Viele Unternehmen lagern Datenverarbeitung aus: an Cloud-Anbieter, Rechenzentren, IT-Dienstleister oder Dienste für den Newsletter-Versand. Die Verantwortung für die Daten bleibt dabei beim Auftraggeber, den die DSGVO als Verantwortlichen bezeichnet. Der Dienstleister ist Auftragsverarbeiter und darf die Daten nur für die Zwecke und nach den Weisungen des Verantwortlichen verwenden.
Grundlage ist Art. 28 DSGVO. Der dafür nötige Vertrag heißt im deutschsprachigen Raum häufig Auftragsverarbeitungsvertrag (AVV), international Data Processing Agreement (DPA).
Wie Auftragsverarbeitung geregelt wird
Bevor ein Dienstleister personenbezogene Daten verarbeitet, schließen beide Seiten einen Vertrag, der schriftlich oder in elektronischem Format vorliegen kann. Art. 28 schreibt Mindestinhalte vor, unter anderem:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Arten der Daten und Kategorien betroffener Personen
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
- Verpflichtung der eingesetzten Personen zur Vertraulichkeit
- angemessene technische und organisatorische Maßnahmen
- Einsatz weiterer Auftragsverarbeiter (Subunternehmer) nur mit Genehmigung
- Unterstützung bei Betroffenenrechten und Datenschutzverletzungen
- Löschung oder Rückgabe der Daten nach Vertragsende sowie Nachweis- und Kontrollrechte
Große Anbieter stellen meist standardisierte Verträge bereit, die Teil ihrer Vertragsbedingungen sind.
Typische Beispiele
- Ein Unternehmen nutzt einen Cloud-Dienst für E-Mail und Dateiablage.
- Ein IT-Dienstleister betreut Server und kann dabei auf Kundendaten zugreifen, etwa per Remote Support.
- Eine Agentur versendet den Newsletter mit der Adressliste des Unternehmens.
- Ein KI-Dienst verarbeitet Texte, die personenbezogene Daten enthalten.
Worauf Unternehmen achten sollten
- Eine Übersicht aller Dienstleister mit Zugriff auf personenbezogene Daten führen und prüfen, ob jeweils ein Vertrag vorliegt.
- Die beschriebenen Schutzmaßnahmen des Dienstleisters lesen, statt den Vertrag nur abzulegen.
- Subunternehmer und deren Standorte prüfen, besonders bei Übermittlungen außerhalb des EWR, siehe auch Datenresidenz.
- Regeln für das Vertragsende festlegen, damit Daten nachweislich gelöscht oder zurückgegeben werden.
Abgrenzung
Nicht jede Zusammenarbeit ist Auftragsverarbeitung. Entscheidet ein Partner selbst über Zwecke und Mittel der Verarbeitung, ist er eigenständig verantwortlich, etwa eine Bank bei der Zahlungsabwicklung oder eine Rechtsanwaltskanzlei bei der Mandatsbearbeitung. Legen zwei Parteien Zwecke und Mittel gemeinsam fest, spricht die DSGVO von gemeinsamer Verantwortlichkeit nach Art. 26.
Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.