DS-GVO: Auftragsdatenverarbeitung

Seit 25. Mai 2018 gilt die neue EU-Datenschutz-Grundverordnung (DS-GVO) und parallel auch das neue Bundesdatenschutzgesetz (BSDG n. F.), in dem der deutsche Gesetzgeber die Vorgaben der DS-GVO, soweit zulässig, konkretisiert hat.  

Hierdurch ergeben sich vielfältige Anforderungen in Bezug auf alle datenschutzrechtlichen Aspekte, insbesondere im Rahmen der Verarbeitung personenbezogener Daten. Betroffen sind nicht nur der Umgang mit Kunden- und Arbeitnehmerdaten((GENDERNOTICE)), sondern z. B. auch die technischen Aspekte der Datensicherheit. 

Die Arbeitsgruppe Datenschutz des HDE hat zum Thema Auftragsdatenverabeitung nach Art. 28 DS-GVO ein Merkblatt erarbeitet, welches wir Ihnen gerne untenstehend zur Verfügung stellen.

Die Verarbeitung personenbezogener Daten kann auf Auftragsverarbeiter über-tragen werden.

Geldbuße bis zu 20 Millionen Euro oder bis 4 Prozent des gesamten weltweit erzielten Jahresumsatzes sowie behördliche Maßnahmen und ggf. Strafbarkeit (können sowohl gegen Verantwortlichen als auch Auftragsverarbeiter verhängt werden).

Auftragsverarbeiter darf nur auf Weisung des Verantwortlichen handeln. Sofern weisungsfrei personenbezogene Daten durch einen Dienstleister verarbeitet werden, liegt keine Auftragsdatenverarbeitung vor. Dann ist allein der Dienstleister für dessen Datenverarbeitung verantwortlich. ((Rechtsgrundlage: Art. 29))

Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DS-GVO erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet ist. Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um hinreichende Garantien, auch im Falle der Unterbeauftragung, nachzuweisen. ((Rechtsgrundlage:  Art. 28 (1), (5) ))

Unteraufträge bedürfen der schriftlichen Genehmigung des Verantwortlichen. Es kann auch eine allgemeine schriftliche Genehmigung erteilt werden. Dann muss der Auftragsverarbeiter den Verantwortlichen über etwaige Unteraufträge informieren, der Verantwortliche kann Einspruch gegen die Unterbeauftragung einlegen. ((Rechtsgrundlage: Art. 28 (2), (4) ))

Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Der Vertrag oder das andere Rechtsinstrument ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.((Rechtsgrundlage:  Art. 28 (3), (9) ))

Auftragsverarbeitungen können auch durch Standardvertragsklauseln geregelt werden. ((Rechtsgrundlage: Art. 28 (6), (7), (8) ))

• Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, Ausnahme: Er ist aufgrund rechtlicher Bestimmungen zur Verarbeitung verpflichtet (dann Informationspflicht gegenüber dem Verantwortlichen) ((Rechtsgrundlage:  Art. 28 (3) (a) ))
• Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (neu); die arbeitsrechtliche Verschwiegenheitspflicht wird nach derzeit herrschender Meinung in der Regel als ausreichend angesehen. ((Rechtsgrundlage: Art. 28 (3) (b) )) 
  
• Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein angemessenes Schutzniveau zu gewährleisten.((Rechtsgrundlage: Art. 28 (3) (c), Art. 32))
  
• Unteraufträge unterliegen den gleichen Voraussetzungen wie die Hauptaufträge und bedürfen der schriftlichen Genehmigung des Verantwortlichen.  ((Rechtsgrundlage: Art. 28 (3) (d) ))
  
• Auftragsverarbeiter unterstützt Verantwortlichen bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Person gem. Art. 12 ff. DS-GVO nachzukommen (neu)  ((Rechtsgrundlage: Art. 28 (3) (e) ))
  
• Auftragsverarbeiter unterstützt Verantwortlichen bei der Wahrnehmung seiner Pflichten aus Art. 32-36 DS-GVO (technisch und organisatorische Maßnahmen, Meldungen von Datenschutzverstößen, Benachrichtigung der betroffenen Personen, Datenschutzfolgenabschätzungen) (neu) ((Rechtsgrundlage: Art. 28 (3) (f) )) 
•  Lösch- oder Rückgabepflicht des Auftragsverarbeiters nach Ende der Erbringung der Verarbeitungsleistungen, Wahlrecht des Verantwortlichen, es sei denn, es bestehen gesetzliche Speicherpflichten. ((Rechtsgrundlage: Art. 28 (3) (g) ))
  
• Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der vorgenannten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden. ((Rechtsgrundlage: Art. 28 (3) (h) ))
  

Mit Blick auf Art. 28 (3) (h) informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese DS-GVO oder gegen andere Datenschutzbestimmungen verstößt. ((Rechtsgrundlage: Art. 28 (3) Satz 3))

Weitere Pflichten:

• Bestellung eines Vertreters ((Rechtsgrundlage: Art. Art. 27 (1) ))
• Führung eines Verfahrensverzeichnisses ((Rechtsgrundlage: Art. 30 (2) ))
• Zusammenarbeit mit der Datenschutzaufsicht ((Rechtsgrundlage: Art. 31))
• technische und organisatorische Maßnahmen im Sinne von Art. 32  ((Rechtsgrundlage: Art. 32 (1) ))
• Benennung eines betrieblichen Datenschutzbeauftragten ((Rechtsgrundlage: Art. 37 (1) ))
• Beachtung der Beschränkungen für den Datentransfer in Drittländer ((Rechtsgrundlage: Art. 44))
  

Der Auftragsverarbeiter ist für die Datenverarbeitung mitverantwortlich. Er haftet für Verstöße in seinem Pflichtenbereich.  ((Rechtsgrundlage: Art. 4 Nr. 7))

Ein Auftragsverarbeiter, der unter Verstoß gegen diese Verordnung die Zwecke und Mittel der Verarbeitung bestimmt und sich dadurch wie ein Verantwortlicher geriert, haftet zusätzlich zu der Haftung als Auftragsverarbeiter auch als Verantwortlicher. ((Rechtsgrundlage: Art. 28 (10) ))

Unteraufträge: Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters. ((Art. 28 (4) Satz 2))