DSGVO schreibt sie vor. Im Folgenden erläutern wir die wichtigsten Bestimmungen, damit Sie den Nutzen eines Beispiels beurteilen können.
Die kurze Antwort
- Beschreibung der Verarbeitung: Gegenstand, Dauer, Art, Zweck, Datentypen und betroffene Personen.
- Bindung gemäß Anweisungen: Der Prozessor handelt ausschließlich auf Grundlage der geschriebenen Anweisungen.
- Sicherheit: geeignete technische und organisatorische Maßnahmen (Artikel 32).
- Unterauftragnehmer: nur mit Einwilligung und unter Übertragung der Pflichten.
- Datenschutzverletzung und Rückgabe: Benachrichtigungspflicht gegenüber dem Verantwortlichen und Löschung nach Abschluss der Datenlöschung.
Beispiel für eine Auftragsverarbeitungsvereinbarung: die Standardkomponenten
Jedes verwendbare Beispiel beginnt mit einer Beschreibung der Verarbeitung. Diese Beschreibung umfasst Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Arten personenbezogener Daten und die Kategorien der betroffenen Personen. Sie dient nicht als Einleitung, sondern schränkt die Handlungsfreiheit des Auftragsverarbeiters ein: Alles, was darüber hinausgeht, fällt nicht in den Aufgabenbereich.
Die Befehlsbindung erfolgt unmittelbar im Anschluss. Der Prozessor verarbeitet die Daten ausschließlich auf Grundlage der dokumentierten Anweisungen des Controllers. Weicht er davon ab, handelt er auf eigenes Risiko und kann selbst zum Controller für diese Verarbeitung werden.
Sicherheit (Artikel 32)
Die Sicherheitsbestimmung bezieht sich auf Artikel 32 der DSGVO: geeignete technische und organisatorische Maßnahmen. Anhand eines aussagekräftigen Beispiels werden diese nicht nur abstrakt genannt, sondern konkrete Maßnahmen wie Verschlüsselung, Zugriffskontrolle, Protokollierung und regelmäßige Überprüfung genannt. Was als „angemessen“ gilt, hängt von der Sensibilität der Daten und den Risiken der Verarbeitung ab.
Beachten Sie die Vertraulichkeitsklausel: Jeder, der im Auftrag des Auftragsverarbeiters Zugriff auf die Daten hat, ist zur Vertraulichkeit verpflichtet. Ohne diese Bestimmung ist die Sicherheitsvereinbarung unvollständig.
Subprozessoren
Ein Auftragsverarbeiter beauftragt häufig selbst Dritte – beispielsweise einen Hosting-Anbieter oder einen Backup-Dienst. Die Unterauftragsverarbeiterklausel legt fest, dass dies nur mit der (allgemeinen oder spezifischen) Einwilligung des Verantwortlichen zulässig ist. Darüber hinaus muss der Auftragsverarbeiter dem Unterauftragsverarbeiter dieselben DSGVO-Pflichten auferlegen, die auch im Auftragsverarbeitervertrag festgelegt sind. Der Hauptauftragsverarbeiter bleibt für die Einhaltung der DSGVO durch seine Unterauftragsverarbeiter verantwortlich.
Meldepflicht bei Datenschutzverletzungen
Ein gutes Beispiel besagt, dass der Auftragsverarbeiter eine Datenschutzverletzung unverzüglich dem Verantwortlichen meldet und dabei ausreichende Informationen zur Beurteilung des Schweregrades bereitstellt. Der Auftragsverarbeiter meldet die Verletzung nicht selbst der niederländischen Datenschutzbehörde – dies obliegt weiterhin dem Verantwortlichen, der sie innerhalb von 72 Stunden nach Kenntniserlangung melden muss, sofern die Verletzung ein Risiko darstellt. Geben Sie die Mindestinformationen an, die die Meldung enthalten muss, sowie den Kanal, über den sie übermittelt wird.
Rückgabe und Entsorgung
Die letzte Bestimmung regelt das Vorgehen nach Abschluss der Verarbeitung. Der Auftragsverarbeiter gibt die personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder vernichtet sie und löscht vorhandene Kopien – es sei denn, eine gesetzliche Aufbewahrungspflicht schreibt etwas anderes vor. Ein aussagekräftiges Beispiel sieht einen konkreten Zeitraum vor und verlangt eine Bestätigung der Löschung.
Ehrliche Empfehlung
Ein Beispiel eines seriösen Anbieters ist für eine Standardleistung in der Regel völlig ausreichend. Vergleichen Sie es mit den sechs oben genannten Komponenten: Sind alle enthalten, können Sie es ohne Anwalt verwenden. Das genügt für die typische Situation eines KMU.
Ziehen Sie einen Anwalt zu Rate, wenn Sie besondere Kategorien personenbezogener Daten verarbeiten, Daten außerhalb der EU übermitteln oder selbst Datenverarbeiter sind und ein Muster als Vorlage anbieten möchten. Das blinde Kopieren eines Musters ohne Anpassung an Ihre tatsächliche Datenverarbeitung ist ein häufiger Fehler.
Lesen Sie mehr: Sehen Sie sich die Checkliste , um das Beispiel zu testen, lesen Sie, welche Fallstricke es zu vermeiden gilt, oder entwerfen Sie direkt einen Entwurf über die Datenverarbeitungsvereinbarung.
Häufig gestellte Fragen
Eine Beschreibung der Verarbeitung, verbindliche Weisungen, die Sicherheitsverpflichtung (Artikel 32 DSGVO), Vereinbarungen bezüglich Unterauftragnehmern, die Meldepflicht bei Datenschutzverletzungen sowie die Rückgabe oder Löschung der Daten nach Abschluss der Verarbeitung. Artikel 28 Absatz 3 DSGVO schreibt diese Elemente vor.
Gehen Sie dabei nicht unreflektiert vor. Passen Sie das Beispiel an Ihre tatsächliche Datenverarbeitung an: Datenarten, Zweck, Speicherdauer und Unterauftragnehmer. Ein Beispiel, das nicht der Realität entspricht, erzeugt ein falsches Sicherheitsgefühl und kann gegen die DSGVO verstoßen.
Es gibt keine einzelne Hauptbestimmung: Die Stärke liegt in der Kombination. Fehlt ein obligatorisches Element – beispielsweise die Unterauftragsverarbeitungsklausel oder die Löschbestimmung –, entspricht das Muster nicht Artikel 28 der DSGVO.
Der Prozessor verarbeitet Daten ausschließlich gemäß den dokumentierten Anweisungen des Controllers. Weicht er davon ab, handelt er auf eigenes Risiko und kann selbst zum Controller für diese Verarbeitung werden.
Die Maßnahmen müssen der Sensibilität der Daten und den Risiken angemessen sein (Artikel 32 DSGVO). Ein aussagekräftiges Beispiel nennt konkrete Maßnahmen wie Verschlüsselung, Zugriffskontrolle und Protokollierung und schreibt die Vertraulichkeit für alle Zugriffsberechtigten vor.
Der Auftragsverarbeiter meldet die Datenschutzverletzung unverzüglich dem Verantwortlichen. Dieser entscheidet, ob eine Benachrichtigung der Datenschutzbehörde innerhalb von 72 Stunden erforderlich ist. Ein gutes Beispiel legt fest, welche Informationen die Benachrichtigung enthalten soll und über welchen Kanal sie übermittelt wird.
Der Auftragsverarbeiter gibt die Daten nach Abschluss der Verarbeitung nach Wahl des Verantwortlichen entweder zurück oder vernichtet sie und löscht Kopien, sofern keine gesetzliche Aufbewahrungspflicht etwas anderes vorschreibt. Eine konkrete Frist und eine Bestätigung der Löschung müssen vorgesehen sein.
