MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Theoretisch können Sie eine Auftragsverarbeitungsvereinbarung selbst erstellen, dies ist jedoch selten ratsam. Artikel 28 Absatz 3 DSGVO legt konkrete Anforderungen an eine solche Vereinbarung fest. Gerade die Details – wer wofür haftet, was der Auftragsverarbeiter darf und was nicht, und was im Falle einer Datenschutzverletzung geschieht – entscheiden darüber, ob das Dokument Sie im Streitfall schützt oder Ihnen sogar schadet. Eine kostenlose Vorlage aus dem Internet oder eine von Ihrem Lieferanten vorgegebene Version deckt Ihre Interessen als Verantwortlicher für die Datenverarbeitung in der Regel nicht ab. Auf dieser Seite erfahren Sie, warum sich eine individuelle Anpassung lohnt, wo Fehler auftreten können und was Sie konkret tun können.
Zusamenfassend:
- Eine Auftragsverarbeitungsvereinbarung ist zwingend erforderlich , sobald ein externer Dritter personenbezogene Daten in Ihrem Auftrag verarbeitet (Art. 28 DSGVO).
- Der Inhalt ist maßgeschneidert: Eine kostenlose Online-Vorlage oder eine vom Lieferanten aufgezwungene Version schützt in der Regel nicht Ihre Interessen als Datenverantwortlicher.
- Die Vereinbarungen bezüglich Haftung, Datenschutzverletzungen, Unterauftragnehmern und Datenübermittlungen außerhalb der EU.
- Wenn die Vereinbarung fehlt oder nicht dem Gesetz entspricht, riskieren Sie eine Geldstrafe und Schadensersatzansprüche.
Was ist eine Datenverarbeitungsvereinbarung?
Eine Auftragsverarbeitungsvereinbarung ist ein schriftlicher Vertrag zwischen Ihnen als Verantwortlichem (Sie, der Sie festlegen, warum und wie Ihre personenbezogenen Daten verarbeitet werden) und einem Auftragsverarbeiter (einem externen Dienstleister, der die Daten in Ihrem Auftrag verarbeitet). Beispiele hierfür sind Ihre Buchhaltungssoftware, Ihr E-Mail-Marketing-Tool, Ihr Hosting-Anbieter oder ein externes Lohnabrechnungsunternehmen. Sobald ein solcher Dienstleister Ihre personenbezogenen Daten verarbeitet, sind Sie gemäß der DSGVO verpflichtet, entsprechende Vereinbarungen zu dokumentieren.
Mit dieser Vereinbarung legen Sie fest, wie der Auftragsverarbeiter die personenbezogenen Daten verarbeitet. Sie bestimmen, was erlaubt und was nicht erlaubt ist. So stellen Sie sicher, dass die personenbezogenen Daten angemessen geschützt werden und dass Sie Ihre Verpflichtungen ernst nehmen.
Wann benötigen Sie eine Datenverarbeitungsvereinbarung?
Die Faustregel ist einfach: Wenn Sie einem Dritten die Verarbeitung personenbezogener Daten gestatten, benötigen Sie eine Vereinbarung zur Auftragsverarbeitung. In der Praxis betrifft dies häufig Situationen wie die folgenden:
- Sie nutzen einen Cloud- oder Hosting-Anbieter , bei dem Kunden- oder Mitarbeiterdaten gespeichert werden;
- Sie arbeiten mit Buchhaltungs- oder Lohnabrechnungssoftware oder lagern Ihre Verwaltung aus;
- Sie versenden Newsletter über ein E-Mail-Marketing-Tool;
- Sie überlassen die Verwaltung Ihres Kundenservice, Ihres CRM-Systems oder Ihrer IT-Infrastruktur einer externen Agentur
Wenn Sie Daten gemeinsam mit einem anderen Unternehmen verarbeiten und beide Parteien Zweck und Mittel festlegen, besteht in der Regel eine gemeinsame Verantwortung für die Datenverarbeitung, und es gelten unterschiedliche Vereinbarungen. Sind Sie sich unsicher, welche Rolle Ihnen zukommt? Lassen Sie dies zunächst eindeutig klären, da dies Ihre Pflichten bestimmt.
Was muss gemäß Artikel 28 der DSGVO in einer Datenverarbeitungsvereinbarung enthalten sein?
Das Gesetz schreibt nirgends vor, dass der Vertrag von einem Rechtsexperten oder Anwalt erstellt werden muss. Artikel 28 Absatz 3 der DSGVO nennt jedoch eine Reihe von obligatorischen Punkten, die im Vertrag behandelt werden müssen. Dazu gehören im Wesentlichen:
- Gegenstand , Dauer, Art und Zweck der Verarbeitung;
- Art der personenbezogenen Daten und Kategorien der betroffenen Personen;
- die Vereinbarung, dass der Auftragsverarbeiter ausschließlich auf Grundlage Ihrer schriftlichen Anweisungen;
- eine Verschwiegenheitspflicht für alle, die mit den Daten arbeiten;
- angemessene Sicherheitsmaßnahmen;
- Vereinbarungen über die Beauftragung von Unterauftragnehmern ;
- Unterstützung bei Anfragen von betroffenen Personen und bei Datenschutzverletzungen;
- Was geschieht anschließend mit den Daten (Rückgabe oder Löschung)?
- die Einhaltung der Vorschriften überprüfen (Audit).
Die konkrete Umsetzung ist für jede Zusammenarbeit unterschiedlich. Eine Datenverarbeitungsvereinbarung wird daher individuell erstellt. Es reicht logischerweise nicht aus, einfach eine Vorlage aus dem Internet auszuwählen: Dieses Dokument berücksichtigt weder Ihre Verarbeitungstätigkeiten noch Ihre Risiken oder Ihre Lieferanten.
Lassen Sie einen Muster-Datenverarbeitungsvertrag von einem internen Rechtsberater erstellen?
Lassen Sie uns einen Termin vereinbaren. Wir besprechen alle Ihre Wünsche, bevor Sie bestellen. Die Beratung ist kostenlos und unverbindlich und dauert 20 bis 30 Minuten.
- Wir bieten zuverlässige und präzise maßgeschneiderte Rechtsdienstleistungen an
- Im Rahmen eines telefonischen Vorgesprächs besprechen wir alle Ihre Wünsche
- Lieferung innerhalb von 7 Tagen, Expressversand möglich
- Festpreis pro Dokument, Zahlung später
Wir bieten auch spezielle DSGVO-Pakete an.
Warum es besser ist, eine Datenverarbeitungsvereinbarung nicht selbst zu entwerfen
Selbst an einer Datenverarbeitungsvereinbarung herumzubasteln ist günstiger und schneller – bis etwas schiefgeht. Drei häufige Fehler können teuer werden:
1. Sie behandeln nicht alle Rechtsthemen
Fehlt in einem Vertrag eine zwingende Bestimmung gemäß Artikel 28 DSGVO, entspricht er nicht dem geltenden Recht. Ein unvollständiger Vertrag vermittelt ein trügerisches Sicherheitsgefühl: Man *glaubt*, alles geregelt zu haben, doch eine Prüfung oder ein Streitfall beweist das Gegenteil.
2. Sie formulieren die Haftung zu Ihrem Nachteil
Die Verteilung von Verantwortung und Haftung hängt von der Formulierung ab. Ein fehlerhafter Satz kann dazu führen, dass Sie die Folgen eines Fehlers des Sachbearbeiters tragen müssen. Ein erfahrener Anwalt achtet genau auf solche Details.
3. Sie verwenden ein Modell, das nicht zu Ihrer Situation passt
Ein Standardmodell berücksichtigt Ihre Verarbeitungsprozesse, Lieferanten und Risiken nicht. Daher entsprechen die Bestimmungen zu Unterauftragnehmern, Übermittlungen in Länder außerhalb der EU oder Aufbewahrungsfristen häufig nicht der Praxis.
Praxisbeispiele: Wo in der Praxis etwas schiefgeht
Die Theorie klingt einleuchtend, doch gerade im Alltag treten die Probleme auf. Einige bekannte Beispiele:
- Der Hosting-Anbieter befindet sich außerhalb der EU. Ihr Webshop wird von einem Anbieter betrieben, der Daten (teilweise) in den USA speichert. Ohne entsprechende Vereinbarungen bezüglich dieser Datenübermittlung gehen Sie ein Risiko ein, das im Internetbereich selten gut reguliert ist.
- Der Unterauftragnehmer, von dem Sie nichts wussten. Ihr E-Mail-Marketing-Tool selbst bindet einen externen Dienstleister ein. Wenn dies in Ihrem Vertrag nicht geregelt ist, haben Sie keine Kontrolle darüber, wer Zugriff auf Ihre Kundendaten erhält.
- Es gibt ein Datenleck beim Lieferanten. Daten aus Ihrem Lohnabrechnungssystem gehen verloren. Wer meldet das Leck, innerhalb welcher Frist und wer trägt die Kosten? Wenn dies nicht geklärt wird, befinden Sie sich im Nachhinein in einer schwierigen Lage.
In all diesen Fällen wird der Unterschied zwischen einem wasserdichten und einem mangelhaften Vertrag erst dann deutlich, wenn etwas schiefgeht – genau dann, wenn man nichts mehr ändern kann.
Stimmen Sie keiner aufgezwungenen Datenverarbeitungsvereinbarung zu
Eine Datenverarbeitungsvereinbarung wird zwischen dem Verantwortlichen und dem Auftragsverarbeiter geschlossen. Grundsätzlich übernimmt der Verantwortliche die Führung und gibt dem Auftragsverarbeiter vor, was zulässig ist und was nicht. In der Praxis ist es jedoch häufig umgekehrt: Ein Auftragsverarbeiter hat bereits „für Sie“ und legt sie Ihnen zur Unterzeichnung vor.
Das ist nicht zwangsläufig falsch, aber Vorsicht ist geboten. Solche Dokumente werden oft primär verfasst, um die Verantwortung vom Auftragsverarbeiter zu entbinden. Insbesondere wenn der Auftragsverarbeiter den Vertrag von seinem eigenen Anwalt aufsetzen ließ, ist die Wahrscheinlichkeit hoch, dass die Interessen nicht zu Ihren Gunsten ausfallen. Im Schadensfall kann eine solche einseitige Vereinbarung nach hinten losgehen. Lassen Sie sich daher vor der Unterzeichnung immer eine vorgegebene Version prüfen und streben Sie eine ausgewogene Vereinbarung an, die beiden Parteien gerecht wird.
Auftragsverarbeitungsvertrag und Haftung im Falle einer Datenschutzverletzung
Werden personenbezogene Daten eines Kunden offengelegt, wird dieser Kunde Sie wahrscheinlich zuerst verantwortlich machen – selbst wenn der Fehler eigentlich beim Auftragsverarbeiter liegt. Dies kann zu einer Schadensersatzforderung führen. In diesem Fall wird die Vereinbarung zur Auftragsverarbeitung herangezogen: Auf Grundlage der getroffenen Vereinbarungen wird geprüft, wer welche Aufgaben zu erfüllen hatte.
Ein gut formulierter Vertrag hilft Ihnen nachzuweisen, dass Sie Ihre Pflichten erfüllt haben und etwaige Versäumnisse beim Auftragsverarbeiter liegen. Genau deshalb sollte das Dokument die Position des Verantwortlichen schützen – und deshalb birgt eine beliebige Online-Vorlage oder eine vom Auftragsverarbeiter vorgegebene Version ein Risiko. Möchten Sie wissen, wie Sie Ihre Position als Unternehmer im Streitfall stärken können? Unsere Datenschutzexperten beraten Sie gern.
Wie hoch sind die Bußgelder nach der DSGVO?
Die DSGVO sieht ein zweistufiges Bußgeldsystem vor. Bei Verstößen gegen eine Datenverarbeitungsvereinbarung – beispielsweise wenn diese fehlt oder nicht den Anforderungen von Artikel 28 entspricht – gilt die niedrigere Stufe: ein Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei schwerwiegenderen Verstößen kann das Bußgeld auf bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.
Dies sind gesetzliche Höchstbeträge. In der Praxis verhängt die niederländische Datenschutzbehörde jedoch selten den Höchstbetrag; die Höhe der Strafe hängt von Faktoren wie der Schwere und Dauer des Verstoßes sowie der Größe des Unternehmens ab. Selbst für ein KMU kann eine Geldbuße jedoch sehr kostspielig sein, ganz abgesehen vom Reputationsschaden und möglichen Schadensersatzansprüchen von Betroffenen.
Die Kernaussage: Die Erstellung einer Datenverarbeitungsvereinbarung in Eigenregie ist zwar günstiger, doch das kann sich rächen, wenn im Nachhinein Bußgelder und Schadensersatzforderungen drohen. Ein korrekt formuliertes Dokument ist letztendlich die günstigste Versicherung.
4 Schritte zu einer wasserdichten Datenverarbeitungsvereinbarung
- Erstellen Sie eine Übersicht Ihrer Datenverarbeiter. Führen Sie eine Liste aller externen Parteien auf, die personenbezogene Daten für Sie verarbeiten.
- Bestimmen Sie Ihre Rolle für jede Zusammenarbeit. Sind Sie Datenverantwortlicher, Datenverarbeiter oder besteht eine gemeinsame Verantwortung?
- Dokumentieren Sie die Vereinbarungen. Entwerfen Sie eine Vereinbarung, die Artikel 28 der DSGVO entspricht und Ihre Interessen schützt – oder lassen Sie eine eingereichte Version kritisch prüfen.
- Halten Sie das Dokument auf dem neuesten Stand. Ändern sich Ihre Lieferanten, Verarbeitungstätigkeiten oder Unterauftragnehmer? Dann aktualisieren Sie die Vereinbarung.
Häufig gestellte Fragen zur Datenverarbeitungsvereinbarung
Ist eine Datenverarbeitungsvereinbarung zwingend erforderlich?
Ja. Sobald Ihre personenbezogenen Daten von einem externen Dienstleister verarbeitet werden, sind Sie gemäß Artikel 28 DSGVO verpflichtet, eine Vereinbarung zur Auftragsverarbeitung abzuschließen. Fehlt diese, handeln Sie gesetzeswidrig.
Kann ich ein kostenloses Modell aus dem Internet verwenden?
Das ist zwar zulässig, aber riskant. Ein allgemeines Modell ist nicht auf Ihre Verarbeitungstätigkeiten, Lieferanten und Risiken zugeschnitten und enthält oft wichtige Lücken in Bezug auf Haftung, Unterauftragnehmer und Datenschutzverletzungen. Lassen Sie ein Modell daher in jedem Fall vor der Anwendung prüfen.
Wer entwirft die Datenverarbeitungsvereinbarung: ich oder mein Lieferant?
Grundsätzlich ist der Verantwortliche zuständig. Viele Anbieter stellen jedoch ihre eigene Version zur Verfügung; prüfen Sie diese stets kritisch, da solche Dokumente oft im Interesse des Auftragsverarbeiters verfasst sind.
Worin besteht der Unterschied zwischen einem Prozessor und einem Controller?
Der Verantwortliche bestimmt Zweck und Mittel der Verarbeitung (Sie). Der Auftragsverarbeiter verarbeitet die Daten ausschließlich in Ihrem Auftrag und nach Ihren Anweisungen (z. B. Ihr Software- oder Hosting-Anbieter).
Benötige ich eine Datenverarbeitungsvereinbarung mit meinem Steuerberater?
In der Regel ja. Wenn Ihre Buchhaltung oder Verwaltung in Ihrem Auftrag personenbezogene Daten (z. B. Mitarbeiter- oder Kundendaten) verarbeitet, ist eine Vereinbarung zur Auftragsverarbeitung erforderlich. Anders verhält es sich jedoch, wenn die Verwaltung als unabhängiger Verantwortlicher agiert – beispielsweise im Hinblick auf gesetzliche Steuerpflichten –, sollten Sie dies im Einzelfall prüfen lassen.
Wie viel kostet die Erstellung eines Datenverarbeitungsvertrags?
Bei MKB Juristen erstellen wir maßgeschneiderte Datenverarbeitungsvereinbarungen zum Festpreis von 189 € pro Dokument. In einem kostenlosen Erstgespräch besprechen wir vorab alle Ihre Anforderungen, um sicherzustellen, dass das Dokument perfekt auf Ihre Situation zugeschnitten ist.
Lassen Sie eine Datenverarbeitungsvereinbarung entwerfen oder überprüfen?
Möchten Sie sichergehen, dass Ihre Datenverarbeitungsvereinbarung korrekt ist und Ihre Interessen schützt? Wir helfen Ihnen gerne dabei:
- Lassen Sie sich eine Datenverarbeitungsvereinbarung erstellen – maßgeschneiderte Rechtslösungen zum Festpreis.
- Datenschutz und Datensicherheit – Hinweise zur DSGVO für Ihr Unternehmen.
- Vereinbaren Sie ein kostenloses und unverbindliches Erstgespräch und besprechen Sie Ihre Situation mit einem Spezialisten.
