Source: https://www.activemind.de/datenschutz/adv/
Timestamp: 2017-07-25 16:33:24+00:00

Document:
Auftragsdatenverarbeitung (Anleitung & Tipps) | activeMind AG
Auftragsdatenverarbeitung für UnternehmenHome » Datenschutz » ADV
Ob Cloud-Computing, CRM-System, Newsletter oder technische Wartung – sobald personenbezogene Daten im Auftrag weisungsabhängig erhoben, verarbeitet oder genutzt werden, liegt eine Auftragsdatenverarbeitung (ADV) vor. Damit bei einer solchen Verarbeitung von Daten im Auftrag stets der Datenschutz gewährleistet ist, sieht der deutsche Gesetzgeber strenge Auflagen vor. Auf dieser Seite erfahren Sie, in welchen konkreten Fällen es sich um eine Auftragsdatenverarbeitung handelt, wenn Dienstleister mit Daten Ihres Unternehmens in Berührung kommen. Sie lernen Ihre Pflichten als Auftraggeber oder Auftragnehmer bei der ADV kennen und erhalten Praxistipps sowie Vorlagen für eine datenschutzkonforme Verarbeitung von Daten im Auftrag. Effektive Lösungen rund um die Auftragsdatenverarbeitung
Auftragnehmer: So werden Sie als Dienstleister fit für die ADV
Muster: Auftragsverarbeitungs-Vertrag auf Basis der DSGVO
Gesetzliche Grundlagen für die Auftragsdatenverarbeitung
Eines der datenschutzrechtlichen Grundprinzipien ist das sogenannte Verbot mit Erlaubnisvorbehalt. Danach ist jeglicher Umgang mit personenbezogenen Daten ohne Rechtsgrundlage verboten. Eine solche Rechtsgrundlage kann im jeweiligen Fall insbesondere sein
Die Auftragsdatenverarbeitung beinhaltet eine Privilegierung des Datenaustauschs zwischen Unternehmen und Dienstleister. Denn gemäß § 3 Abs. 8 Bundesdatenschutzgesetz (BDSG) werden Personen und Stellen, die im Inland oder in einem anderen Mitgliedstaat der EU bzw. des EWR personenbezogene Daten im Auftrag verarbeiten, nicht als Dritte behandelt. Die Person oder Stelle wird vielmehr rechtlich so behandelt, als wäre sie Teil des Unternehmens und partizipiert an dessen rechtlichen Datenverarbeitungsgrundlagen. Mit anderen Worten: Das Prinzip der Verarbeitung von Daten im Auftrag ermöglicht es, die Berechtigung zur Verarbeitung der personenbezogenen Daten vom Auftraggeber auf den Auftragnehmer bzw. Dienstleister zu übertragen.
Achtung: Dieses Privileg der Auftragsdatenverarbeitung gilt nicht für Datenverarbeitungen in Drittstaaten, also Staaten außerhalb der EU und des EWR. Hier ist eine zweistufige Prüfung anzuwenden (vgl. auch der Beschluss des Düsseldorfer Kreises von September 2013). Zu betonen ist außerdem, dass es im Datenschutzrecht kein Konzernprivileg gibt. Rechtlich selbständige Unternehmen innerhalb eines Konzerns oder eines Verbandes, die weisungsabhängig Dienstleistungen für Konzerngesellschaften erbringen, sind wie ein externer Auftragnehmer zu behandeln.
Bei einer Auftragsdatenverarbeitung erhebt, verarbeitet oder nutzt ein Dienstleister (Auftragnehmer) personenbezogene Daten der verantwortlichen Stelle (Auftraggeber) weisungsabhängig im Auftrag.
Ausschlaggebend ist, dass es sich bei den Daten, mit denen der Dienstleister arbeitet, um personenbezogene Daten handelt und dass er diese Daten in irgendeiner Form erhebt, verarbeitet oder nutzt. Entscheidend ist ferner, dass der Dienstleister weisungsgebunden ist, d. h. dem Auftraggeber sozusagen als verlängerter Arm zuarbeitet.
Typische Fälle einer Auftragsdatenverarbeitung sind die externe Lohn- oder Gehaltsabrechnung, die Datenträgerentsorgung, der Versand eines Newsletters durch eine Agentur oder das Nutzen von Cloud-Diensten.
Eine Auftragsdatenverarbeitung liegt gemäß § 11 Abs. 5 BDSG ebenso bei der Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen vor, sobald ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann. Der typische Fall ist hier der externe IT-Dienstleister oder Webhoster.
Praxistipp: Um festzustellen, mit welchen Dienstleistern ein Auftragsdatenverarbeitungsverhältnis vorliegt, hat es sich als praktikabel erwiesen, aus der Buchhaltung eine Abrechnungsliste anzufordern. Prüfen Sie anhand dieser Liste, wer personenbezogene Daten verarbeitet. Mit diesen Dienstleistern ist ggf. ein Vertrag zur Auftragsdatenverarbeitung zu schließen (siehe unten).
Wann liegt keine Auftragsdatenverarbeitung vor?
Keine Auftragsdatenverarbeitung liegt dann vor, wenn der Dienstleister eigenverantwortlich mit den ihm anvertrauten Daten umgeht (sogenannte Funktionsübertragung). Der Auftraggeber überlässt dem Dienstleister die inhaltliche Ausgestaltung der Datenverarbeitung. Über Weisungs- und Kontrollrechte gegenüber dem Dienstleister verfügt der Auftraggeber weder rechtlich noch tatsächlich. Klassische Fälle sind die Finanz-, Steuer- oder Unternehmensberatung.
Umstritten ist, ob eine Auftragsdatenverarbeitung auch dann vorliegt, wenn der Zugriff auf Daten nur in beiläufiger Weise erfolgen kann, wie dies zum Beispiel bei Reinigungskräften oder Kurierdiensten der Fall ist. Hier sollte eine Einzelfallprüfung erfolgen.
Wer ist bei der Auftragsdatenverarbeitung verantwortlich?
Bei der Verarbeitung von Daten im Auftrag hat der Auftraggeber stets Sorge zu tragen, dass mit den Daten sorgsam umgegangen wird. Die Vorschriften finden sich in § 11 BDSG, der die Auftragsdatenverarbeitung regelt. So besteht gemäß § 11 Abs. 2 BDSG eine gesetzliche Pflicht, den Auftragnehmer sorgfältig auszuwählen und einen Vertrag zur Auftragsdatenverarbeitung mit ihm abzuschließen. Zugrunde gelegt wird dabei die Sorgfalt eines ordentlichen Geschäftsmannes gemäß § 43 Abs. 1 GmbHG.
Dies ist insbesondere im Hinblick auf eine mögliche Haftung relevant. Bei Vernachlässigung der Sorgfalt, die ein Geschäftsführer der Gesellschaft schuldet, haftet er dieser gegenüber mit seinem Privatvermögen. Daneben erfüllt eine vorsätzliche Pflichtverletzung den Straftatbestand der Untreue gemäß § 266 StGB.
Wie funktioniert die Auftragsdatenverarbeitung?
Um eine Verarbeitung von Daten im Auftrag datenschutzkonform umzusetzen, sind mehrere Schritte notwendig. Mit dem Dienstleister ist zunächst ein Vertrag zur Auftragsdatenverarbeitung zu schließen. Dies kann als Einzelvertrag oder als Anlage zum Hauptvertrag erfolgen. Die einzelnen Rechte und Pflichten beider Parteien regelt § 11 BDSG. Die dort aufgeführten Punkte müssen im ADV- Vertrag enthalten sein, sie können und sollten einzelfallbezogen vertraglich ausgestaltet werden:
die nach § 9 BDSG zu treffenden technischen und organisatorischen Maßnahmen;
die nach § 11 Absatz 4 BDSG bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen;
Vor Aufnahme der Datenverarbeitung – und danach regelmäßig – muss das Vorhandensein ausreichender technischer und organisatorischer Maßnahmen geprüft werden.
Für die einzelnen Schritte bei der Auftragsdatenverarbeitung stellen wir Ihnen eine Anleitung mit entsprechenden Mustern und Vorlagen zur Erstkontrolle und zum ADV-Vertrag bereit. Gerne übernehmen wir auch die notwendigen Kontrollen für Auftraggeber und machen Auftragnehmer fit für die Auftragsdatenverarbeitung. Wenn Sie eine intensive Schulung Ihres betrieblichen Datenschutzbeauftragten bevorzugen, empfehlen wir Ihnen das Seminar zu Auftragsdatenverarbeitung & Verfahrensverzeichnis an der activeMind Akademie.
Jetzt Datenschutzhinweis aufsetzen Sie wollen den Datenschutz lieber in professionelle Hände legen? Dann bestellen Sie uns jetzt zum Festpreis als externen Datenschutzbeauftragten!
teilen mitteilen teilen 1 teilen 1 twittern teilen e-mail info Hauptsitz	activeMind AG

References: § 3
 § 11
 § 11
 § 11
 § 43
 § 266
 § 11
 § 9
 § 11