Auftragsverarbeitung: Datenverarbeitung im Auftrag DSGVO-konform managen

Jan Rolfsmeyer

Dezember 24, 2024

4 Min. Lesezeit

Auftragsverarbeitung

Auftragsverarbeitung liegt vor, wenn ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, ohne selbst über sie zu bestimmen. Ihr Newsletter-Anbieter, Ihr Hoster, Ihr Analyse-Tool, alle verarbeiten Daten Ihrer Kunden für Sie.

Warum das wichtig ist: Für solche Fälle verlangt die DSGVO einen Vertrag, den Auftragsverarbeitungsvertrag. Ohne den sind Sie im Zweifel angreifbar, obwohl der Dienstleister die Arbeit macht. Verantwortlich bleiben nämlich Sie.

Beispiele für Auftragsverarbeitung

Cloud-Dienste:
- Speicherung von Kundendaten auf den Servern eines Cloud-Anbieters.
E-Mail-Marketing:
- Nutzung eines Dienstleisters für den Versand von Newslettern (z. B. Mailchimp).
Web-Hosting:
- Betrieb der Website durch einen externen Hosting-Anbieter.
Lohnbuchhaltung:
- Beauftragung eines Steuerberaters oder einer Buchhaltungssoftware zur Gehaltsabrechnung.
Kundenservice:
- Nutzung eines externen Call-Centers, das Kundendaten verarbeitet.

Voraussetzungen für eine rechtmäßige Auftragsverarbeitung

Gemäß der DSGVO müssen folgende Anforderungen erfüllt sein:

Vertrag zur Auftragsverarbeitung (AV-Vertrag):
- Es muss ein schriftlicher oder elektronischer Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter geschlossen werden.
Klare Anweisungen:
- Der Verantwortliche gibt klare Anweisungen zur Verarbeitung der Daten.
Auswahl des Auftragsverarbeiters:
- Der Verantwortliche muss sicherstellen, dass der Dienstleister ausreichend Garantien für den Schutz der Daten bietet.
Überprüfung und Kontrolle:
- Der Verantwortliche hat die Pflicht, die Einhaltung der Datenschutzbestimmungen durch den Auftragsverarbeiter zu überprüfen.

Inhalte eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO)

Der Vertrag zur Auftragsverarbeitung (AV-Vertrag) muss folgende Punkte enthalten:

Gegenstand und Dauer der Verarbeitung:
- Beschreibung der Datenverarbeitung, einschließlich der Dauer und des Zwecks.
Art der Daten und Kategorien betroffener Personen:
- Beschreibung der verarbeiteten personenbezogenen Daten (z. B. Namen, Adressen) und der betroffenen Personen (z. B. Kunden, Mitarbeitende).
Rechte und Pflichten des Verantwortlichen:
- Anweisungsrecht des Verantwortlichen und Verpflichtung zur Überwachung.
Pflichten des Auftragsverarbeiters:
- Verarbeitung der Daten nur auf Weisung des Verantwortlichen.
- Verpflichtung zur Vertraulichkeit und Schulung der Mitarbeitenden.
- Ergreifung technischer und organisatorischer Maßnahmen (TOMs) zum Schutz der Daten.
- Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten.
- Meldung von Datenschutzverletzungen an den Verantwortlichen.
- Löschung oder Rückgabe der Daten nach Abschluss des Auftrags.
Unterauftragsverhältnisse:
- Bedingungen für die Einbindung von Unterauftragsverarbeitern (z. B. Genehmigung durch den Verantwortlichen).

So nutzen Sie das im Betrieb

Gehen Sie einmal durch, welche Dienste Daten Ihrer Kunden für Sie verarbeiten, Hosting, Newsletter, Formulare, Tracking, und prüfen Sie, ob mit jedem ein Auftragsverarbeitungsvertrag besteht. Die meisten seriösen Anbieter stellen ihn bereit, Sie müssen ihn nur abschließen. Im Zweifel fachlich prüfen lassen.

Unterauftragsverarbeiter

Ein Auftragsverarbeiter kann weitere Dienstleister (Unterauftragsverarbeiter) einbinden, jedoch nur unter folgenden Bedingungen:

Zustimmung des Verantwortlichen:
- Der Verantwortliche muss der Einbindung zustimmen.
Vertrag mit dem Unterauftragsverarbeiter:
- Der Auftragsverarbeiter muss mit dem Unterauftragsverarbeiter ebenfalls einen AV-Vertrag abschließen.
Auftragsverarbeitung Haftung:
- Der ursprüngliche Auftragsverarbeiter bleibt für die Einhaltung der Datenschutzvorgaben durch den Unterauftragsverarbeiter verantwortlich.

Kontrollmechanismen für die Auftragsverarbeitung

Prüfung vor Vertragsabschluss:
- Bewertung der Datenschutzmaßnahmen des potenziellen Dienstleisters (z. B. durch Zertifikate, Audits).
Regelmäßige Überprüfungen:
- Durchführung von Audits oder Kontrollbesuchen, um die Einhaltung der Datenschutzvorgaben sicherzustellen.
Berichtspflichten:
- Der Auftragsverarbeiter muss regelmäßig über Datenschutzmaßnahmen und Vorfälle berichten.

Datenschutzverletzungen und Haftung

Datenschutzverletzungen:

Der Auftragsverarbeiter muss Verstöße gegen den Datenschutz unverzüglich dem Verantwortlichen melden.
Der Verantwortliche ist verpflichtet, Datenschutzverletzungen innerhalb von 72 Stunden der zuständigen Datenschutzbehörde zu melden.

Haftung:

Der Verantwortliche haftet gegenüber den betroffenen Personen.
Der Auftragsverarbeiter haftet bei Verstößen gegen seine Pflichten oder bei Verarbeitung außerhalb der Weisungen.

Unterschied zwischen Verantwortlichem und Auftragsverarbeiter

Merkmal	Verantwortlicher	Auftragsverarbeiter
Definition	Entscheidet über Zwecke und Mittel der Verarbeitung	Verarbeitet Daten im Auftrag des Verantwortlichen
Beispiele	Unternehmen, das Kundendaten erhebt	Cloud-Anbieter, der Daten speichert
Rechte und Pflichten	Verantwortung für die Daten	Verarbeitung nur nach Weisung
Vertragspflicht	Muss einen AV-Vertrag abschließen	Muss Anweisungen einhalten

Häufige Fragen

Brauche ich wirklich mit jedem Tool so einen Vertrag?
Mit jedem, der personenbezogene Daten Ihrer Kunden für Sie verarbeitet, ja. Bei den großen Anbietern ist der Vertrag meist mit wenigen Klicks abgeschlossen.

Wer haftet, wenn beim Dienstleister etwas schiefgeht?
Im Kern bleiben Sie als Auftraggeber verantwortlich. Genau deshalb ist der Vertrag wichtig: Er regelt die Pflichten. Im Zweifel gehört das von jemandem geprüft, der sich auskennt.

Mehr dazu: WordPress-Websites von Signo Media

KI-Hinweis: Dieser Beitrag wurde ganz oder teilweise mithilfe künstlicher Intelligenz erstellt und vor der Veröffentlichung redaktionell geprüft.

Fazit

Die Auftragsverarbeitung ist ein zentraler Bestandteil der DSGVO, um sicherzustellen, dass personenbezogene Daten auch bei ausgelagerten Prozessen sicher und rechtmäßig verarbeitet werden. Sowohl der Verantwortliche als auch der Auftragsverarbeiter tragen spezifische Pflichten, wobei der Verantwortliche letztlich die Hauptverantwortung behält. Ein sauberer AV-Vertrag, klare Anweisungen und regelmäßige Kontrollen sind entscheidend, um die gesetzlichen Anforderungen zu erfüllen und Datenschutzverstöße zu vermeiden.