Auftragsverarbeitung: Datenschutz bei der Verarbeitung personenbezogener Daten
- 6 Minuten Lesezeit
Experten-Autor dieses Themas
Auftragsverarbeitung: Was ist das?
Eine Auftragsverarbeitung – früher Auftragsdatenverarbeitung genannt – liegt grundsätzlich dann vor, wenn andere Unternehmen im Auftrag Zugriff auf personenbezogene Daten von Dritten haben. Datenverarbeitungsprozesse werden oftmals ausgelagert. Das sind meist externe Dienstleistungsunternehmen – wie beispielsweise ein externes Lohnbüro –, die entsprechende Dienstleistungen (hier: die Lohnabrechnung) für ein Unternehmen (Auftraggeber) ausführen.
Auftragsverarbeitung – der Vertrag
Die Verarbeitung bestimmter Daten durch externe Unternehmen – wie gerade im Beispiel Lohnabrechnung – findet oft Anwendung, um das spezielle Fachwissen eines anderen Unternehmens (wie eines Lohnbüros) zu nutzen. Das kann sich auf jeden Fall zeit- und kostensparend für das eigene Unternehmen auswirken. Um das externe Unternehmen zu beauftragen, ist es von großer Bedeutung, dass dieses bei der Verarbeitung der personenbezogenen Daten den Schutz der Rechte der betroffenen Personen unbedingt gewährleistet.
Aus diesem Grund muss ein spezieller Vertrag – der Auftragsverarbeitungsvertrag – geschlossen werden. Der Abschluss dieses Vertrages ist zwingend und auch bußgeldbewährt vorgeschrieben. Das beauftragende Unternehmen (Auftraggeber) ist in der Kontrollpflicht. Es hat regelmäßig zu prüfen, ob der beauftragte Dienstleister die gesetzlichen Vorgaben zum Datenschutz einhält. Um den Anforderungen der gesetzlichen Regelung dabei zu entsprechen, muss hier insbesondere Art. 28 DSGVO (Datenschutz-Grundverordnung) berücksichtigt werden.
Ebenso maßgeblich ist Art. 32 DSGVO, in dem es um die Sicherheit der Verarbeitung der Daten geht. So heißt es dort unter anderem:
(1) „Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein:
a, die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
b, die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen […]
(4) Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.“
Wann ist ein Vertrag zur Auftragsverarbeitung notwendig?
Werden also personenbezogene Daten im Auftrag an Dritte weisungsgebunden weitergegeben und von ihnen verarbeitet oder genutzt, ist ein Auftragsverarbeitungsvertrag notwendig. Die betroffenen Personen müssen darüber in Kenntnis gesetzt werden, dass solche Dienstleister genutzt werden und ein Auftragsverarbeitungsvertrag abgeschlossen wurde.
Beispiele für Auftragsverarbeitungsverträge:
Externe Lohnabrechnung oder Gehaltsabrechnung (keine Steuerberater)
Papier- und/oder Aktenvernichtung
Vernichtung von Datenträgern
Wartungsverträge mit Zugriff auf personenbezogene Daten
Kundenumfragen
Newsletter per E-Mail
Beauftragung eines Callcenters für Kundensupport oder Kundengewinnung
Wann brauchen Sie keinen Auftragsverarbeitungsvertrag?
Tätigkeiten und Dienstleistungen, bei denen es vordergründig nicht um die Datenverarbeitung geht, stellen keine Auftragsverarbeitung im datenschutzrechtlichen Sinne dar. Deshalb ist hier ein Auftragsverarbeitungsvertrag nicht vorgeschrieben, ebenso wenig wie auch bei der Verarbeitung personenbezogener Daten von Berufsgeheimnisträgern.
Beispiele für nicht notwendige Auftragsverarbeitungsverträge:
Rechtsanwälte
Wirtschaftsprüfer
Steuerberater
Banken
Betriebsärzte
Inkassounternehmen
Postboten
Hinweis: Bei Tätigkeiten, für die eine Weisungsgebundenheit fehlt, gibt es grundsätzlich auch nicht die gesetzliche Pflicht, einen Auftragsverarbeitungsvertrag abzuschließen.
Auftragsverarbeitung: Sanktionen bei Verstößen
Die DSGVO (Datenschutz-Grundverordnung) gibt vor, dass Sanktionen wirksam, verhältnismäßig und abschreckend sein müssen. Wird mit Dienstleistern oder Partnern, die personenbezogene Daten im Auftrag verarbeiten, kein entsprechender Auftragsverarbeitungsvertrag geschlossen, und es kommt zu Datenschutzverstößen, kann das fatale Folgen haben. Art. 83 Abs. 5 DSGVO regelt die allgemeinen Bedingungen für die Verhängung von Geldbußen. Bußgelder in Höhe von bis zu 20 Mio. Euro können die Folge sein. Auch eine Durchgriffshaftung durch Vollstreckung in das Privatvermögen eines Geschäftsführers ist unter Umständen nicht ausgeschlossen. Etwaige Versicherungen greifen bei Gesetzesverstößen nicht. Kann bei einem Datenschutzverstoß eine Bereicherungsabsicht nachgewiesen werden, besteht auch strafrechtliche Relevanz, und Freiheitsstrafen von bis zu drei Jahren sind möglich.
Mustervertrag für Auftragsverarbeitung
So könnte ein Vertrag in etwa aussehen. Der Inhalt muss individuell angepasst werden:
Vertrag über die Auftragsverarbeitung personenbezogener Daten
zwischen Firma Musterfrau,
vertreten durch …
im Folgenden – Auftraggeber –
und
Firma Mustermann,
vertreten durch ...
im Folgenden – Auftragnehmer –
genannt.
1. Geltungsbereich
1.1 Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmer (im Folgenden „Parteien“ genannt) im Rahmen der Verarbeitung von personenbezogenen Daten im Auftrag.
1.2 Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen Mitarbeiter des Auftragnehmers personenbezogene Daten des Auftraggebers weisungsgebunden verarbeiten.
2. Gegenstand und Dauer der Verarbeitung
2.1 Gegenstand
Der Auftragnehmer übernimmt folgende Verarbeitungen: ... (genaue Beschreibungen).
Die Verarbeitung beruht auf dem zwischen den Parteien bestehenden Dienstleistungsvertrag vom … (im Folgenden „Hauptvertrag“).
2.2 Dauer
Die Verarbeitung beginnt am … (Datum) und endet am … (Datum).
3. Art und Zweck der Datenverarbeitung
3.1 Art der Verarbeitung
Die Verarbeitung ist folgender Art: … (hier den Zweck eintragen, wie beispielsweise Erhebung, Speicherung und Übermittlung von Daten).
3.2 Zweck der Verarbeitung
Die Verarbeitung dient folgendem Zweck: …
3.3 Art der Daten
Es werden folgende Daten verarbeitet: Anrede, Vor- und Zuname, E-Mail-Adresse, Adresse
4. Pflichten des Auftragnehmers
4.1 Der Auftragnehmer verarbeitet die zur Verfügung gestellten personenbezogenen Daten ausschließlich wie vertraglich vereinbart und vom Auftraggeber angewiesen. Der Auftragnehmer verwendet diese Daten nicht für eigene Zwecke.
4.2 Der Auftragnehmer hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.
4.3 Der Auftragnehmer bestätigt, dass ihm die DSGVO (Datenschutz-Grundverordnung) mit deren Vorschriften hinreichend und unmissverständlich bekannt ist.
4.4 Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren, und sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Entsprechende Schulungs- und Sensibilisierungsmaßnahmen sind angemessen regelmäßig zu wiederholen.
4.5 Auskünfte an Dritte darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen.
Hinweis: Da sich das Arbeiten im Homeoffice immer weiter etabliert, kann die Verarbeitung von Daten in Privatwohnungen vertraglich ausgeschlossen werden. Wird sie zugelassen, sind eingeräumte Kontrollrechte des Auftraggebers aber zwingend erforderlich.
5. Rechte und Pflichten des Auftraggebers
5.1 Für die Einhaltung der Rechte von Betroffenen ist der Auftraggeber verantwortlich.
5.2 Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz in angemessenem Umfang selbst oder durch Dritte, insbesondere durch die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme, regelmäßig zu überprüfen. Der Auftragnehmer ist dabei verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind.
Diese finden mit angemessener Vorankündigung und zu den Geschäftszeiten des Auftragnehmers statt.
6. Beendigung des Auftrags
Befinden sich bei Beendigung des Auftragsverhältnisses im Auftrag verarbeitete Daten oder Kopien noch in der Verfügungsgewalt des Auftragnehmers, hat dieser die Daten entweder zu vernichten oder an den Auftraggeber zu übergeben. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Eine physische Vernichtung erfolgt gemäß DIN 66399.
7. Vergütung
Die Vergütung des Auftragnehmers ist im Hauptvertrag geregelt.
8. Haftung
Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer gesamtschuldnerisch.
9. Sonstiges
Die Vertragsparteien verpflichten sich, erlangte Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages hinaus streng vertraulich zu behandeln.
Unterschriften
Auftraggeber
Auftragnehmer
Ort, Datum
Artikel teilen:
Sie benötigen persönliche Beratung zum Thema Auftragsverarbeitung?
Rechtstipps zu "Auftragsverarbeitung" | Seite 2
-
08.12.2022 Rechtsanwalt und DSB (TÜV) Henning Koch„… zur Auftragsverarbeitung von Microsoft finden Sie unter dem nachstehenden Link: https://datenschutzkonferenz-online.de/media/dskb/2022_24_11_festlegung_MS365_zusammenfassung.pdf Was ist zu tun …“ Weiterlesen
-
23.11.2022 Rechtsanwalt und DSB (TÜV) Henning Koch„… ? Die neuen SCC wurden an die Rechtsgedanken der DSGVO angepasst. Sie beinhalten vor allem sämtliche Anforderungen an eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO. Dies bedeutet …“ Weiterlesen
-
23.11.2022 Rechtsanwalt Daniel Loschelder„… , dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Abmahnung Jolanta Januszewski, Omar Taha M Salhin erhalten? Wenn Sie eine Abmahnung …“ Weiterlesen
-
21.11.2022 Rechtsanwältin Nina Hiddemann„… (Verantwortlicher an Verantwortlicher) Modul 2: Controller-to-Processor (Verantwortlicher an Auftragsverarbeiter) Modul 3: Processor-to-Processor (Auftragsverarbeiter an Sub-Auftragsverarbeiter) Modul 4 …“ Weiterlesen
-
15.11.2022 Rechtsanwalt Daniel Loschelder„… werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Was halten wir von der Abmahnung des Omar Taha M Salhin Uns liegen …“ Weiterlesen
-
11.11.2022 Rechtsanwalt Daniel Loschelder„… an Dritte muss unbedingt sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Was halten …“ Weiterlesen
-
02.11.2022 Rechtsanwalt Jens Reime„… . Abschluss eines Vertrags über Auftragsverarbeitung Wir haben einen Vertrag über Auftragsverarbeitung mit Terminpilot abgeschlossen, in dem wir Terminpilot verpflichten, die Daten unserer Kunden …“ Weiterlesen
-
18.10.2022 Rechtsanwalt Dr. Gerrit W. Hartung„… und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen ergreifen müssen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Und gemäß Art. 34 DSGVO sind Betroffene eines Datenlecks …“ Weiterlesen
-
11.11.2022 Rechtsanwalt Daniel Loschelder„… sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Jolanta Januszewski taucht auf Offensichtlich hat …“ Weiterlesen
-
12.10.2022 Rechtsanwalt Avv. Kai Uwe Hosse„… die Datensicherung und Handbücher für die Nutzung von Archiven erstellt Datenverarbeitungsverträge mit externen Auftragsverarbeitern geschlossen, usw. Aber was ist seither passiert? ... haben Sie jemals überprüft …“ Weiterlesen
-
15.11.2022 Rechtsanwalt Daniel Loschelder„… von personenbezogenen Daten an Dritte muss unbedingt sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Jolanta …“ Weiterlesen
-
20.10.2022 Rechtsanwalt Daniel Loschelder„… von personenbezogenen Daten an Dritte muss unbedingt sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Der Trick …“ Weiterlesen
-
15.11.2022 Rechtsanwalt Daniel Loschelder„… der Verarbeitung von personenbezogenen Daten an Dritte muss unbedingt sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht …“ Weiterlesen
-
14.10.2022 Rechtsanwalt Daniel Loschelder„… sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Abwehr der Forderungen des Wang Yu Unserer Meinung …“ Weiterlesen
-
06.10.2022 Rechtsanwalt Michael Pflaumer„… , der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter …“ Weiterlesen
-
15.11.2022 Rechtsanwalt Daniel Loschelder„… ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Jolanta Januszewski taucht auf Offensichtlich hat die RAAG Kanzlei mit Jolanta Januszewski eine weitere Mandantin …“ Weiterlesen
-
10.10.2022 Rechtsanwalt Daniel Loschelder„… der Verarbeitung von personenbezogenen Daten an Dritte muss unbedingt sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT …“ Weiterlesen
-
11.11.2022 Rechtsanwalt Daniel Loschelder„… , dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Jolanta Januszewski taucht auf Offensichtlich hat die RAAG Kanzlei mit Jolanta …“ Weiterlesen
-
10.11.2022 Rechtsanwalt Daniel Loschelder„… . Bei der Auslagerung der Verarbeitung von personenbezogenen Daten an Dritte muss unbedingt sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für …“ Weiterlesen
-
10.10.2022 Rechtsanwalt Daniel Loschelder„… sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Was halten wir von der Abmahnung Martin Ismail …“ Weiterlesen
-
20.10.2022 Rechtsanwalt Daniel Loschelder„… Daten an Dritte muss unbedingt sichergestellt werden, dass dies datenschutzkonform geschieht ( Auftragsverarbeitung ). Unsere Anwältinnen und Anwälte für IT-Recht beraten Sie hierzu. Der Trick …“ Weiterlesen
-
16.10.2022 Rechtsanwalt Marc Oliver Giel„… an einen Auftragsverarbeiter in der Schweiz weiterleiten dürfen, ohne dass diese Datenübermittlung einer gesonderten Genehmigung bedarf. Dies ist eine zweifelsohne überaus bequeme Situation für …“ Weiterlesen
-
16.10.2022 Rechtsanwalt Marc Oliver Giel„… ist, erfahren Sie in diesem Artikel Externe Dienstleister oder auch “Auftragsverarbeiter” genannt Im Datenschutzrecht heißen externe Dienstleister, die mit personenbezogenen Daten arbeiten oder Zugriff …“ Weiterlesen
-
26.11.2021 Rechtsanwalt Mag. Artium Phil. Oliver Rosbach„… . Der Verwalter ist daher in jedem Fall Mitverantwortlicher und regelmäßig Auftragsverarbeiter im Dienste der DSGVO. Sowohl für die Gemeinschaft, als auch für den Verwalter entstehen daher eine Reihe …“ Weiterlesen