Auftragsverarbeitung: Datenschutz bei der Verarbeitung personenbezogener Daten
- 6 Minuten Lesezeit
Experten-Autor dieses Themas
Auftragsverarbeitung: Was ist das?
Eine Auftragsverarbeitung – früher Auftragsdatenverarbeitung genannt – liegt grundsätzlich dann vor, wenn andere Unternehmen im Auftrag Zugriff auf personenbezogene Daten von Dritten haben. Datenverarbeitungsprozesse werden oftmals ausgelagert. Das sind meist externe Dienstleistungsunternehmen – wie beispielsweise ein externes Lohnbüro –, die entsprechende Dienstleistungen (hier: die Lohnabrechnung) für ein Unternehmen (Auftraggeber) ausführen.
Auftragsverarbeitung – der Vertrag
Die Verarbeitung bestimmter Daten durch externe Unternehmen – wie gerade im Beispiel Lohnabrechnung – findet oft Anwendung, um das spezielle Fachwissen eines anderen Unternehmens (wie eines Lohnbüros) zu nutzen. Das kann sich auf jeden Fall zeit- und kostensparend für das eigene Unternehmen auswirken. Um das externe Unternehmen zu beauftragen, ist es von großer Bedeutung, dass dieses bei der Verarbeitung der personenbezogenen Daten den Schutz der Rechte der betroffenen Personen unbedingt gewährleistet.
Aus diesem Grund muss ein spezieller Vertrag – der Auftragsverarbeitungsvertrag – geschlossen werden. Der Abschluss dieses Vertrages ist zwingend und auch bußgeldbewährt vorgeschrieben. Das beauftragende Unternehmen (Auftraggeber) ist in der Kontrollpflicht. Es hat regelmäßig zu prüfen, ob der beauftragte Dienstleister die gesetzlichen Vorgaben zum Datenschutz einhält. Um den Anforderungen der gesetzlichen Regelung dabei zu entsprechen, muss hier insbesondere Art. 28 DSGVO (Datenschutz-Grundverordnung) berücksichtigt werden.
Ebenso maßgeblich ist Art. 32 DSGVO, in dem es um die Sicherheit der Verarbeitung der Daten geht. So heißt es dort unter anderem:
(1) „Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein:
a, die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
b, die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen […]
(4) Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.“
Wann ist ein Vertrag zur Auftragsverarbeitung notwendig?
Werden also personenbezogene Daten im Auftrag an Dritte weisungsgebunden weitergegeben und von ihnen verarbeitet oder genutzt, ist ein Auftragsverarbeitungsvertrag notwendig. Die betroffenen Personen müssen darüber in Kenntnis gesetzt werden, dass solche Dienstleister genutzt werden und ein Auftragsverarbeitungsvertrag abgeschlossen wurde.
Beispiele für Auftragsverarbeitungsverträge:
Externe Lohnabrechnung oder Gehaltsabrechnung (keine Steuerberater)
Papier- und/oder Aktenvernichtung
Vernichtung von Datenträgern
Wartungsverträge mit Zugriff auf personenbezogene Daten
Kundenumfragen
Newsletter per E-Mail
Beauftragung eines Callcenters für Kundensupport oder Kundengewinnung
Wann brauchen Sie keinen Auftragsverarbeitungsvertrag?
Tätigkeiten und Dienstleistungen, bei denen es vordergründig nicht um die Datenverarbeitung geht, stellen keine Auftragsverarbeitung im datenschutzrechtlichen Sinne dar. Deshalb ist hier ein Auftragsverarbeitungsvertrag nicht vorgeschrieben, ebenso wenig wie auch bei der Verarbeitung personenbezogener Daten von Berufsgeheimnisträgern.
Beispiele für nicht notwendige Auftragsverarbeitungsverträge:
Rechtsanwälte
Wirtschaftsprüfer
Steuerberater
Banken
Betriebsärzte
Inkassounternehmen
Postboten
Hinweis: Bei Tätigkeiten, für die eine Weisungsgebundenheit fehlt, gibt es grundsätzlich auch nicht die gesetzliche Pflicht, einen Auftragsverarbeitungsvertrag abzuschließen.
Auftragsverarbeitung: Sanktionen bei Verstößen
Die DSGVO (Datenschutz-Grundverordnung) gibt vor, dass Sanktionen wirksam, verhältnismäßig und abschreckend sein müssen. Wird mit Dienstleistern oder Partnern, die personenbezogene Daten im Auftrag verarbeiten, kein entsprechender Auftragsverarbeitungsvertrag geschlossen, und es kommt zu Datenschutzverstößen, kann das fatale Folgen haben. Art. 83 Abs. 5 DSGVO regelt die allgemeinen Bedingungen für die Verhängung von Geldbußen. Bußgelder in Höhe von bis zu 20 Mio. Euro können die Folge sein. Auch eine Durchgriffshaftung durch Vollstreckung in das Privatvermögen eines Geschäftsführers ist unter Umständen nicht ausgeschlossen. Etwaige Versicherungen greifen bei Gesetzesverstößen nicht. Kann bei einem Datenschutzverstoß eine Bereicherungsabsicht nachgewiesen werden, besteht auch strafrechtliche Relevanz, und Freiheitsstrafen von bis zu drei Jahren sind möglich.
Mustervertrag für Auftragsverarbeitung
So könnte ein Vertrag in etwa aussehen. Der Inhalt muss individuell angepasst werden:
Vertrag über die Auftragsverarbeitung personenbezogener Daten
zwischen Firma Musterfrau,
vertreten durch …
im Folgenden – Auftraggeber –
und
Firma Mustermann,
vertreten durch ...
im Folgenden – Auftragnehmer –
genannt.
1. Geltungsbereich
1.1 Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmer (im Folgenden „Parteien“ genannt) im Rahmen der Verarbeitung von personenbezogenen Daten im Auftrag.
1.2 Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen Mitarbeiter des Auftragnehmers personenbezogene Daten des Auftraggebers weisungsgebunden verarbeiten.
2. Gegenstand und Dauer der Verarbeitung
2.1 Gegenstand
Der Auftragnehmer übernimmt folgende Verarbeitungen: ... (genaue Beschreibungen).
Die Verarbeitung beruht auf dem zwischen den Parteien bestehenden Dienstleistungsvertrag vom … (im Folgenden „Hauptvertrag“).
2.2 Dauer
Die Verarbeitung beginnt am … (Datum) und endet am … (Datum).
3. Art und Zweck der Datenverarbeitung
3.1 Art der Verarbeitung
Die Verarbeitung ist folgender Art: … (hier den Zweck eintragen, wie beispielsweise Erhebung, Speicherung und Übermittlung von Daten).
3.2 Zweck der Verarbeitung
Die Verarbeitung dient folgendem Zweck: …
3.3 Art der Daten
Es werden folgende Daten verarbeitet: Anrede, Vor- und Zuname, E-Mail-Adresse, Adresse
4. Pflichten des Auftragnehmers
4.1 Der Auftragnehmer verarbeitet die zur Verfügung gestellten personenbezogenen Daten ausschließlich wie vertraglich vereinbart und vom Auftraggeber angewiesen. Der Auftragnehmer verwendet diese Daten nicht für eigene Zwecke.
4.2 Der Auftragnehmer hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.
4.3 Der Auftragnehmer bestätigt, dass ihm die DSGVO (Datenschutz-Grundverordnung) mit deren Vorschriften hinreichend und unmissverständlich bekannt ist.
4.4 Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren, und sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Entsprechende Schulungs- und Sensibilisierungsmaßnahmen sind angemessen regelmäßig zu wiederholen.
4.5 Auskünfte an Dritte darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen.
Hinweis: Da sich das Arbeiten im Homeoffice immer weiter etabliert, kann die Verarbeitung von Daten in Privatwohnungen vertraglich ausgeschlossen werden. Wird sie zugelassen, sind eingeräumte Kontrollrechte des Auftraggebers aber zwingend erforderlich.
5. Rechte und Pflichten des Auftraggebers
5.1 Für die Einhaltung der Rechte von Betroffenen ist der Auftraggeber verantwortlich.
5.2 Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz in angemessenem Umfang selbst oder durch Dritte, insbesondere durch die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme, regelmäßig zu überprüfen. Der Auftragnehmer ist dabei verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind.
Diese finden mit angemessener Vorankündigung und zu den Geschäftszeiten des Auftragnehmers statt.
6. Beendigung des Auftrags
Befinden sich bei Beendigung des Auftragsverhältnisses im Auftrag verarbeitete Daten oder Kopien noch in der Verfügungsgewalt des Auftragnehmers, hat dieser die Daten entweder zu vernichten oder an den Auftraggeber zu übergeben. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Eine physische Vernichtung erfolgt gemäß DIN 66399.
7. Vergütung
Die Vergütung des Auftragnehmers ist im Hauptvertrag geregelt.
8. Haftung
Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer gesamtschuldnerisch.
9. Sonstiges
Die Vertragsparteien verpflichten sich, erlangte Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages hinaus streng vertraulich zu behandeln.
Unterschriften
Auftraggeber
Auftragnehmer
Ort, Datum
Artikel teilen:
Sie benötigen persönliche Beratung zum Thema Auftragsverarbeitung?
Rechtstipps zu "Auftragsverarbeitung" | Seite 3
-
08.11.2021 Rechtsanwalt Bodo Michael Schübel„… das Bundesarbeitsgericht auf der Verschuldensseite klar, dass § 276 BGB nicht Anwendung findet, sondern „dass die Haftung des Verantwortlichen (bzw. Auftragsverarbeiters) nach Art. 82 Abs. 1 DSGVO …“ Weiterlesen
-
24.09.2021 Rechtsanwalt und DSB (TÜV) Henning Koch„… und insbesondere für die Weitergabe der Daten der betroffenen Person an Dritte einzustehen, hat Auftragsverarbeiter sorgfältig auszuwählen und zu überwachen, hat die Rechte der Betroffenen zu erfüllen und unterliegt …“ Weiterlesen
-
23.09.2021 Rechtsanwalt und DSB (TÜV) Henning Koch„… die Meldungtatsächlich eingeräumt, bleibt unklar und muss noch von der ANPD konkretisiert werden Auch den Bereich der Auftragsverarbeitung spricht die LGPD an. Jedoch wie insgesamt auffällt sind die Themen nicht so …“ Weiterlesen
-
13.09.2021 Rechtsanwalt und DSB (TÜV) Henning Koch„… rechtmäßig ist. Dazu bedarf es eines sog. Auftragsverarbeitungsverhältnisses im Sinne des Art. 28 DSGVO. Die Privilegierung der Auftragsverarbeitung, die darin zu sehen ist, dass Verantwortlicher …“ Weiterlesen
-
„Verletzungen des Datenschutzes - Melde- und Benachrichtigungspflichten“ – Datenschutz kurz erklärt.08.09.2021 Rechtsanwalt und DSB (TÜV) Henning Koch„… muss bezüglich dieser Verzögerung eine Begründung beigelegt werden. Erfolgt die Datenpanne bei dem Auftragsverarbeiter so ist dieser ebenso verpflichtet, unverzüglich den Verantwortlichen über …“ Weiterlesen
-
04.09.2021 Rechtsanwalt und DSB (TÜV) Henning Koch„… der Verantwortliche bzw. der Auftragsverarbeiter diese Behörde als Ansprechpartner hat. Dadurch kann man der Problematik entgegenwirken, dass verschiedene Aufsichtsbehörden teilweise unterschiedliche Auffassungen …“ Weiterlesen
-
05.09.2021 Rechtsanwalt und DSB (TÜV) Henning Koch„Auftragsverarbeitung Bei einer Auftragsverarbeitung verarbeitet ein Dienstleister (Auftragsverarbeiter bzw. Auftragnehmer) personenbezogene Daten weisungsabhängig im Auftrag der verantwortlichen …“ Weiterlesen
-
11.08.2021 Rechtsanwalt Lars Hämmerling„… von der ADV. Das Unternehmen ist in dem Fall der Auftragsgeber und die externe Stelle der Auftragsverarbeiter. Gesetzlich geregelt ist die ADV in Art. 28 DSGVO. Typische Beispiele einer ADV sind u.a …“ Weiterlesen
-
26.07.2021 Rechtsanwältin Sabine Schenk„… sind modular aufgebaut; sie können in folgenden Konstellationen eingesetzt werden: (1) EU-Verantwortlicher und Auftragsverarbeiter im Drittland (2) EU-Verantwortlicher und Verantwortlicher im Drittland …“ Weiterlesen
-
21.07.2021 Rechtsanwalt André Martin„… sollen die einzelnen Merkmale näher erläutert werden: § 38 I 1 BDSG: (…) benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten …“ Weiterlesen
-
08.11.2021 Rechtsanwalt Bodo Michael Schübel„… an abgestuften Rechts- und Sanktionsmöglichkeiten gegen die zuständige Aufsichtbehörde sowie vor allem gegen Verantwortliche und Auftragsverarbeiter. Bei Verstössen gegen die DSGVO und das Datenschutzgesetz …“ Weiterlesen
-
05.07.2021 Rechtsanwalt Marc E. Evers„… » oder aber «Auftragsverarbeiter» war, wurden diese und zwei weitere Varianten («Processor to Processor» und «Processor to Controller») nun allesamt in ein einheitliches Regelungswerk aufgenommen. Indem …“ Weiterlesen
-
02.07.2021 Rechtsanwalt Jan Steinmetz„… oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Der Schadenersatzanspruch setzt aber neben dem Umstand …“ Weiterlesen
-
12.07.2021 Rechtsanwältin Annett Albrecht„… oder Auftragsverarbeiter sollte auch dann dieser Verordnung unterliegen, wenn sie dazu dient, das Verhalten dieser betroffenen Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.” Eine Verhaltensbeobachtung …“ Weiterlesen
-
07.06.2021 Rechtsanwältin Nina Hiddemann„… . Modul ZWEI Modul ZWEI bildet die Datenübermittlung vom Verantwortlichen an den Auftragsverarbeiter ab. Modul DREI Modul DREI ist zu verwenden bei einer Datenübermittlung zwischen zwei …“ Weiterlesen
-
29.04.2021 Rechtsanwalt Marek van Hattem„… den Verantwortlichen oder gegen den Auftragsverarbeiter. Für Sie bedeutet das: Tauchen Ihre Daten in dem Facebook-Leak auf, haben Sie grundsätzlich einen Schadenersatzanspruch gegenüber Facebook, denn die Datenpanne …“ Weiterlesen
-
07.02.2021 Rechtsanwalt Prof. Dr. Hans-Hermann Dirksen„Die DSGVO räumt betroffenen Personen den Anspruch auf Auskunft nach Art. 15 DSGVO beim Verantwortlichen ein. Kommen Unternehmen als Verantwortliche oder Auftragsverarbeiter diesem Auskunftsverlangen …“ Weiterlesen
-
07.02.2021 Rechtsanwalt Sebastian Geidel LL.M.„… ein materieller oder immaterieller Schaden entstanden ist, (…) Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“ Hiernach muss zunächst ein Verstoß gegen …“ Weiterlesen
-
05.01.2021 Rechtsanwalt Michael Voss„… in das betreffende Land auf diesen Angemessenheitsbeschluss berufen. Sofern allerdings ein Angemessenheitsbeschluss nicht erlassen wird, müssen Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten …“ Weiterlesen
-
06.11.2020 Fachanwalt Boris Nolting„… etc.) Datenschutzerklärungen Daten-Kaufvertrag – Data Purchase Agreement Datenschutzrechtliche Einwilligungserklärung in die Verarbeitung personen- bezogener Daten. Auftragsverarbeitung gem. Art. 28 DS …“ Weiterlesen
-
05.11.2020 Rechtsanwalt Marc E. Evers„… , wenn die Datenverarbeitung von einer Behörde oder einer anderen öffentlichen Stelle durchgeführt wird oder, wenn die Kerntätigkeit des Verantwortlichen oder seines Auftragsverarbeiters in der Durchführung …“ Weiterlesen
-
15.03.2021 Fachanwalt Boris Nolting„… -Kaufvertrag – Data Purchase Agreement Datenschutzrechtliche Einwilligungserklärung in die Verarbeitung personen-bezogener Daten . Auftragsverarbeitung gem. Art. 28 DS-GVO – Data Processing …“ Weiterlesen
-
13.10.2020 Rechtsanwalt Marc E. Evers„… DSGVO hat ein Betroffener einen Anspruch gegen den die Datenverarbeitung durchführenden Verantwortlichen oder einen etwaigen Auftragsverarbeiter, darauf zu erfahren u.a. zu welchem Verarbeitungszweck …“ Weiterlesen
-
26.08.2020 Rechtsanwalt Maximilian Braun„… hat, und richtet sich an Unternehmen, die Daten in die USA übermitteln oder sich eines Auftragsverarbeiters bedienen, der Daten in die USA übermittelt. Im Kern geht der LfDI Baden-Württemberg …“ Weiterlesen