Der Auftragsdatenverarbeitungsvertrag im SaaS-Modell

Als Fachanwälte für IT-Recht, Urheberrecht & Medienrecht sowie gewerblichen Rechtsschutz werden wir von unseren Mandanten häufig zu der Thematik Auftragsverarbeitung bzw. Auftragsdatenverarbeitung befragt. 

In diesem Artikel geben wir Ihnen einen kurzen Überblick zum Thema Auftragsdatenverarbeitungsvertrag im SaaS-Modell.

SaaS-Modell

Als Teilbereich des Cloud-Computings basiert das Software as a Service-Modell, kurz SaaS-Model, auf der Nutzung von IT-Dienstleistungen eines Kunden bei einem externen IT-Dienstleister, der als solcher die IT-Infrastruktur des Kunden betreibt.

Auftragsverarbeiter

Auftragsverarbeiter ist, wer im Auftrag eines nach der DSGVO für die Datenverarbeitung Verantwortlichen personenbezogene Daten verarbeitet. Dabei legt der Verantwortliche die Mittel und Zwecke der Verarbeitung alleine fest. Die Auftragsdatenverarbeitung erfolgt unter Aufsicht und unter Weisung des für die Datenverarbeitung Verantwortlichen.

Auftragsdatenverarbeitungsvertrag

Gemäß Art.28 DSGVO hat die Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zu erfolgen. Ein Auftragsdatenverarbeitungsvertrag muss den Auftragsverarbeiter in Bezug auf den Verantwortlichen binden. In dem Auftragsdatenverarbeitungsvertrag müssen Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt werden.

Veränderungen der Rahmenbedingungen

Die datenschutzrechtlichen Vorschriften zur Auftragsdatenverarbeitung erfahren durch die DSGVO einen erweiterten Anwendungsbereich. Lag den Vorschriften des BDSG a. F. noch ein enges technisches Verständnis vom Auftragsverarbeiter im Sinne eines „verlängerten Arms“ des Verantwortlichen zugrunde, stellen Auftragsverarbeiter und der für die Datenverarbeitung Verantwortliche nach der DSGVO im Verhältnis zueinander eine rechtliche Einheit dar. In dieser Konsequenz sieht die DSGVO datenschutzrechtliche Pflichten unmittelbar auch für den Auftragsverarbeiter vor (vgl. Art.27 Abs.1, Art.30 Abs.2, Art.31, Art.32, Art.82 DSGVO).

Verpflichtung beginnt bereits bei Systemwartung

Die Verpflichtung zum Abschluss eines Auftragsdatenverarbeitungsvertrages beginnt dabei bereits bei der Systemwartung durch einen externen IT-Dienstleister. Denn im Rahmen der Prüfung von Software hat ein externer IT-Dienstleister regelmäßig die Möglichkeit, auf beim Kunden gespeicherte personenbezogene Daten zuzugreifen.

Kanzlei für IT-Recht – Dr. Wallscheid & Drouven, Rechtsanwälte und Fachanwälte

Als Fachkanzlei für IT-Recht aus Münster beraten und vertreten wir Sie gerne in allen Bereichen des Datenschutzrechts sowie IT-Rechts in Münster und bundesweit. Sie haben Fragen zum IT-Recht? Wir stehen Ihnen fachkundig zur Seite. 

Sprechen Sie uns an und nutzen Sie unsere kostenlose Ersteinschätzung Ihres Anliegens. Aufgrund unserer großen praktischen Erfahrungen im IT-Recht können wir Ihnen zeitnah Ihre rechtlichen Möglichkeiten darlegen. Unsere Ersteinschätzung Ihres Anliegens bieten wir dabei kostenlos an. Melden Sie sich gerne per E-Mail, Fax oder mit unserem Direkthilfe-Formular: http://www.muensteraner-rechtsanwaelte.de/direkthilfe-formular/.

Wir melden uns umgehend bei Ihnen und freuen uns, Sie in Münster und deutschlandweit zu beraten.