Menü
Es gibt kaum ein Unternehmen, das nicht in irgendeiner Form mit Dienstleistern zusammenarbeitet. Dabei werden regelmäßig auch personenbezogene Daten ausgetauscht.
Verarbeitet der Dienstleister als „verlängerter Arm” für Sie solche Daten zu den von Ihnen bestimmten Zwecken und unterliegt dabei ausschließlich Ihren Weisungen, dann liegt ein Fall der Auftragsverarbeitung vor. Der Dienstleister wird als Auftragsverarbeiter bezeichnet.
Sie bleiben weiterhin Verantwortlicher der Datenverarbeitung im Sinne der DSGVO, denn der Auftragsverarbeiter verarbeitet die Daten ausschließlich für Ihre und nicht für seine eigenen Zwecke. Sie sind die Person, die den Zweck der Verarbeitung bestimmt – nicht der Auftragsverarbeiter. Dieser darf die Daten ausschließlich auf Ihre Weisung verarbeiten.
Für diese Art der Verarbeitung bedarf es einer speziellen vertraglichen Grundlage nach Datenschutzrecht. Der zu schließende Vertrag wird allgemein als Auftragsverarbeitungsvertrag (AVV), die Parteien werden als Verantwortlicher (= Auftraggeber) und Auftragsverarbeiter (= Auftragnehmer) bezeichnet.
Sobald Sie vorhaben, ein Unternehmen mit Leistungen zu beauftragen oder mit diesem zusammenzuarbeiten, müssen Sie prüfen, wie die Zusammenarbeit in Bezug auf den Datenschutz einzustufen ist. (Dieser Schritt 07 steht im engen Zusammenhang mit Schritt 08.)
Es ist zu entscheiden, ob eine Verarbeitung
1. eine Auftragsverarbeitung (in Ihrer Verantwortlichkeit)
ODER
2. eine gemeinsame Verantwortlichkeit mit dem Vertragspartner
ODER
3. eine eigenverantwortliche Leistung des Vertragspartners
darstellt.
... eine hierarchische Struktur besteht.
Zur Prüfung können Sie unsere ARBEITSHILFE > Checkliste zur Auftragsverarbeitung benutzen. Darin sind auch Beispiele für die Auftragsverarbeitung aufgeführt.
... keine hierarchische Struktur besteht.
Wenn sich im Rahmen der Prüfung ergibt, dass ein Fall der Gemeinsamen Verantwortlichkeit vorliegt, gehen Sie bitte weiter zu Schritt 08 – Gemeinsames Handeln.
Ein spezieller datenschutzrechtlicher Vertrag ist nicht erforderlich, jedoch bieten sich Regelungen zum Datenschutz an.
Inkassodienst mit Forderungsübertragung,
Bankleistungen für den Geldtransfer,
Postdienstleistung für den Brieftransport
Wenn Sie eine Auftragsdatenverarbeitung beauftragen wollen, müssen Sie den Dienstleister sorgfältig auswählen. Bei der Auswahl sollten Sie folgende Kriterien prüfen:
1. Der eigentliche (zivilrechtliche) Vertrag bzw. Auftrag, welcher insbesondere Leistung, Preise und Laufzeit regelt.
2. Der (datenschutzrechtliche) Auftragsverarbeitungsvertrag, welcher den Umgang mit den personenbezogenen Daten regelt, die durch den Dienstleister in Ihrem Auftrag verarbeitet werden sollen.
Für die Einhaltung des Datenschutzes steht der Auftragsverarbeitungsvertrag im Fokus. Oft wird jedoch auf den zivilrechtlichen Vertrag ergänzend verwiesen, da dieser den Zweck der Zusammenarbeit festlegt und damit die Verarbeitung der Daten mitbestimmt.
Das Gesetz macht in Art. 28 DSGVO konkrete Vorgaben zu den aufzunehmenden Vertragsregelungen.
Insbesondere sind aufzuführen:
Mit unserer unter Arbeitshilfen abrufbaren Checkliste zur Prüfung des Auftragsverarbeitungsvertrags können Sie die Verträge auf die Erfüllung dieser Anforderungen prüfen.
Der Vertrag muss nicht zwingend in Papierform vorliegen, sondern kann in Textform auf elektronischem Wege geschlossen werden.
Jede Auftragsverarbeitung ist im Rahmen der Informationen zu Kategorien von Empfängern im Verarbeitungsverzeichnis (siehe Schritt 02) zu erfassen. Die Verarbeitung durch den Auftragsverarbeiter ist von der bisherigen Rechtsgrundlage umfasst.
„Vertrauen ist gut, doch Kontrolle ist besser”
Die Auftragsverarbeitung sollte nicht nur ein Papiertiger sein. Überzeugen Sie sich davon, dass der Dienstleister tatsächlich seinen vertraglich übernommenen Pflichten zur sicheren Datenverarbeitung nachkommt. Hierzu können Sie z. B. zusätzliche Informationen zur tatsächlichen Umsetzung der TOM anfordern. Sollte der Anbieter Zertifikate führen, können Sie auch hierzu Nachweise verlangen. Schließlich haben Sie das Recht und die Pflicht, Kontrollen beim Auftragsverarbeiter durchzuführen.
Wenn der Vertrag beendet wird, fordern Sie umgehend zur Herausgabe und Löschung der Daten auf und lassen Sie sich die datenschutzkonforme Löschung bestätigen.
