Source: https://www.spiritlegal.com/de/aktuelles/details/auftragsdatenverarbeitung-adv-wenn-die-datenverarbeitung-ausgelagert-wird.html
Timestamp: 2017-01-17 06:48:12+00:00

Document:
Auftragsdatenverarbeitung (ADV): Wenn die Datenverarbeitung ausgelagert wird - SPIRIT LEGAL LLP RECHTSANWÄLTE
Auftragsdatenverarbeitung (ADV): Wenn die Datenverarbeitung ausgelagert wird
Wie können wir Ihnen helfen? Pflichtfeld Name*
Telefon: Pflichtfeld Ihre Nachricht*
Bei externer Datenverarbeitung kann ein ADV-Vertrag notwendig sein | © raumrot.com
Was zum Schutz von Unternehmens- und Kundendaten zu beachten ist
Ob in der Produktion von Waren, bei der Kundenbetreuung oder zur Bereitstellung zusätzlicher Dienstleistungen – viele Unternehmen lagern einzelne Arbeitsschritte oder sogar vollständige Geschäftsbereiche wie Callcenter an Dienstleister aus (Outsourcing) oder bedienen sich externer Hilfskräfte, um ihrem Leistungs- und Warenspektrum gerecht zu werden. In immer mehr Unternehmen machen sich die Beauftragung von Dienstleistern sowie flexible Beschäftigungsmodelle wie eine zeitlich begrenzte freie Mitarbeiterschaft bezahlt.
Gerade bei schwankender Auftragslage oder projektbezogener Arbeit ist die Beschäftigung von Freelancern und Mitarbeitern außerhalb eines festen Angestelltenverhältnisses besonders reizvoll. Allerdings stellt sich bei der Unterstützung durch externe Personen und Gesellschaften die Frage, wie sich die Daten und Geschäftsgeheimnisse des Auftraggebers und seiner Kunden vorschriftsgemäß im Sinne des Bundesdatenschutzgesetzes (BDSG) sichern lassen. Die nur punktuelle Bindung Dritter an das Unternehmen darf jedenfalls nicht dazu führen, dass im Umgang mit personenbezogenen Daten nachlässig umgegangen wird.
Datenweitergabe an Dritte zur Erledigung eigener Geschäftszwecke stellt meist eine Auftragsdatenverarbeitung dar
Wer zur effektiven Organisation von Datenmengen Cloud Computing wie Amazon Web Services, für die Analyse seines Website-Traffics Google Analytics, Piwik, Adobe Analytics oder ähnliche Tracking-Tools oder zur gezielten Bewerbung und Erweiterung seines Kundenstamms eine externe Marketingagentur einsetzt, dem dürfte das Schlagwort „Auftragsdatenverarbeitung“ (kurz: ADV) schon einmal über den Weg gelaufen sein.
Für all diese Formen der „Datenbearbeitung“ werden überwiegend Daten, die im Sinne des deutschen Datenschutzrechts als personenbezogene Daten zu bewerten sind, zu bestimmten Zwecken an Dritte weitergegeben. So erhalten beispielsweise E-Mail-Marketer, Zahlungsdienstleister oder andere Drittdienstleister vom beauftragenden Unternehmen für die auf Weisung zu erbringende Leistung Daten, die Rückschlüsse auf seine Kunden, Lieferanten oder Mitarbeiter zulassen. Zur Sicherung und zum Schutz dieser personenbezogenen Daten muss grundsätzlich ein schriftlicher Vertrag zur Auftragsdatenverarbeitung („ADV-Vertrag“ oder „Data Processor Agreement“) zwischen dem Unternehmen und dem beauftragten Dienstleister abgeschlossen werden. Ein solcher Vertrag muss die folgenden Mindestangaben enthalten:
Gegenstand und Dauer des Vertrags
Umfang, Art und Zweck der vorgesehenen Datenverarbeitung, Art der Daten und Kreis der davon betroffenen Personen
Technische und organisatorische Maßnahmen zu Datenschutz und -sicherheit
Vorschriften über die Berichtigung, Löschung und Sperrung von Daten
Festlegungen zu gesetzlichen datenschutzrechtlichen Pflichten (insbesondere Kontrollpflichten) des Auftragnehmers
Etwaige Befugnis zur Begründung von Unterauftragsverhältnissen
Kontrollrechte des Auftraggebers und Duldungs- und Mitwirkungspflichten des Auftragnehmers
Vorgehen bei Datenschutzverstößen und Datenpannen durch/bei Auftragnehmer
Weisungsbefugnisse des Auftraggebers gegenüber Auftragnehmer
Folgen der Auftragsbeendigung: Löschung Daten, Übergabe von Datenträgern
Dieser Katalog aus § 11 BDSG verdeutlicht, dass eine einfache Auftragserteilung, die zum Beispiel lediglich Leistungszeitraum, Leistungsziel und Vergütung klärt, in keinem Fall den gesetzlichen Anforderungen genügt. Vielmehr muss sich der Auftraggeber bereits bei der Auswahl des passenden Dienstleisters sowie bei den vertraglich festzulegenden Regelungen intensiv mit den datenschutzrechtlichen Anforderungen sowie den diesbezüglichen Gegebenheiten im eigenen Unternehmen auseinandersetzen.
Wer hier nachlässig arbeitet, riskiert, dass im Falle eines Datenlecks („Data Breach“) beim Dienstleister ein hohes Bußgeld für den Auftraggeber fällig wird. Verstöße gegen § 11 BDSG sind Ordnungswidrigkeiten nach § 43 Abs. 1 Nr. 2b BDSG, der Bußgeldrahmen des § 43 Abs. 3 BDSG ist individuell und soll den wirtschaftlichen Vorteil beim Auftraggeber abschöpfen. Berücksichtigt man dies, kann aus einer günstigen, aber nachlässig durchgeführten Beauftragung Dritter plötzlich wegen Datenschutzverstößen ein erhebliches Minusgeschäft resultieren. Vor dem Hintergrund, dass die vertragliche Absicherung der Auftragsdatenverarbeitung nach § 11 BDSG kein allzu kompliziertes Unterfangen ist, wäre das Eingehen eines solchen Risikos völlig unnötig.
Auch wenn spezialisierte Rechtsanwälte Unternehmen in der Vertragsgestaltung und bei datenschutzrechtlichen Bewertung von Beauftragungen Externer effektiv unterstützen können, spart es Geld und Zeit, wenn Entscheidungsträger im Unternehmens wissen, wann eine Vereinbarung zur Auftragsdatenverarbeitung abzuschließen ist und wann zum Beispiel eine bloße Verpflichtung auf das Datengeheimnis nach § 5 BDSG ausreichend ist, um ein adäquates Schutzniveau zu sichern.
Verpflichtung auf das Datengeheimnis oder Vertrag zur Auftragsdatenverarbeitung?
Eine bloße Verpflichtung auf das Datengeheimnis mit der Aussage, dass es
den bei der Datenverarbeitung beschäftigten Personen untersagt ist, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (vgl. § 5 BDSG)
soll häufig signalisieren, dass geltendes Datenschutzrecht beachtet und eingehalten wird. Diese Vereinbarung allein genügt jedoch in vielen Fällen nicht, sie hat für den Unterzeichner vor allem konditionierenden Charakter.
Unterscheidungskriterium für eine umfassende Sicherung der Beachtung datenschutzrechtlicher Vorgaben ist, ob eine personell-organisatorischen Einheit zwischen Beauftragten und dem beauftragenden Unternehmen besteht. Diese Einheit ist regelmäßig dann gegeben, wenn ein Unternehmen zur Unterstützung seines Teams oder zur Erledigung bestimmter Projekt freie Mitarbeiter oder sonstige Angestellte beschäftigt. Zwar sind diese Mitarbeiter strenggenommen wie beauftragte Dritte „externe Unterstützer“, die nach Weisungen des Unternehmens Aufgaben erledigen, dennoch werden sie der Betriebsorganisation des Unternehmens zuzuordnen und voll in die Unternehmensstruktur integriert. In derartigen Fällen genügt es, einen entsprechenden kurzen Passus zum Datengeheimnis in den Freelancer-Vertrag aufzunehmen.
Es bleibt zu bedenken, dass auch externe Dienstleister, mit denen das Unternehmen gegebenenfalls einen Auftragsdatenverarbeitungsvertrag abschließt, Freelancer oder freie Mitarbeiter einbinden können. In diesen Fällen muss die unterstützende Datenverarbeitung durch diese Mitarbeiter nicht über einen weiteren Auftragsdatenverarbeitungsvertrag abgesichert werden. Hat der Auftragnehmer seine externen Mitarbeiter ordnungsgemäß auf das Datengeheimnis verpflichtet, ist weder ein weiterer ADV-Vertrag noch eine Erlaubnis zur Unterbeauftragung des Freelancers als Subunternehmer notwendig.
Nur bei Weisungsbefugnis Auftragsdatenverarbeitung, sonst Funktionsübertragung
Ob ein ADV-Vertrag abzuschließen ist, hängt vor allem vom Vorliegen einer Weisungsgebundenheit ab. Dahinter versteckt sich die Frage, ob der Auftragnehmer vom Auftraggeber zur Erledigung seiner Geschäftszwecke unterstützend in seinem Namen herangezogen wird und insbesondere für die Verwendung personenbezogener Daten nur auf seine Weisungen hin arbeiten darf (Auftragsdatenverarbeitung), oder ob dem Auftragnehmer eine eigene Handhabe und Entscheidungsbefugnis zum Umgang mit den Daten eingeräumt wird (Funktionsübertragung).
Ist Letzteres der Fall, so ist meist nicht von einer Verarbeitung von Auftragsdaten auszugehen. Vielmehr erhält der Dienstleister Daten, die er selbst und eigenständig auch für sich nutzen darf und man spricht von einer „Funktionsübertragung“. Beispielsweise ist dies anzunehmen, wenn Daten zur weiteren Verarbeitung oder Aufbereitung an Dritte gesendet werden („Lettershops“, aber auch beim sogenannten „Adresshandel“), oder bei der Übermittlung von Patientendaten an Spezialkliniken oder Fachärzte im medizinische Umfeld.
Im Übrigen wird im Fall einer Funktionsübertragung die Verantwortlichkeit für die übermittelten Daten an das Unternehmen abgegeben, das die Daten empfängt. Aufgrund dessen kann auf einen Auftragsdatenverarbeitungsvertrag verzichtet werden, der grundsätzlich zur vertraglichen Regelung der sonst bestehenden Verantwortlichkeiten notwendig ist. Allerdings muss auch bei der Funktionsübertragung die zulässige Übermittlung von personenbezogenen Daten abgesichert sein. Dies kann durch die direkte Einwilligung der Personen, deren Daten weitergegeben werden, oder auf Basis der gesetzlichen Erlaubnisregelungen erfolgen.
Sollen Dienstleister beauftragt werden, die nicht in der Europäischen Union (EU) oder dem Europäischem Wirtschaftsraum (EWR) ansässig sind, können faktisch die Voraussetzungen für eine Auftragsdatenverarbeitung vorliegen. Allerdings muss aufgrund der abweichenden Sicherheitsstandards in internationalen Drittländern (außerhalb der EU und des EWR) auf andere Regelungssysteme zurückgegriffen werden.
Aufgrund der Komplexität und Einzelfallabhängigkeit der Auftragsdatenverarbeitung empfiehlt es sich, im Zweifel einen spezialisierten Rechtsanwalt oder Datenschutzbeauftragten hinzuzuziehen. Bei Spirit Legal LLP helfen unter anderem Peter Hense und Katja Rengers, Haftungsfälle durch vorsorgende Regelungen im Datenschutzbereich zu vermeiden und Bußgeldern und Schadensersatzzahlungen vorzubeugen.
Katja Rengers
Rechtsanwältin, Zertifizierte Datenschutzbeauftragte (TüV)	Datenschutz & Datensicherheit
Katja Rengers ist Rechtsanwältin bei Spirit Legal LLP in Leipzig. Als zertifizierte Datenschutzbeauftragte (TÜV) liegt ihr Schwerpunkt in den Bereichen Datenschutz, Datensicherheit, Information Governance, Wettbewerbs- und Markenrecht. Dabei berät sie vor allem Unternehmen in Tourismus, Hotellerie und E-Commerce.
Artikel erschienen am 25.02.2015 von
2 Kommentare	Jetzt kommentieren!
Spirit Legal LLP NewsletterHier anmelden:
Vorname (optional) Nachname (optional) Sie möchten den Newsletter von Spirit Legal LLP nicht mehr erhalten? Dann melden Sie sich einfach hier ab.
2017 (2) 2016 (36) 2015 (41) 2014 (20) vorherigen Artikel lesen
Kommentar von Ass. iur. Jasmin Coeln | 18.07.2016
Hallo Frau Rengers,
ich habe eine Frage zum Thema Freie Mitarbeiter und Auftragsdatenverarbeitung. Sowohl aus Ihrem Artikel als auch aus dem Tätigkeitsbericht 2013/2014 des Landesamtes für Datenschutzaufsicht, entnehme ich, dass die datenschutzrechtliche Einordnung von solchen freien Mitarbeitern eines Unternehmens im Wesentlichen davon abhängt, ob der Externe/Freie nach den Vorgaben und unter der Aufsicht der verantwortlichen Stelle, vergleichbar den festangestellten Mitarbeitern (z. B. zur Bewältigung von Arbeitsspitzen), tätig wird, oder ob der Externe/Freie auf weitgehend eigenständiger Basis seine Dienstleistungen für die verantwortliche Stelle erbringt (z. B. beauftragt mit Programmierung und Wartung von spezieller Software). Im letzteren Fall wäre eine vertragliche Beauftragung des Externen nach § 11 BDSG das richtige Mittel nach dem BDSG, im ersteren Fall eine Verpflichtung nach § 5 BDSG auf das Datengeheimnis.
Gilt dies nur im datenschutzrechtlichen Sinne oder auch im arbeitrechtlichem Sinn. Werden die freien Mitarbeiter nicht automatisch zu Scheinselbständigen, wenn sie nach den Vorgaben und unter Aufsicht der verantwortlichen Stelle tätig sind. Ich halte die Grenze für fließend.
Ich freue mich über Ihre Rückmeldung, Kommentar von Katja Rengers | 20.07.2016
Wie mein Artikel bereits darstellte und auch den Tätigkeitsberichten der Landesdatenschutzbehörden zu entnehmen ist, muss in Punkto Freelancer/freie Mitarbeiter zunächst in datenschutzrechtlicher Hinsicht abgewogen werden, inwiefern diese in die eigene Unternehmensstruktur eingeflochten sind.
Die starke Integration eines Freelancers ins eigene Unternehmen spricht für eine Verpflichtung dieser Person auf das Datengeheimnis (Abschluss ADV-Vertrag überwiegend abzulehnen), muss jedoch nicht bedeuten, dass dieser neben dem eigenen Unternehmen seine Arbeitskraft nicht auch noch bei anderen Betrieben anbieten kann. Grundsätzlich ist es möglich, dass der freie Mitarbeiter also auch bei anderen Auftraggebern tätig wird. Zugehörigkeit im datenschutzrechtlichen Sinne hat demnach nicht unweigerlich auch Auswirkungen auf die arbeits-/steuerrechtliche Stellung eines freien Mitarbeiters. Insbesondere dürfte in diesen Fällen eine Scheinselbstständigkeit des freien Mitarbeiters wohl auszuschließen sein.
Kurzum: Es ist strikt zwischen den datenschutzrechtlichen und arbeits-/steuerrechtlichen Belangen zu trennen. Demzufolge ist nach meinem Dafürhalten auch der Schluss unzutreffend, dass der auf das Datengeheimnis verpflichtete (freie) Mitarbeiter aufgrund seiner Einbindung in die Unternehmensstruktur quasi automatisch zu einem Scheinselbstständigen wird. Einen Kommentar schreiben
Pflichtfeld Name* Pflichtfeld E-Mail (nicht veröffentlicht)* Pflichtfeld Kommentar* Sicherheitsfrage*
Bitte rechnen Sie 5 plus 4.
Rabattangaben
Sperrabrede
Exklusivitätsklausel
§ 8 MarkenG
§75f HGB
Ratenparität
Zustellbevollmächtigter
EU-Kosmetik-Verordnung
Markensperre
§ 24 MarkenG
Tipppfehlerdomain
selbstanlageverfahren
Spirit Legal LLP hat 4.72 von 5 Sterne | 45 Bewertungen auf ProvenExpert.com +49 700 11122777 (International)

References: § 11
 § 11
 § 43
 § 43
 § 11
 § 5
 § 5
 § 11
 § 5

§ 8

§75

§ 24