Source: https://www.datenschutzbeauftragter-info.de/auftragsdatenverarbeitung-und-datenschutz-grundverordnung/
Timestamp: 2018-02-22 07:13:35+00:00

Document:
17. März 2016 |	20 Kommentare | von Felix Hudy
In der Datenschutz-Grundverordnung wird die Auftragsdatenverarbeitung europaweit einheitlich geregelt. Obwohl sich die neuen Regelungen inhaltlich an dem bekannten § 11 BDSG orientieren und diesen im Prinzip auf ein europäisches Level heben, sind einige Unterschiede zu beachten. Die Neuregelungen möchten wir nun einmal vorstellen. Dieser Artikel ist Teil unserer Reihe zur EU-Datenschutz-Grundverordnung.
Die Auftragsdatenverarbeitung ist die Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten durch einen Auftragnehmer gemäß den Weisungen der verantwortlichen Stelle (Auftraggeber) auf Grundlage eines schriftlichen Vertrags. Über die derzeit in § 11 BDSG geregelten Anforderungen können Sie sich hier informieren. Eine entsprechende europaweite Vorschrift existiert bislang in Art 17 der Datenschutzrichtlinie nur ansatzweise. Mit Art. 28 ff. EU-DSGVO erfährt nun auch die Auftragsdatenverarbeitung eine detaillierte gesetzliche Regelung.
Analog zu § 11 BDSG muss der Auftragsverarbeiter sorgfältig und unter besonderer Berücksichtigung der technischen und organisatorischen Maßnahmen ausgewählt werden. Wie bisher darf der Auftragsverarbeiter nach Art 29 EU-DSGVO die Daten nur auf Weisung des für die Verarbeitung Verantwortlichen verarbeiten. Verstößt der Auftragsverarbeiter dagegen, indem er z.B. Zwecke der Verarbeitung selbst bestimmt, wird er nach Art. 28 Abs. 10 EU-DSGVO selbst zum Verantwortlichen.
Neu ist, dass eine Datenverarbeitung im Auftrag auch außerhalb der EU stattfinden kann. Nach Art. 3 EU-DSGVO findet sie
Die Datenverarbeitung im Auftrag muss insoweit von den in Art. 26 EU-DSGVO geregelten gemeinsam für die Verarbeitung Verantwortlichen, der sog. „Joint Control“ unterschieden werden. Hierbei legen zwei oder mehrere Verantwortliche die Zwecke und Mittel zur Verarbeitung personenbezogener Daten gleichberechtig und gemeinsam transparent fest. Bei diesem Modell, das dem BDSG unbekannt ist, kann der Betroffene seine Rechte gegenüber jedem für die Verarbeitung Verantwortlichen geltend machen.
Anders als im BDSG, wo gegenüber den Betroffenen nur eine Haftung des Auftraggebers auf Schadensersatz vorgesehen ist, finden sich in Art 82 EU-DSGVO insbesondere für Auftragsverarbeiter schärfere Haftungsregeln:
Für deutsche Unternehmen, die Auftragsverarbeiter einsetzen, ergeben sich keine besonderen neuen Verpflichtungen, da die Regelungen der EU-DSGVO die derzeitigen Anforderungen des BDSG nahezu vollständig übernommen.
Bei Verstößen gegen die Verpflichtungen der Art. 28 ff. EU-DSGVO drohen den für die Verarbeitung Verantwortlichen und den Auftragsverarbeitern nach Art. 83 EU-DSGVO Geldbußen in Höhe von bis zu 10 Millionen Euro oder 2% des gesamten weltweit erzielten Jahresumsatzes, je nachdem welcher Betrag höher ist. Dies ist eine empfindliche Verschärfung. Unternehmen sollten daher besonderes Augenmerk auf eine rechtskonforme Ausgestaltung legen.
Veröffentlicht am: 17. März 2016 | Autor: Felix Hudy	| Kategorie: Fachbeitrag
Tags: § 11 BDSG, Auftragsdatenverarbeitung, Datenschutz-Grundverordnung, EU-DSGVO

References: § 11
 § 11
 Art. 28
 § 11
 Art. 28
 Art. 3
 Art. 26
 Art. 28
 Art. 83
 § 11