Eine Auftragsverarbeitungsvereinbarung ist ein schriftlicher Vertrag, in dem ein Verantwortlicher die Bedingungen festlegt, unter denen ein Auftragsverarbeiter in seinem Auftrag personenbezogene Daten verarbeitet. Die DSGVO schreibt diesen Vertrag ab dem Zeitpunkt der Auslagerung der Datenverarbeitung vor und legt fest, welche Themen er abdecken muss.
Rechtliche Grundlage
Die Verpflichtung ergibt sich aus Artikel 28 Absatz 3 der Datenschutz-Grundverordnung (DSGVO). Die Vereinbarung muss Gegenstand, Dauer, Art und Zweck der Verarbeitung beschreiben und die Arten personenbezogener Daten sowie die Kategorien betroffener Personen benennen. Sie muss außerdem acht spezifische Verpflichtungen enthalten: Verarbeitung ausschließlich auf Grundlage dokumentierter Anweisungen, Vertraulichkeit, Sicherheit gemäß Artikel 32 DSGVO, Bedingungen für die Beauftragung von Unterauftragnehmern, Unterstützung bei Anfragen betroffener Personen, Unterstützung bei Datenschutzverletzungen und Folgenabschätzungen, Rückgabe oder Löschung nach Beendigung des Vertrags sowie Bereitstellung von Informationen für Audits. Artikel 28 Absatz 1 ergänzt, dass nur Auftragsverarbeiter eingesetzt werden dürfen, die ausreichende Garantien bieten.
Wie es in der Praxis funktioniert
Nahezu jede Outsourcing-Vereinbarung ist betroffen: Lohnabrechnung, Hosting, Ihr CRM-Anbieter, sogar das Unternehmen, das Ihre Archive vernichtet. Die meisten Anbieter verwenden eine eigene Vorlage, die dem Hauptvertrag als Anhang beigefügt ist. Diese Vorlage ist verhandelbar, selbst wenn sie als fix dargestellt wird. Achten Sie besonders auf den Abschnitt, der die Verarbeitungsvorgänge beschreibt: Er muss die tatsächlichen Abläufe widerspiegeln und darf keine allgemeine Beschreibung sein, die für jeden Kunden gilt. Für Datentransfers außerhalb des Europäischen Wirtschaftsraums ist eine zusätzliche Grundlage erforderlich, in der Regel die Standardvertragsklauseln der Europäischen Kommission.
Wo es schiefgeht
Drei Fehler treten immer wieder auf. Erstens: Man schließt eine Verarbeitungsvereinbarung mit einem Unternehmen ab, das faktisch kein Auftragsverarbeiter ist, sondern Zweck und Mittel selbst festlegt; dadurch wird es zu einem gemeinsam Verantwortlichen mit anderen Regeln. Zweitens: Man erteilt eine pauschale Genehmigung für Unterauftragsverarbeiter, wodurch man den Überblick darüber verliert, wo die eigenen Daten physisch gespeichert sind. Drittens: Ein Sicherheitsplan, der lediglich von „angemessenen Maßnahmen“ spricht, ohne einen konkreten Standard zu nennen, bietet im Falle eines Sicherheitsvorfalls keinerlei Anhaltspunkt.
Verwandte Begriffe
Die Auftragsverarbeitungsvereinbarung steht in engem Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten , da sie die Frist für die Benachrichtigung durch den Auftragsverarbeiter festlegt, sowie mit der Datenschutz-Folgenabschätzung , für die der Auftragsverarbeiter Informationen bereitstellen muss. Sie beeinflusst auch die Allgemeinen Geschäftsbedingungen , da sie häufig mit der Haftungsbeschränkung im Hauptvertrag kollidiert.
Weiterführende Literatur
Mehr zu diesem Thema: Die Datenverarbeitungsvereinbarung (verwerkersovereenkomst) gemäß der DSGVO: ein niederländischer Praxisleitfaden.
Möchten Sie Ihre Verarbeitungsvereinbarungen überprüfen lassen? Unsere IT-Anwälte prüfen diese und verhandeln gegebenenfalls.
