Auftragsverarbeitung nach DSGVO Was Aufsichtsbehörden bei Auftragsverarbeitung prüfen

Anbieter zum Thema

Insider Research

valvisio international AG

Sollen personenbezogene Daten im Auftrag verarbeitet werden, müssen insbesondere Garantien für die Einhaltung des Datenschutzes nach DSGVO durch den Auftragsverarbeiter geboten werden. Ob dies durch den Auftraggeber und Auftragsverarbeiter wirklich eingehalten wird, wollen die Aufsichtsbehörden nun kontrollieren. Aber die Prüfungen der Aufsicht gehen noch weiter.

Die Datenschutz-Grundverordnung (DSGVO) behandelt ausführlich den Fall, dass personenbezogene Daten nicht durch das jeweilige Unternehmen selbst verarbeitet werden, sondern durch einen Dienstleister, in diesem Zusammenhang auch Auftragsverarbeiter genannt.

Ein Auftragsverarbeiter ist also eine Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. In dieser kurzen Definition steckt bereits, dass der Auftraggeber dem Auftragsverarbeiter zwar Daten zur Verarbeitung gibt, die Verantwortung für die Daten und deren Schutz aber behält.

Die Fortdauer der Verantwortung für den Datenschutz bei Auftragsverarbeitung ist nicht alles, was immer noch in Vergessenheit gerät. Es sind sogar komplette Auftragsverarbeitungen, die „vergessen“ werden, jedenfalls mit Blick auf den Datenschutz. Es kann also durchaus sein, dass ein Unternehmen nicht alle Auftragsverarbeitungen im Blick hat, die für es stattfinden.

Beispiele für mögliche Auftragsverarbeitungen sind Aktenvernichtung, Archivierung, Bürokommunikation, Cloud-Services, Finanzbuchhaltung, Lohn- und Gehaltsabrechnung, Personalverwaltung, Werbung / Letter Shop, Zeiterfassung, Reisekosten, Hosting E-Mail-System und Hosting Internetsystem sowie Wartungsarbeiten.

Wer jetzt überlegt, ob dies im eigenen Unternehmen nun selbst gemacht wird oder durch einen Dienstleister, der sollte auch im Verzeichnis der Verarbeitungstätigkeiten nachsehen, ob dort alle bestehenden Auftragsverarbeitungen dokumentiert sind.

Lieber selbst überprüfen und nicht auf die Aufsicht warten

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) kontrolliert seit einigen Wochen die datenschutzrechtlichen Musterverträge, so genannte Auftragsverarbeitungsverträge (AVV), zwischen Webhostern aus Berlin und deren Kundinnen und Kunden. Das ist aber nicht auf Berlin beschränkt. Auch die Datenschutzaufsichtsbehörden aus Niedersachsen, Rheinland-Pfalz, Sachsen, Sachsen-Anhalt und Bayern (LDA) beteiligen sich an dieser koordinierten Prüfung.

Aber auch Unternehmen aus anderen Bundesländern sollten sich ihre Auftrags­verarbeitungs­verträge genauer ansehen und nicht darauf warten, bis die für sie zuständige Aufsichtsbehörde ebenfalls entsprechende Prüfungen startet.

Beispiel Webhosting

Viele Organisationen betreiben ihre Internetseite oder ihren Online-Shop über einen externen Dienstleister (Webhoster). Dabei werden personenbezogene Daten von Besucherinnen und Besuchern der Seite verarbeitet. Im Regelfall findet diese Verarbeitung im Auftrag des Verantwortlichen, also des Seitenbetreibers, statt. Das heißt, der Webhoster ist datenschutzrechtlich ein Auftragsverarbeiter, wie die Aufsichtsbehörden klarstellen.

Entsprechend müssen die Betreibenden der Internetseite und der Webhoster einen spezifischen Vertrag schließen, den sogenannten Auftragsverarbeitungsvertrag (AVV). Die Datenschutz-Grundverordnung (DSGVO) beschreibt im Detail, welche Rechte, Pflichten und Maßnahmen im AVV geregelt werden müssen.

Doch in der Praxis sehen die Verträge leider oftmals anders aus: Regelmäßig erreichen die Datenschutz-Aufsichtsbehörden Anfragen von Verantwortlichen, die feststellen, dass der vom Webhoster angebotene AVV nicht den Anforderungen der DSGVO entspricht. So sehen beispielsweise viele AVV keine ausreichenden Nachweise des Webhosters darüber vor, dass dieser die vereinbarten Datenschutzmaßnahmen umsetzt.

Damit dürfen sich die Unternehmen als Betreibende der Internetseite aber nicht zufrieden geben, da sie als Verantwortliche gegenüber den Aufsichtsbehörden und den betroffenen Personen nachweisen können müssen, dass sie die Vorgaben des Datenschutzes einhalten.

Was die Aufsichtsbehörden zu den Prüfungen sagen

Zuerst einmal sollen die laufenden Prüfungen der Musterverträge die Hoster und die Unternehmen als Hosting-Kunden und Datenschutzverantwortliche unterstützen.

Volker Brozio, kommissarischer Dienststellenleiter der Berliner Aufsicht, erklärte dazu aber auch: „Wir ermuntern alle IT-Dienstleister, ihre Standardverträge selbstständig zu prüfen und an das Gesetz anzupassen. Schließlich können hohe Bußgelder nicht nur gegen Verantwortliche verhängt werden, die IT-Dienstleister ohne ordnungsgemäßen AV-Vertrag einsetzen, sondern auch gegen die IT Dienstleister selbst.“

„Korrekte Verträge zur Auftragsverarbeitung sind ein wichtiges Instrument zur Einhaltung der datenschutzrechtlichen Vorgaben“, sagte Barbara Thiel, die Landesbeauftragte für den Datenschutz Niedersachsen. „Wir wollen sowohl Verantwortliche als auch Auftragsverarbeiter dabei unterstützen, die Anforderungen der DSGVO einzuhalten und so für mehr Rechtssicherheit sorgen.“

„Das Ziel der koordinierten Prüfung ist eine datenschutzrechtliche Verbesserung der Web-Auftritte von kleinen und großen Unternehmen“, stellte der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Prof. Dr. Dieter Kugelmann, klar. „Diese sind zumeist auf externe Dienstleister angewiesen, tragen aber am Ende selbst den Großteil der datenschutzrechtlichen Verantwortung für ihre Webseiten. Damit in solchen Fällen die Verantwortlichkeiten klar sind und auch bei einer Verarbeitung personenbezogener Daten durch Dritte die Rechte der Betroffenen gewahrt werden, macht die Datenschutz-Grundverordnung Vorgaben für die Gestaltung der Verträge mit den Dienstleistern.“

Die von den Datenschutzaufsichtsbehörden erstellte Checkliste soll den Verantwortlichen auch zur Orientierung bei der Gestaltung ihrer Verträge dienen und ist insoweit als Hilfestellung gemeint, um die Verantwortlichen zu unterstützen, wie die Aufsichtsbehörden erklären. Zu finden ist die sehr ausführliche Checkliste unter anderem bei der Berliner Aufsichtsbehörde.

Die 20 Seiten lange Checkliste sieht zwar nach einigem Aufwand aus, sie hilft aber bei der Wahrnehmung der Verantwortung für den Datenschutz bei Auftragsverarbeitung, da sie fehlende Regelungen zum Beispiel in Hosting-Verträgen offenlegen kann, und für diese womöglich fehlenden Regelungen sind eben (auch) die Unternehmen als Auftraggeber verantwortlich, denn eigentlich darf man einen solchen Vertrag gar nicht abschließen, um die DSGVO einhalten zu können.

So besagt die DSGVO: „Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.“ Ohne vertragliche Regelungen zum Datenschutz wird dies aber kaum möglich sein.

(ID:48608636)