Gemäß der DSGVO müssen folgende Anforderungen erfüllt sein:
- Vertrag zur Auftragsverarbeitung (AV-Vertrag):
- Es muss ein schriftlicher oder elektronischer Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter geschlossen werden.
- Klare Anweisungen:
- Der Verantwortliche gibt klare Anweisungen zur Verarbeitung der Daten.
- Auswahl des Auftragsverarbeiters:
- Der Verantwortliche muss sicherstellen, dass der Dienstleister ausreichend Garantien für den Schutz der Daten bietet.
- Überprüfung und Kontrolle:
- Der Verantwortliche hat die Pflicht, die Einhaltung der Datenschutzbestimmungen durch den Auftragsverarbeiter zu überprüfen.
Inhalte eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO)
Der Vertrag zur Auftragsverarbeitung (AV-Vertrag) muss folgende Punkte enthalten:
- Gegenstand und Dauer der Verarbeitung:
- Beschreibung der Datenverarbeitung, einschließlich der Dauer und des Zwecks.
- Art der Daten und Kategorien betroffener Personen:
- Beschreibung der verarbeiteten personenbezogenen Daten (z. B. Namen, Adressen) und der betroffenen Personen (z. B. Kunden, Mitarbeitende).
- Rechte und Pflichten des Verantwortlichen:
- Anweisungsrecht des Verantwortlichen und Verpflichtung zur Überwachung.
- Pflichten des Auftragsverarbeiters:
- Verarbeitung der Daten nur auf Weisung des Verantwortlichen.
- Verpflichtung zur Vertraulichkeit und Schulung der Mitarbeitenden.
- Ergreifung technischer und organisatorischer Maßnahmen (TOMs) zum Schutz der Daten.
- Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten.
- Meldung von Datenschutzverletzungen an den Verantwortlichen.
- Löschung oder Rückgabe der Daten nach Abschluss des Auftrags.
- Unterauftragsverhältnisse:
- Bedingungen für die Einbindung von Unterauftragsverarbeitern (z. B. Genehmigung durch den Verantwortlichen).
Pflichten des Verantwortlichen
- Sorgfältige Auswahl:
- Der Verantwortliche muss sicherstellen, dass der Auftragsverarbeiter hinreichende Garantien für den Datenschutz bietet.
- Pflichten Kontrolle und Überwachung:
- Regelmäßige Überprüfung der Einhaltung der Datenschutzvorgaben durch den Auftragsverarbeiter (z. B. durch Audits).
- Verantwortlichkeit:
- Auch wenn die Datenverarbeitung ausgelagert wird, bleibt der Verantwortliche für die Einhaltung der DSGVO verantwortlich.
Pflichten des Auftragsverarbeiters
- Verarbeitung nach Weisung:
- Der Auftragsverarbeiter darf die Daten nur gemäß den Anweisungen des Verantwortlichen verarbeiten.
- Technische und organisatorische Maßnahmen:
- Sicherstellen, dass die Daten durch geeignete Maßnahmen geschützt sind (z. B. Verschlüsselung, Zugangskontrollen).
- Meldung von Datenschutzverletzungen:
- Der Auftragsverarbeiter muss Datenschutzverletzungen unverzüglich dem Verantwortlichen melden.
- Unterauftragsverarbeiter:
- Die Einbindung weiterer Dienstleister ist nur mit Zustimmung des Verantwortlichen erlaubt.
- Dokumentation:
- Nachweisführung über die Einhaltung der Datenschutzvorgaben.
Unterauftragsverarbeiter
Ein Auftragsverarbeiter kann weitere Dienstleister (Unterauftragsverarbeiter) einbinden, jedoch nur unter folgenden Bedingungen:
- Zustimmung des Verantwortlichen:
- Der Verantwortliche muss der Einbindung zustimmen.
- Vertrag mit dem Unterauftragsverarbeiter:
- Der Auftragsverarbeiter muss mit dem Unterauftragsverarbeiter ebenfalls einen AV-Vertrag abschließen.
- Auftragsverarbeitung Haftung:
- Der ursprüngliche Auftragsverarbeiter bleibt für die Einhaltung der Datenschutzvorgaben durch den Unterauftragsverarbeiter verantwortlich.
Kontrollmechanismen für die Auftragsverarbeitung
- Prüfung vor Vertragsabschluss:
- Bewertung der Datenschutzmaßnahmen des potenziellen Dienstleisters (z. B. durch Zertifikate, Audits).
- Regelmäßige Überprüfungen:
- Durchführung von Audits oder Kontrollbesuchen, um die Einhaltung der Datenschutzvorgaben sicherzustellen.
- Berichtspflichten:
- Der Auftragsverarbeiter muss regelmäßig über Datenschutzmaßnahmen und Vorfälle berichten.
Datenschutzverletzungen und Haftung
Datenschutzverletzungen:
- Der Auftragsverarbeiter muss Verstöße gegen den Datenschutz unverzüglich dem Verantwortlichen melden.
- Der Verantwortliche ist verpflichtet, Datenschutzverletzungen innerhalb von 72 Stunden der zuständigen Datenschutzbehörde zu melden.
Haftung:
- Der Verantwortliche haftet gegenüber den betroffenen Personen.
- Der Auftragsverarbeiter haftet bei Verstößen gegen seine Pflichten oder bei Verarbeitung außerhalb der Weisungen.
Unterschied zwischen Verantwortlichem und Auftragsverarbeiter
| Merkmal |
Verantwortlicher |
Auftragsverarbeiter |
| Definition |
Entscheidet über Zwecke und Mittel der Verarbeitung |
Verarbeitet Daten im Auftrag des Verantwortlichen |
| Beispiele |
Unternehmen, das Kundendaten erhebt |
Cloud-Anbieter, der Daten speichert |
| Rechte und Pflichten |
Verantwortung für die Daten |
Verarbeitung nur nach Weisung |
| Vertragspflicht |
Muss einen AV-Vertrag abschließen |
Muss Anweisungen einhalten |
