MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Ein Beispiel für eine Auftragsverarbeitungsvereinbarung eines Softwareunternehmens verdeutlicht, welche Bestimmungen für einen SaaS-Anbieter unerlässlich sind: die Pflicht zur Befolgung von Anweisungen, Sicherheit (Art. 32 DSGVO), Unterauftragnehmer und Datenstandort, Meldepflicht im Falle einer Datenschutzverletzung, Auditierung sowie die Rückgabe oder Löschung der Daten nach Beendigung der Dienstleistung. Im Folgenden erläutern wir diese Kernbestimmungen aus Sicht des Auftragsverarbeiters und beschreiben die wichtigsten Aspekte jeder Komponente. Bitte beachten Sie: Ein Beispiel dient als Ausgangspunkt, nicht als fertige Lösung – entscheidend ist die Anpassung an Ihre spezifische Technologie und Ihre Unterauftragnehmer.
Die kurze Antwort
- Rollen und Anweisungen: Der Kunde ist verantwortlich; Sie bearbeiten die Ware nur auf Anweisung.
- Verarbeitungsübersicht: Art, Zweck, Daten und betroffene Personen in einem Anhang.
- Sicherheit (Art. 32): konkrete Maßnahmen.
- Unterauftragnehmer und Datenstandort: Liste, Änderungsverfahren und EU/EWR-Grundsatz.
- Meldepflicht und Prüfung: Fristen und Kontrollrechte.
- Rückgabe und Entsorgung: Verfahren bei Beendigung der Dienstleistung.
Ein Beispiel beginnt mit den Rollen
Jedes praktikable Beispiel beginnt mit der Rollenverteilung. Der Kunde ist der Datenverantwortliche und legt Zweck und Mittel der Datenverarbeitung fest; Sie als Softwareanbieter verarbeiten die personenbezogenen Daten ausschließlich gemäß seinen Anweisungen. Diese Anweisungsabhängigkeit ist Kernpunkt von Artikel 28 DSGVO. Ein gutes Modell sieht daher vor, dass Sie nur die vereinbarten Verarbeitungsvorgänge durchführen und welche Verarbeitungsvorgänge zu Ihrem Standardleistungsumfang gehören – andernfalls kann jeder Kunde separate Anweisungen erteilen, die Ihre Software nicht umsetzen kann.
Bestimmungen 1 und 2: Verarbeitungsübersicht und Sicherheit
Verarbeitungsübersicht (Anhang). Artikel 28 Absatz 3 verlangt eine Beschreibung des Gegenstands, der Dauer, der Art und des Zwecks der Verarbeitung sowie der Kategorien der Daten und der betroffenen Personen. Bei Software ist dies in einem Anhang beizufügen, der je nach Kunde geringfügig variieren kann. Es ist explizit anzugeben, ob besondere Kategorien personenbezogener Daten betroffen sind.
Sicherheit (Art. 32). Hier erwarten Kunden konkrete Angaben. Ein aussagekräftiges Beispiel sind die Verschlüsselung ruhender und übertragener Daten, Zugriffskontrolle mit Zwei-Faktor-Authentifizierung, getrennte Umgebungen, Protokollierung, Datensicherung und ein getesteter Wiederherstellungsprozess. Vermeiden Sie die Formulierung „angemessene Maßnahmen“ ohne Substanz – im Falle einer Datenschutzverletzung oder eines Audits zählt, was tatsächlich gesagt und getan wird.
Bestimmung 3: Unterauftragnehmer und Datenstandort
Für ein Softwareunternehmen ist dies oft die wichtigste Maßnahme. Sie nutzen Cloud-Hosting, E-Mail, Datensicherung und Überwachung – alles Subprozessoren. Ein gutes Beispiel umfasst Folgendes:
- Eine Liste der Unterauftragnehmer, denen der Kunde zustimmt (allgemeine Einwilligung).
- Ein Änderungsverfahren: Sie informieren im Voraus über neue Unterauftragnehmer und setzen eine Widerspruchsfrist voraus.
- Die Verpflichtung, die gleichen DSGVO-Anforderungen aufzuerlegen
- Der Ort der Datenverarbeitung: Die Verarbeitung sollte vorzugsweise innerhalb der EU/des EWR erfolgen; für eine Übermittlung außerhalb der EU ist eine Rechtsgrundlage wie beispielsweise die Standardvertragsklauseln der Europäischen Kommission erforderlich.
Bestimmungen 4 und 5: Berichtspflicht und Prüfung
Meldepflicht bei Datenschutzverletzungen. Als Auftragsverarbeiter müssen Sie den Kunden im Falle einer Datenschutzverletzung unverzüglich informieren, damit dieser prüfen kann, ob eine Meldung an die niederländische Datenschutzbehörde erforderlich ist. Ein konkretes Beispiel nennt einen Zeitrahmen (z. B. innerhalb von 48 Stunden nach Entdeckung) und die von Ihnen bereitzustellenden Informationen.
Audit. Der Kunde hat ein Inspektionsrecht. Als Lieferant mit vielen Kunden sollten Sie dies überschaubar halten: Bieten Sie einen Auditbericht oder eine Zertifizierung an und knüpfen Sie Vor-Ort-Audits an angemessene Bedingungen (Ankündigung, Häufigkeit, Kosten). Ein gutes Beispiel bringt das Inspektionsrecht des Kunden mit den Geschäftsabläufen des Lieferanten in Einklang.
Bestimmung 6: Rückgabe und Entsorgung
Nach Beendigung der Dienstleistung müssen Sie die Daten nach Wahl des Kunden zurückgeben oder löschen (Art. 28 Abs. 3 Buchst. g). Ein hilfreiches Beispiel regelt Folgendes:
- Ein Exportformat , in dem der Kunde seine Daten zurückerhält.
- Eine Frist für die Entfernung nach Ablauf der Frist.
- Anwendungsbereich gesetzlicher Aufbewahrungspflichten , die eine vorübergehende Löschung verhindern.
Für ein Softwareunternehmen ist dies auch von praktischer Bedeutung: Man möchte wissen, wann man Kundendaten aus den Systemen und Backups löschen darf.
Klausel 7: Haftung
Richten Sie die Haftungsklausel an Ihren Allgemeinen Geschäftsbedingungen aus. Als Auftragsverarbeiter beschränken Sie Ihre Haftung im Rahmen der gesetzlichen Bestimmungen; Kunden wünschen sich Flexibilität. Eine Vorlage mit unbeschränkter Haftung, während Ihre Allgemeinen Geschäftsbedingungen eine Haftungsbeschränkung vorsehen, führt zu einer Lücke in Ihrem Schutz. Stimmen Sie beide Dokumente aufeinander ab.
Praktisches Beispiel
Ein Anbieter von Projektmanagement-Software nutzte eine aus dem Internet heruntergeladene Vorlage ohne Unterauftragnehmer-Anhang. Als ein Kunde nach dem Speicherort der Daten fragte, stellte sich heraus, dass die Vereinbarung dazu keine Angaben enthielt, obwohl das Hosting teilweise außerhalb des EWR stattfand. Durch die Ergänzung der Vorlage um eine aktuelle Liste der Unterauftragnehmer, den Datenspeicherort und eine Rechtsgrundlage für die Datenübermittlung wurde die Vereinbarung vollständig und der Kunde konnte beruhigt werden.
Ehrliche Empfehlung
Ein Beispiel ist ein hervorragender Ausgangspunkt. Für einen Standard-SaaS-Dienst mit üblichen personenbezogenen Daten und gängigen EU-Unterauftragnehmern können Sie dies problemlos selbst umsetzen – vorausgesetzt, Sie füllen die Anhänge (Verarbeitung, Sicherheit, Unterauftragnehmer) entsprechend Ihrer tatsächlichen Konfiguration wahrheitsgemäß aus. In diesem Fall benötigen Sie nicht unbedingt einen Anwalt. Kopieren Sie jedoch niemals blind ein Beispiel, wenn Sie besondere Kategorien personenbezogener Daten verarbeiten, Unterauftragnehmer außerhalb des EWR einsetzen oder die Haftung komplex ist: In solchen Fällen ist eine Überprüfung ratsam, da Sie als Auftragsverarbeiter das Risiko tragen.
Möchten Sie mehr erfahren? Sehen Sie sich die Datenverarbeitungsvereinbarung eines Softwareunternehmens, lesen Sie, wie man eine solche Vereinbarung entwirft , oder lassen Sie sich eine individuelle Vereinbarung erstellen.
Häufig gestellte Fragen
Die Kernbestimmungen: Aufteilung der Rollen und Pflicht zur Erteilung von Weisungen, ein Überblick über die Verarbeitung, Sicherheit (Art. 32), Unterauftragnehmer und Datenstandort, Pflicht zur Meldung von Datenschutzverletzungen, Prüfung, Rückgabe oder Löschung von Daten sowie eine Haftungsregelung, die mit Ihren Allgemeinen Geschäftsbedingungen übereinstimmt.
Als Ausgangspunkt ist es hilfreich, aber nicht unreflektiert. Sie müssen ein Beispiel auf Basis Ihrer tatsächlichen Technologie, Ihrer Unterauftragnehmer und Ihrer Sicherheitsvorkehrungen erstellen. Sind die Liste der Unterauftragnehmer oder der Datenspeicherort fehlerhaft, vermittelt die Vereinbarung ein trügerisches Sicherheitsgefühl und wirkt sich im Falle einer Prüfung oder eines Datenlecks nachteilig aus.
Üblicherweise betrifft dies die Bestimmung des Unterauftragnehmers und des Datenstandorts. In der Regel werden Cloud- und Infrastrukturanbieter genutzt; diese müssen durch eine Unterauftragnehmerliste, ein Änderungsverfahren und eine Rechtsgrundlage für die Übermittlung außerhalb des EWR geregelt werden.
So konkret wie möglich: Verschlüsselung ruhender und übertragener Daten, Zugriffskontrolle mit Zwei-Faktor-Authentifizierung, separate Umgebungen, Protokollierung, Datensicherung und ein getesteter Wiederherstellungsprozess. Im Falle einer Datenschutzverletzung oder eines Audits zählt das tatsächlich Vorhandene und Umgesetzte, nicht eine allgemeine Formulierung „angemessener Maßnahmen“.
Dass Sie als Auftragsverarbeiter den Kunden unverzüglich unter Angabe eines bestimmten Zeitrahmens (z. B. innerhalb von 48 Stunden nach Entdeckung) informieren und angeben, welche Informationen Sie bereitstellen, damit der Kunde beurteilen kann, ob eine Benachrichtigung der niederländischen Datenschutzbehörde erforderlich ist.
Mit einem Exportformat, das es dem Kunden ermöglicht, seine Daten abzurufen, einer Löschfrist nach Beendigung des Dienstes und der Berücksichtigung gesetzlicher Aufbewahrungspflichten. So wissen auch Sie, wann Sie Kundendaten aus Ihren Systemen und Backups löschen können.
Ja, und das muss mit Ihren Allgemeinen Geschäftsbedingungen übereinstimmen. Als Auftragsverarbeiter beschränken Sie Ihre Haftung im Rahmen der gesetzlichen Bestimmungen. Eine unbeschränkte Haftung, während Ihre Allgemeinen Geschäftsbedingungen eine Haftungsbeschränkung vorsehen, führt beispielsweise zu einer Lücke in Ihrem Haftungsschutz.
