Was ist eine Datenverarbeitungsvereinbarung? Erklärung und Anwendung

Was ist eine Auftragsverarbeitungsvereinbarung? Es handelt sich um eine schriftliche Vereinbarung zwischen einer Organisation, die personenbezogene Daten verarbeitet, und demjenigen, der diese Verarbeitung für sie durchführt. Der Begriff stammt aus dem alten Datenschutzgesetz (Wbp), das von einem „Auftragsverarbeiter“ sprach. Seit dem 25. Mai 2018 gilt die DSGVO, und derselbe Vertrag wird offiziell als Auftragsverarbeitungsvereinbarung bezeichnet. Inhaltlich regelt er dasselbe: Wer darf was mit den Daten tun, wie werden sie geschützt und was passiert im Schadensfall? Die obligatorischen Inhalte sind in Artikel 28 DSGVO festgelegt. Im Folgenden finden Sie eine Erläuterung, praktische Anwendungsbeispiele und Hinweise auf häufige Probleme für KMU.

Die kurze Antwort

• Was: ein obligatorischer Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter über die Verarbeitung personenbezogener Daten.
• Name: „Auftragsverarbeitervertrag“ ist der alte Wbp-Begriff; nach der DSGVO heißt es Auftragsverarbeitervertrag.
• Rechtsgrundlage: Artikel 28 DSGVO, wobei Absatz 3 Buchstabe a bis h zwingende Angaben enthält.
• Wann: Sobald ein externer Dritter in Ihrem Auftrag personenbezogene Daten verarbeitet, wie beispielsweise ein Hosting-Anbieter, ein Lohnabrechnungsdienstleister oder ein CRM-Anbieter.
• Form: schriftlich, elektronisch ist ebenfalls zulässig (Artikel 28 Absatz 9 DSGVO).
• Risiko: Fehlt die Vereinbarung, verstoßen beide Parteien gegen die DSGVO, und die niederländische Datenschutzbehörde kann Maßnahmen ergreifen.

Was genau ist eine Datenverarbeitungsvereinbarung?

Eine Auftragsverarbeitungsvereinbarung legt fest, dass ein externer Dienstleister personenbezogene Daten ausschließlich nach Ihren Anweisungen und nicht für eigene Zwecke verarbeitet. Beispiele hierfür sind Buchhaltungsunternehmen, die Ihre Lohnbuchhaltung übernehmen, IT-Firmen, die Ihre Server verwalten, oder Softwareanbieter, die Ihre Kundendaten in der Cloud speichern. Ohne eine solche Vereinbarung ist unklar, wer im Falle eines Datenlecks wofür verantwortlich ist.

Die Vereinbarung ist keine Formalität. Die DSGVO schreibt sie vor und knüpft konkrete Pflichten daran: Einhaltung von Weisungen, Vertraulichkeit, Sicherheit, Rückgabe oder Vernichtung nach Ablauf der Frist sowie Einsichtnahme. Bei einem Verstoß gegen Artikel 28 kann die niederländische Datenschutzbehörde eine Geldbuße von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes verhängen (Artikel 83 Absatz 4 DSGVO).

Datenverarbeitungsvertrag oder Auftragsverarbeitungsvertrag?

Dieser Unterschied sorgt oft für Verwirrung, daher hier eine Klarstellung. Nach dem WBP wurden die Vertragsparteien als „Verantwortlicher“ und „Auftragsverarbeiter“ bezeichnet, und der Vertrag war dementsprechend ein Auftragsverarbeitungsvertrag. Die DSGVO hat diese Begriffe durch „Verantwortlicher“ und „Auftragsverarbeiter“ ersetzt. Daher lautet die korrekte Bezeichnung seit 2018 Auftragsverarbeitungsvertrag, auch bekannt als Datenverarbeitungsvertrag oder Auftragsverarbeitungsvereinbarung.

Viele Unternehmer suchen noch immer mit dem alten Begriff, was an sich kein Problem darstellt. Solange das Dokument inhaltlich Artikel 28 DSGVO entspricht, ist die Bezeichnung auf der ersten Seite rechtlich nicht ausschlaggebend. Dennoch empfiehlt es sich, neue Verträge als „Auftragsverarbeitungsvertrag“ zu bezeichnen. Ein Dokument, das noch die alte Wbp-Terminologie und die alten Artikelverweise verwendet, ist in der Regel auch inhaltlich veraltet und weist Mängel gemäß DSGVO auf.

Controller oder Prozessor?

Bevor Sie etwas unterschreiben, müssen Sie Ihre Rolle kennen. Artikel 4 der DSGVO definiert diese wie folgt:

• Verantwortlicher (Artikel 4 Absatz 7): die Partei, die Zweck und Mittel der Verarbeitung festlegt. Sie entscheiden, welche Kundendaten Sie erheben und warum.
• Auftragsverarbeiter (Artikel 4 Absatz 8): die Partei, die die Daten im Auftrag des Verantwortlichen verarbeitet, ohne Kontrolle über die Zwecke und Mittel zu haben.

Die Rolle ergibt sich aus den Fakten, nicht aus der Bezeichnung im Vertrag. Legt ein Lieferant Zweck und Mittel der Datenverarbeitung selbst fest, gilt er als Verantwortlicher für diese Verarbeitung (Art. 28 Abs. 10 DSGVO), und eine Auftragsverarbeitungsvereinbarung ist nicht das geeignete Instrument. Legen zwei Parteien den Zweck gemeinsam fest, sind sie gemeinsam Verantwortliche, und gemäß Art. 26 DSGVO ergibt sich eine andere Regelung. Beispielsweise ist ein Buchhalter, der selbst gesetzlichen Aufbewahrungspflichten unterliegt, für diesen Teil nicht Auftragsverarbeiter.

Was muss es laut Gesetz enthalten?

Artikel 28 Absatz 3 DSGVO schreibt zunächst eine Beschreibung des Gegenstands und der Dauer der Verarbeitung, der Art und des Zwecks der Verarbeitung, der Art der personenbezogenen Daten und der Kategorien der betroffenen Personen vor. Darüber hinaus muss er die folgenden acht Pflichten des Auftragsverarbeiters enthalten:

1. Unterabschnitt a: Verarbeitung nur auf dokumentierte Anweisung des Verantwortlichen, auch im Falle der Übermittlung in ein Drittland.
2. Unterabschnitt b: Sicherstellen, dass Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit verpflichtet sind.
3. Unterabschnitt c: Ergreifen geeigneter Sicherheitsmaßnahmen gemäß Artikel 32 DSGVO.
4. Unterabs. d: die Bedingungen für die Beauftragung von Unterauftragnehmern einzuhalten (Artikel 28 Absätze 2 und 4).
5. Unterpunkt e: Unterstützung bei Anfragen von Betroffenen zur Ausübung ihrer Rechte.
6. Unterabschnitt f: Unterstützung bei Sicherheitsfragen, Datenschutzverletzungen und Folgenabschätzungen zum Datenschutz (Artikel 32 bis 36).
7. Unterabschnitt g: Nach Beendigung der Dienstleistung sind nach Wahl des Verantwortlichen alle Daten zu löschen oder zurückzugeben; Kopien sind zu löschen, es sei denn, eine Aufbewahrung ist gesetzlich vorgeschrieben.
8. Unterabschnitt h: Alle Informationen zur Verfügung stellen, um die Einhaltung der Vorschriften nachzuweisen und Audits zu ermöglichen.

Unterauftragnehmer, Datenübermittlung und Datenschutzverletzungen

Drei Themen verdienen besondere Aufmerksamkeit, da sie in Standardverträgen oft unzureichend behandelt werden.

Unterauftragnehmer. Ein Auftragsverarbeiter darf einen Dritten nur mit vorheriger spezifischer oder allgemeiner schriftlicher Einwilligung beauftragen (Art. 28 Abs. 2 DSGVO). Im Falle einer allgemeinen Einwilligung muss der Auftragsverarbeiter Sie über Änderungen informieren, damit Sie Widerspruch einlegen können. Der Unterauftragnehmer unterliegt denselben Pflichten, und der Hauptauftragnehmer bleibt Ihnen gegenüber vollumfänglich haftbar (Art. 28 Abs. 4 DSGVO).

Übermittlung außerhalb des EWR. Befinden sich die Server oder der Helpdesk außerhalb des Europäischen Wirtschaftsraums, gilt Kapitel V der DSGVO. Eine Übermittlung ist zulässig auf Grundlage eines Angemessenheitsbeschlusses (Artikel 45, z. B. das EU-US-Datenschutzabkommen für zertifizierte US-amerikanische Stellen), auf Grundlage geeigneter Garantien wie den Standardvertragsklauseln der Europäischen Kommission (Artikel 46) oder im Rahmen einer der wenigen Ausnahmen gemäß Artikel 49. Es ist zu dokumentieren, wo sich die Daten befinden und welche Rechtsgrundlage gilt.

Datenschutzverletzungen und Rechte der betroffenen Personen. Der Auftragsverarbeiter muss eine Datenschutzverletzung unverzüglich dem Verantwortlichen melden (Art. 33 Abs. 2 DSGVO). Sie haben dann 72 Stunden Zeit zu prüfen, ob eine Meldung an die Datenschutzbehörde erforderlich ist. Vereinbaren Sie daher einen konkreten Zeitraum, beispielsweise 24 Stunden, und dokumentieren Sie, welche Informationen der Auftragsverarbeiter übermittelt. Gleiches gilt für Anfragen auf Auskunft, Berichtigung oder Löschung: Der Auftragsverarbeiter muss Sie dabei unterstützen und die Anfrage weiterleiten, anstatt sie selbst zu beantworten.

Praktisches Beispiel

Ein Installationsunternehmen mit vierzehn Mitarbeitern nutzt eine Cloud-Lösung für Planung und Zeiterfassung. Der Anbieter verarbeitet darin Namen, Adressen und Telefonnummern von Kunden und Technikern. Das Unternehmen unterzeichnet die Standard-Datenschutzvereinbarung des Anbieters, ohne sie zu lesen. Im Falle einer Störung stellt sich heraus, dass der Support aus einem Land außerhalb des EWR kommt, obwohl die Vereinbarung dies nicht erwähnt. Nach Nachfrage legt der Anbieter schließlich eine Liste der Subunternehmer und die Standardvertragsklauseln vor. Eine kurze Vorabprüfung hätte diesen Streitfall verhindern können.

Ehrliche Empfehlung

Sie benötigen keinesfalls immer einen Anwalt. Wenn Sie mit einem Standardanbieter zusammenarbeiten, der eine aktuelle Datenverarbeitungsvereinbarung mit einer Liste der Unterauftragnehmer und einer Frist für die Meldung von Datenschutzverletzungen anbietet und die Daten innerhalb des EWR verbleiben, können Sie die Vereinbarung problemlos selbst prüfen und unterzeichnen. Gehen Sie die acht Punkte von Artikel 28 Absatz 3 durch und prüfen Sie, ob die Anhänge mit Ihren tatsächlichen Leistungen übereinstimmen.

Ziehen Sie Aufsicht hinzu bei besonderen Kategorien personenbezogener Daten wie Gesundheits- oder Strafregisterdaten, großen Datenmengen, Übermittlungen außerhalb des EWR, wenn Sie Zweifel an Ihrer Rolle (Auftragsverarbeiter oder gemeinsam Verantwortlicher) haben und wenn Sie selbst Auftragsverarbeiter sind und Ihren Kunden Ihr eigenes Modell vorstellen möchten. In diesen Fällen regelt der Text, wer das Risiko trägt, falls etwas schiefgeht.

Organisieren Sie es selbst oder lesen Sie weiter: Datenverarbeitungsvereinbarung, selbst entwerfen über Entwurf einer Datenverarbeitungsvereinbarung und auslagern über die Erstellung einer Datenverarbeitungsvereinbarung.

Häufig gestellte Fragen