MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Was ist eine Auftragsverarbeitungsvereinbarung für ein Softwareunternehmen? Es handelt sich um eine Vereinbarung, in der Sie als SaaS-Anbieter oder Softwareentwickler festlegen, wie Sie die personenbezogenen Daten verarbeiten, die Ihnen Ihr Kunde (der Verantwortliche) anvertraut. Artikel 28 der DSGVO schreibt diese Vereinbarung vor, sobald Ihre Software personenbezogene Daten im Auftrag des Kunden verarbeitet – was bei Online-Plattformen, Apps oder Cloud-Diensten fast immer der Fall ist. Sie sind dann der Auftragsverarbeiter, und diese Rolle bringt eigene Pflichten mit sich: Sicherheit, Unterauftragsverarbeiter, Meldepflichten, Audits und die Rückgabe der Daten nach Beendigung der Dienstleistung.
Die kurze Antwort
- Was: eine obligatorische Vereinbarung (Art. 28 DSGVO) zwischen Ihrem Softwareunternehmen und dem Kunden über die Verarbeitung personenbezogener Daten.
- Ihre Rolle: Auftragsverarbeiter – Sie verarbeiten Daten ausschließlich im Auftrag des Kunden.
- Schwerpunktthemen: Zweck und Art der Verarbeitung, Sicherheit (Art. 32), Unterauftragnehmer, Datenstandort, Meldepflicht bei Datenschutzverletzungen, Prüfung und Rückgabe/Löschung.
- Wer erstellt sie? In der Praxis fast immer der Softwareanbieter selbst, als fester Bestandteil der Nutzungsbedingungen.
- Wann: vor der ersten Verarbeitung, d.h. zu Beginn des Abonnements oder der Implementierung.
Was genau ist eine Datenverarbeitungsvereinbarung für ein Softwareunternehmen?
Die DSGVO unterscheidet zwischen zwei Rollen. Der Kunde bestimmt, warum und wie personenbezogene Daten verarbeitet werden: Er ist der Verantwortliche. Sie als Softwareanbieter verarbeiten diese Daten im Auftrag des Kunden und gemäß dessen Anweisungen: Sie sind der Auftragsverarbeiter. Dieses Verhältnis entsteht, sobald eine SaaS-Plattform, ein E-Mail-Tool, eine Buchhaltungs-App oder ein Kundenportal personenbezogene Daten Dritter speichert oder verarbeitet.
Artikel 28 Absatz 3 DSGVO schreibt vor, dass diese Beziehung schriftlich (oder digital) dokumentiert werden muss. Ohne eine solche Vereinbarung verstoßen sowohl der Kunde als auch Sie gegen die DSGVO. Für ein Softwareunternehmen ist die Vereinbarung kein separates Dokument, sondern integraler Bestandteil Ihrer Dienstleistung: Sie schließen sie mit jedem Geschäftskunden ab, der personenbezogene Daten über Ihre Software verarbeitet.
Warum die Prozessorseite anders ist
Die meisten Erläuterungen zu Datenverarbeitungsvereinbarungen sind aus Kundensicht verfasst. Für Softwareanbieter liegt der Fokus jedoch woanders. Sie legen die technische Konfiguration fest, wählen Hosting und Unterauftragnehmer und sind für die Sicherheit verantwortlich. In der Regel unterzeichnet der Kunde Ihre Vorlage, nicht umgekehrt. Daher muss Ihre Datenverarbeitungsvereinbarung die technische Funktionsweise Ihres Dienstes realistisch widerspiegeln.
Einige Punkte, die für Sie als Verarbeiter von größerer Bedeutung sind:
- Anweisungsabhängig. Sie dürfen Daten nur auf Anweisung des Kunden verarbeiten. Beschreiben Sie daher genau, welche Verarbeitungsvorgänge im Standardumfang enthalten sind, damit nicht jeder Kunde individuelle Anweisungen erteilen kann.
- Unterauftragnehmer. Sie werden mit hoher Wahrscheinlichkeit Cloud- und Infrastrukturanbieter (Hosting, E-Mail, Backup, Monitoring) nutzen. Diese sind Unterauftragnehmer und müssen ordnungsgemäß organisiert werden.
- Sicherheit. Artikel 32 der DSGVO verpflichtet Sie zur Einhaltung bestimmter technischer und organisatorischer Maßnahmen. Sie müssen nachweisen können, welche Maßnahmen Sie ergreifen.
- Haftung. Als Zahlungsdienstleister möchten Sie Ihre Haftung begrenzen; Kunden hingegen wünschen sich mehr Spielraum. Hier gilt es, das richtige Gleichgewicht zu finden.
Die wichtigsten Abkommen im Überblick
Eine praktikable Datenverarbeitungsvereinbarung für ein Softwareunternehmen regelt in jedem Fall Folgendes:
- Gegenstand und Dauer der Verarbeitung, abhängig von der Laufzeit des Abonnements.
- Art, Zweck und Typ der Daten: Welche Kategorien von betroffenen Personen und personenbezogenen Daten von Ihrer Software betroffen sind (oft in einem Anhang).
- Sicherheitsmaßnahmen gemäß Artikel 32, wie Verschlüsselung, Zugriffskontrolle und Protokollierung.
- Unterprozessoren: eine Liste und eine Prozedur für Änderungen.
- Datenstandort: Wo sich die Daten befinden (EU/EWR) und was für Übermittlungen außerhalb dieses Bereichs gilt.
- Meldepflicht bei Datenschutzverletzungen: der Zeitraum, innerhalb dessen Sie den Kunden informieren müssen.
- Prüfung und Zusammenarbeit: Wie der Kunde Kontrolle ausüben kann.
- Rückgabe und Löschung der Daten nach Abschluss.
Subprozessoren und Cloud
Praktisch kein Softwareunternehmen betreibt seine IT-Systeme ausschließlich auf eigener Hardware. Sie nutzen Cloud-Hosting, einen E-Mail-Anbieter, einen Zahlungsdienst und ein Monitoring-Tool. Alle diese Parteien, die in Ihrem Auftrag personenbezogene Daten verarbeiten, sind Unterauftragnehmer. Artikel 28 Absätze 2 und 4 der DSGVO schreibt vor, dass Sie Unterauftragnehmer nur mit Einwilligung des Kunden einsetzen dürfen und dass Sie ihnen dieselben Pflichten auferlegen müssen wie sich selbst.
In der Praxis arbeitet man üblicherweise mit einer allgemeinen Einwilligung: Der Kunde stimmt einer veröffentlichten Liste von Unterauftragnehmern zu, und Sie informieren ihn im Voraus über alle Änderungen, einschließlich einer Widerspruchsfrist. Dies ist für eine große Anzahl von Kunden praktikabel. Achten Sie auf den Standort der Daten: Wenn ein Unterauftragnehmer (z. B. ein großer Cloud-Anbieter) außerhalb des EWR ansässig ist, benötigen Sie eine gültige Rechtsgrundlage für die Übermittlung, wie beispielsweise die Standardvertragsklauseln der Europäischen Kommission.
Sicherheit, Datenschutzverletzungen und Dienstende
Drei Themen, auf die es bei Software oft ankommt:
- Sicherheit (Art. 32). Beschreiben Sie konkret Ihre Maßnahmen: Verschlüsselung ruhender und übertragener Daten, Zwei-Faktor-Authentifizierung, separate Umgebungen, Datensicherung und Wiederherstellungsverfahren. Seien Sie ehrlich hinsichtlich Ihrer Leistungen und deren Grenzen.
- Meldepflicht. Im Falle einer Datenschutzverletzung müssen Sie als Auftragsverarbeiter den Kunden unverzüglich informieren, damit dieser prüfen kann, ob eine Meldung an die niederländische Datenschutzbehörde erforderlich ist. Setzen Sie einen realistischen Zeitrahmen, beispielsweise 48 Stunden nach Feststellung der Verletzung.
- Rückgabe und Löschung. Nach Abschluss der Dienstleistung müssen Sie die Daten je nach Wahl des Kunden zurückgeben oder löschen. Legen Sie ein Exportformat und eine Löschfrist fest und beachten Sie die gesetzlichen Aufbewahrungspflichten.
Praktisches Beispiel
Ein SaaS-Anbieter von Planungssoftware für das Gesundheitswesen schloss mit jedem Kunden eine Datenverarbeitungsvereinbarung ab, hatte jedoch kürzlich das Hosting zu einem neuen Cloud-Anbieter verlegt, ohne die Liste der Unterauftragnehmer zu aktualisieren. Bei einer Kundenprüfung stellte sich heraus, dass der Datenspeicherort nicht mehr mit der Vereinbarung übereinstimmte. Durch die fortlaufende Aktualisierung der Unterauftragnehmerliste und die frühzeitige Information der Kunden konnte das Problem strukturell behoben und die Prüfung beschleunigt werden.
Ehrliche Empfehlung
Als Softwareanbieter benötigen Sie eine Auftragsverarbeitungsvereinbarung – dies ist keine Option, sondern eine gesetzliche Pflicht. Die zentrale Frage ist, ob Sie selbst einen Anwalt hinzuziehen sollten. Wenn Sie einen Standard-SaaS-Dienst mit üblichen Unterauftragnehmern und gewöhnlichen (nicht sensiblen) personenbezogenen Daten betreiben, kommen Sie mit einer gut durchdachten Standardvorlage, die Sie einmal erstellt und dann für alle Kunden wiederverwendet haben, bestens zurecht. Verarbeiten Sie jedoch sensible Daten (z. B. aus dem Gesundheitswesen oder dem Finanzbereich), haben Sie Kunden, die eigene Vorlagen verwenden, oder arbeiten Sie mit vielen Unterauftragnehmern außerhalb des EWR zusammen, ist eine Rechtsberatung dringend ratsam – gerade weil Sie das Risiko tragen.
Sie möchten mehr erfahren? Sehen Sie sich die Datenverarbeitungsvereinbarung für ein Softwareunternehmen, lesen Sie, wie man eine solche Vereinbarung entwirft und welche Fallstricke es zu vermeiden gilt.
Häufig gestellte Fragen
Es handelt sich um die gemäß Artikel 28 DSGVO erforderliche Vereinbarung, in der Ihr Softwareunternehmen als Auftragsverarbeiter darlegt, wie es die ihm vom Kunden (Verantwortlichen) anvertrauten personenbezogenen Daten verarbeitet. Zu den behandelten Themen gehören Sicherheit, Unterauftragsverarbeiter, Datenstandort, Meldepflichten und Datenrückgabe.
In der Regel sind Sie ein Auftragsverarbeiter: Sie verarbeiten personenbezogene Daten im Auftrag und nach Weisung Ihres Kunden. Sie sind zwar für die Verwaltung Ihrer eigenen Kundendaten verantwortlich, aber für die Daten, die Kunden über Ihre Software verarbeiten, sind Sie Auftragsverarbeiter.
Ja. Sobald Ihre Software personenbezogene Daten im Auftrag des Kunden verarbeitet, ist gemäß Artikel 28 DSGVO eine Vereinbarung zwingend erforderlich. Ohne eine solche Vereinbarung verstoßen sowohl Sie als auch der Kunde gegen die DSGVO.
In der Praxis ist es fast immer der Softwareanbieter selbst, da dies fester Bestandteil der Nutzungsbedingungen ist. Sie verwenden ein einheitliches Standardmodell für alle Ihre Kunden. Große Kunden drängen mitunter auf ihr eigenes Modell; in diesem Fall prüfen Sie, ob es mit Ihrer Technologie kompatibel ist.
Hierbei handelt es sich um von Ihnen beauftragte Dritte, die ihrerseits personenbezogene Daten verarbeiten, wie beispielsweise Ihr Cloud-Hosting-Anbieter, Ihr E-Mail-Anbieter oder Ihr Überwachungstool. Sie dürfen diese nur mit der Einwilligung des Kunden einsetzen und müssen ihnen dieselben DSGVO-Pflichten auferlegen, die für Sie gelten.
Vorzugsweise innerhalb der EU/des EWR. Werden die Daten von einem Unterauftragnehmer außerhalb dieses Gebiets verarbeitet, benötigen Sie eine gültige Rechtsgrundlage für die Übermittlung, beispielsweise die Standardvertragsklauseln der Europäischen Kommission. Definieren Sie den Speicherort der Daten im Vertrag eindeutig.
Nach Abschluss des Projekts geben Sie die Daten zurück oder löschen sie – ganz nach Wunsch des Kunden. Legen Sie ein Exportformat, eine Löschfrist und etwaige gesetzliche Aufbewahrungspflichten fest, um jegliche Unklarheiten am Ende des Projekts auszuschließen.
