Source: https://www.dr-datenschutz.de/fachbeitraege/auftragsdatenverarbeitung/
Timestamp: 2020-07-04 15:46:53+00:00

Document:
13. Juli 2011 |	69 Kommentare | Von Dr. Datenschutz
Ob eine Auftragsdatenverarbeitung vorliegt, richtet sich ausschließlich nach rechtlichen Vorgaben und kann nicht – wie teilweise praktiziert – vertraglich festgelegt bzw. ausgeschlossen werden. Auftragsdatenverarbeitung ist die Datenverarbeitung im Auftrag durch einen Dritten, bei der die Verantwortung für die ordnungsgemäße Datenverarbeitung beim Auftraggeber verbleibt. Der Auftragnehmer (Dienstleister) wird in diesen Konstellation nur unterstützend tätig und ist bildlich als verlängerter Arm des Auftraggebers anzusehen, also in seinen Befugnissen im Umgang mit den überlassenen Daten erheblich eingeschränkt (§ 11 Abs. 3 S.1 BDSG). Eine Weitergabe von Daten im Rahmen einer Auftragsdatenverarbeitung nach § 11 BDSG stellt keine Übermittlung von Daten gemäß § 3 Abs. 4 Nr. 3 BDSG dar und ist daher unter erleichterten Voraussetzungen möglich.
Mehr zum Thema: Auftragsdatenverarbeitung, Datenübermittlung, EU, Funktionsübertragung, Technische und organisatorische Maßnahmen, unsicheres Drittland, Vertragsinhalt
69 Kommentare zu diesem Beitrag
Erstreckt sich der Datenschutz auch auf nicht personengebundene Daten, z.B. auf Infrastrukturdaten?
Dietrich Ostermann am 8. Juni 2012, 11:43 Uhr
PaperShred am 9. August 2012, 08:34 Uhr
ein externer Anbieter soll die Eignungstest in einem Unternehmen durchführen und speichert die Werte der Teilnehmer ebenfalls bei sich.
Auftragsdatenverarbeitung nötig?
123 am 14. Januar 2013, 17:01 Uhr
Bei Eignungstests richtet es sich unter anderem danach, ob das Unternehmen auch das Testverfahren festlegt und der externe Anbieter von den Weisungen im Umgang mit den personenbezogenen Daten abhängig ist. Ist dies der Fall, kann eine Auftragsdatenverarbeitung vorliegen.
Dr. Datenschutz am 16. Januar 2013, 09:36 Uhr
Fallen der Paketdienst und die Paketverfolgung ebenfalls unter die Auftragsdatenverarbeitung oder sind diese durch das Postgeheimnis so abgedeckt, dass ein Vertrag zur Auftragsdatenverarbeitung entfällt?
bDSB am 24. Januar 2013, 23:13 Uhr
Die Übermittlung personenbezogener Daten an eine Paketdienst und auch die Packetverfolgung (z.B. DHL) ist grundsätzlich von § 28 Abs.1 Nr.1 BDSG gedeckt, da die Übermittlung zur Durchführung eines Vertrages erforderlich ist (z.B. Warenbestellungen im Versandhaus). Daneben schützt das Postgeheimnis aus § 39 PostG die personenbezogenen Daten auch während des Postverkehrs.
Dr. Datenschutz am 25. Januar 2013, 13:11 Uhr
Gehe ich Recht in der Annahme, dass Anprechpartner beim Kunden / Kontaktperson Einkauf mit Name, Telefonnummer, Email-Adresse nicht ohne deren Einwilligung in ein unsicheres Drittland, beispielsweise zur Datenverarbeitung gegeben werden dürfen?
Sabine Müller am 25. Juli 2013, 16:34 Uhr
Grundsätzlich hat die Datenübermittlung in unsichere Drittländer zu unterbleiben, vgl. § 4b Abs.2 S.2 BDSG. Jedoch sind in § 4c BDSG bestimmte Ausnahmen geregelt unter denen eine Datenübermittlung in unsichere Drittländer zulässig sein kann. Dies ist u.a. der der Fall, wenn der Betroffene eingewilligt hat oder die Übermittlung dem Abschluss oder der Erfüllung eines Vertrages dient und der Betroffene darüber informiert ist, vgl. § 4c Abs.1 Nr.1-3 BDSG. Soweit ein Vertrag unter Einbeziehung der EU-Standardvertragsklauseln oder Safe Harbor für US-Unternehmen geschlossen wird oder verbindliche Unternehmensregelungen (Binding Corporate Rules) getroffen werden, könnten auch dann personenbezogene Daten in ein unsicheres Drittland übermittelt werden, da somit das erforderliche Schutzniveau geschaffen wird. Dazu kann auch nach einer Genehmigung durch die Aufsichtsbehörde eine Übermittlung stattfinden.
Dr. Datenschutz am 26. Juli 2013, 14:40 Uhr
Ist es auch notwendig, mit einem Dienstleister in der EU (im konkreten Fall Italien) einen Adv zu schließen?
Jana Ludwig am 30. Juni 2014, 22:28 Uhr
ADV sind nicht nur innerhalb Deutschlands, sondern auch bei Datenflüssen innerhalb der EU anwendbar. Wenn also ein Dienstleister in Italien für ein Unternehmen in Deutschland Daten weisungsgebunden verarbeiten soll, ist prinzipiell ein Vertrag nach § 11 BDSG zu schließen, mit allen Konsequenzen. Schwierig kann hierbei sein, dass der Auftragnehmer bei der Verarbeitung bestimmte Grenzen beachten muss und der Auftraggeber den Auftragnehmer kontrollieren können muss.
Mehr zu internationalem Datenschutz erfahren Sie unter anderem über folgenden Link: https://www.dr-datenschutz.de/internationaler-datenschutz/
Dr. Datenschutz am 1. Juli 2014, 10:16 Uhr
Wir sind ein deutsches Unternehmen und wir wollen eine Software zur Verwaltung von Kundendaten bei einem amerikanischen Unternehmen „mieten“, d.h. eine Cloud-Lösung nutzen. Die Rechenzentren stehen in Großbritannien und den USA. Das Unternehmen ist dem Safe Harbor Abkommen beigetreten.
G. Weber am 4. November 2014, 02:22 Uhr
Wenn das Unternehmen zusichern würde, dass die Datenverarbeitung ausschließlich in Großbritannien vorgenommen wird, kann ein Vertrag zur ADV abgeschlossen werden. Findet die Datenverarbeitung außerhalb der EU statt, ist § 11 BDSG nicht anwendbar und eine gesetzliche Ermächtigungsgrundlage für den Datentransfer (z. B. § 28 oder § 32 BDSG) notwendig.
Dr. Datenschutz am 5. November 2014, 11:44 Uhr
Ich überlege ob es sinnvoll ist eine ADV mit einem Logistikdienstleister abzuschließen, der große Mengen Akten mit personenbezogenen Informationen zwischen Unternehmens-Standorten transportiert.
UserOne am 1. Dezember 2014, 11:15 Uhr
Der Abschluss eines Vertrags zur Auftragsdatenverarbeitung ist in diesem Fall nicht nur sinnvoll, sondern zwingend notwendig, um ein mögliches Bußgeld zu vermeiden. Weitere Informationen zu Detailfragen des Vertrags und den erforderlichen technischen und organisatorischen Maßnahmen erhalten Sie von Ihrem Datenschutzbeauftragten.
Dr. Datenschutz am 1. Dezember 2014, 13:54 Uhr
Holy am 3. Februar 2015, 14:38 Uhr
Liegt bei einem Strom-/Gasversorger eine Auftragsdatenverarbeitung vor, wenn Kunden über Vergleichsportale vermittelt werden? Die Vergleichsportale erheben personenbezogene Daten und leiten diese an das Unternehmen weiter. Daraufhin werden die Kunden mit Strom/Gas beliefert.
Muss ein ADVV zwischen Versorger und Vergleichsportal geschlossen werden?
MW am 11. Mai 2015, 13:27 Uhr
Das lässt sich so pauschal nicht beantworten, insbesondere ohne Kenntnis etwaiger Verträge und der übermittelten Daten, usw.
Dr. Datenschutz am 12. Mai 2015, 11:49 Uhr
Daten. Im Internet gibt es nur Checklisten für „danach“, d.h. wenn ich bereits festgelegt habe, dass es eine ADV ist.
MK am 30. Juni 2015, 15:53 Uhr
Bei der Abgrenzung einer Auftragsdatenverarbeitung von einer Datenübermittlung kommt es jeweils auf den Einzelfall an, deshalb wird eine Checkliste schwer zu finden sein. Maßgeblich ist der Vertragsinhalt und insbesondere die Befugnisse des Dienstleisters. Dabei steht dem Dienstleister im Rahmen der Auftragsdatenverarbeitung grundsätzlich kein Ermessen zu, der Dienstleister ist also strikt an die Weisungen des Auftraggebers gebunden. Wie die Abgrenzung im Einzelnen vorzunehmen ist und welche Kriterien dabei maßgeblich sind können Sie in unseren Blogartikeln hierzu nachlesen:
Dr. Datenschutz am 2. Juli 2015, 13:54 Uhr
Hallo, ein Softwareanbieter wird unsere Mitarbeiter zu einer Software schulen. Dafür sollen Daten (Name, Mailadresse) unserer Mitarbeiter zur Organisation der Schulung an den Anbieter übermittelt werden. Ich wurde nun gefragt, ob ein ADV-Vertrag erforderlich ist. M.E. nicht, da es sich nicht um eine regelmäßig wiederkeherende Verarbeitung pb. Daten handelt. Also ich finde, dass der ADV-Vertrag zu streng ausgelegt wäre. Allerdings feht mir die richtige Begründung. Können Sie mir dazu weiterhelfen?
Datenschützer am 19. August 2015, 08:34 Uhr
In Ihrem Falle dürfte der Abschluss eines ADV-Vertrages erforderlich sein. Es spielt bei der Bewertung keine Rolle, ob es sich um eine regelmäßig wiederkehrende Verarbeitung personenbezogener Daten handelt. Eine Datenverarbeitung im Auftrag wird in der Regel auch bei einmaliger Datenverarbeitung vorliegen, wenn die weiteren Voraussetzungen gegeben sind.
Dr. Datenschutz am 24. August 2015, 14:13 Uhr
Ich will Fahrzeugdaten mittels Auswertung von Fahrtenbüchern oder durch zeitweisem Einbau von GPS-Datenloggern erfassen und auswerten. Diese fahrzeugbezogenen Daten könnten durch den Auftraggeber anhand des Kennzeichens ggf. den Personen zugeordnet werden (Fahrzeug M-XY 123 fuhr am 1.4. von München nach Nürnberg, Person Mustermann hatte am 1.4. das Fahrzeug). Brauche ich einen ADV-Vertrag wenn nur die Fahrzeugdaten aber nicht die Personendaten bei mir vorliegen?
stefan am 20. August 2015, 13:55 Uhr
Sofern Sie Daten, die einen Personenbezug zulassen, an einen Dritten übermitteln ist zu untersuchen, ob der Dritte diese im Rahmen einer Auftragsdatenverarbeitung oder einer Funktionsübertragung verarbeitet. Wenn Sie die Daten für sich selbst erheben, sind Sie die verantwortliche Stelle, der Dritte, der diese Daten verarbeitet ist dann ggf. Auftragnehmer. Oder sind Sie vielmehr der Auftragnehmer und erheben Daten für den, wie Sie selbst sagen „Auftraggeber“?
Dr. Datenschutz am 24. August 2015, 13:46 Uhr
ich habe ein Rechenzentrum das auf meine personenbezogenen Daten Zugriff hat, dafür habe ich auch einen Vertrag zur ADV, wenn der selbe Dienstleister nun auch noch ein Ticketsystem mit betreut brauche ich dazu dann einen weiteren Vertrag? Oder kann man das eventuell mit einen Hauptvertrag abhandeln, wo dann pro Leistung eine Art Anhang oder Serviceschein dazu kommt?
Peter am 3. November 2015, 15:51 Uhr
Da wir die der ADV zugrundeliegenden Verträge nicht kennen, erschwert dies die Beantwortung Ihrer Frage. Grundsätzlich brauchen Sie auch für den neuen Service „Ticketsytem“ einer eigenständigen ADV gem. § 11 BDSG. Die können Sie dann als Anlage zum Hauptvertrag nehmen. Wichtig ist, dass sie für den Vertragsgegenstand „Ticketsystem“ abgeschlossen ist. Sie können auch grundsätzlich in der ADV auf den Vertragsgegenstand des Hauptvertrages (oder der Verträge bzw. Aufträge) verweisen. Alternativ könnten Sie einen ADV-Rahmenvertrag erstellen, wobei die einzelnen Aufträge bzw. Verträge dann als Anlage „Konkretisierung des Auftragsgenstandes“ hinzugefügt werden. In diese Anlage müssen folgende Informationen aufgenommen werden: der Auftragsgegenstand, die Art der Daten sowie die betroffenen Personengruppen.
Dr. Datenschutz am 5. November 2015, 10:32 Uhr
Wir, eine GmbH wurden vor einigen Monaten von einem US-Investor aufgekauft. Dieser möchte nun in unserem Unternehmen und auch weltweit eine Whistleblower Software etablieren. Sitz des Herstellers/Callcenter/Webserver sind die USA. Auf seiner Website erklärt der Hersteller dass er „Safe Harbour“ Conform arbeitet und Auswertungen oder Berichte nur an die „zuständige Person“ des Unternehmens weiterleitet. Wie können wir sicherstellen dass die Daten konform unserer DS Gesetze verarbeitet werden? Safe Harbour ist doch sicherlich kein Gütesiegel dafür?! Wer ist für einen evtl. ADV unser Ansprechpartner? Ist es die amerikanische GF unseres Unternehmens oder der Whistleblower Hotline Betreiber?
Ray am 9. Dezember 2015, 16:39 Uhr
Der Europäische Gerichtshof (EuGH) hat am 06.10.2015 die sogenannte Safe-Harbor-Regelung für ungültig erklärt. Deswegen kann sich der Dienstleister nicht auf Safe Harbor berufen, wenn er personenbezogene Daten aus Deutschland verarbeitet. Als Alternativen kommen prinzipiell drei Lösungen in Betracht: EU-Standardverträge, Binding Corporate Rules, Einwilligung (Näheres finden Sie in unserem Artikel). Um beurteilen zu können, wer Ihr Ansprechpartner ist, sind weitere Informationen notwendig: insbesondere die genauen Rechtsverhältnisse, wer ist die verantwortliche Stelle usw. Wenn kein betrieblicher Datenschutzbeauftragter bestellt ist, der Ihre Fragen beantworten kann, können Sie sich auch an die zuständige Aufsichtsbehörde wenden, die Sie hier finden können.
Dr. Datenschutz am 11. Dezember 2015, 11:16 Uhr
Habe von Praxis Röntgenbilder abholen lassen. Leider haben wir einen Auftragsdatenverarbeitung Vertrag nicht vereinbart. Nun kommt raus,dass die beauftragte Recycling Firma hat kein Auftragsdatenverarbeitung § 11 BDSG
Urovision am 18. Januar 2016, 13:09 Uhr
Zunächst ist zutreffend beschrieben, dass die Datenverarbeitung durch einen Dienstleister (hier die Vernichtung von Röntgenbildern) den Abschluss eines Auftragsdatenverarbeitungsvertrags im Sinne des § 11 BDSG voraussetzt. Die Praxis hat sich als verantwortliche Stelle für den Datenschutz um den Vertragsabschluss zu kümmern. Vor dem Vertragsabschluss muss sich die Praxis beim Dienstleister von der Einhaltung der technischen und organisatorischen Maßnahmen überzeugen. Tut sie das nicht oder schließt sie keinen Auftragsdatenverarbeitungsvertrag ab, begeht sie eine Ordnungswidrigkeit, die von der Aufsichtsbehörde mit einem Bußgeld In Höhe von bis zu 50.000 Euro geahndet werden kann. Die konkrete Höhe liegt im Ermessen der Behörde und hängt von den Umständen des Einzelfalls ab. Auch ohne Name und Adresse sind die Röntgenbilder Gesundheitsdaten, die als sensible Daten besonders geschützt sind. Eine konkrete Rechtsberatung im Einzelfall ist über dieses Forum leider nicht möglich. Auf Grund des höheren Risikos für nicht unerhebliche Verletzungen des Persönlichkeitsrechts der betroffenen Patienten ist aber nicht auszuschließen, dass die Aufsichtsbehörde ein eher höheres Bußgeld festlegen könnte. Nach dem theoretischen Sachverhalt ist hingegen ein strafbares Verhalten nicht erkennbar.
Dr. Datenschutz am 19. Januar 2016, 14:33 Uhr
Ich kann nicht nachvollziehen, wieso Röntgenbilder ohne Namen oder Adresse geschützte Daten sind. Hier ist doch kein konkreter Bezug zu einer betreffenden natürlichen Person erkennbar.
Zimmermann am 27. November 2017, 11:41 Uhr
Wie sieht das ganze bei Agenturen aus, die Facebook (Fanseiten) Seiten für Unternehmen betreuen. Kundendaten erhält so eine Agentur zwar nicht direkt, aber indirekt durch die Facebook Kommentare von anderen Kunden, die teilweise gelöscht werden müssen, wenn diese diffamieren oder rechtspopulistisch sind. Ist das ein „Verarbeiten“ der Agentur im Auftrag des Auftraggebers? Wenn der Vertrag alles streng vorgibt wäre hier ja eigentlich ein ADV notwendig, aber irgendwie sieht das ganze dann mit den TOMs iSd § 9 BDSG und Anlage und Facebook irgendwie komisch aus. Welche Rolle spielt hier Facebook in dieser Konstellation? Auch Auftragnehmer?
ricojur am 28. Februar 2016, 19:33 Uhr
Unternehmen sind bei Facebook genauso Nutzer wie eine natürliche Person die ein Facebook-Profil erstellt hat. Facebook stellt den Nutzern lediglich die Plattform zur Verfügung und räumt ihnen keinen Zugriff auf die Datenverarbeitung ein. Auch das VG Schleswig: (Az. 8 A 37/12, 8 A 14/12, 8 A 218/11) hat entschieden, dass ein Facebook Nutzer nicht für die Datenverarbeitung durch den Dienstanbieter Facebook verantwortlich gemacht werden kann. In Ihrer Konstellation hat daher weder das Unternehmen noch die Agentur Zugriff auf personenbezogene Daten der Facebook-Nutzer.
Dr. Datenschutz am 2. März 2016, 12:30 Uhr
Benötige ich auch einen Auftragsdatenverarbeitungsvertrag, wenn ich als Unternehmer meinem Kunden (Verbraucher) eine Cloud zur Verfügung stelle, in der dieser personenbezogene Daten speichern kann?
Charlotte Köpp am 10. März 2016, 10:54 Uhr
Auch natürliche Personen können verantwortliche Stellen im Sinne des Bundesdatenschutzgesetz sein, so dass dann theoretisch auch ein Vertrag zur Auftragsdatenverarbeitung abzuschließen wäre. Das BDSG findet allerdings keine Anwendung, wenn die Erhebung, Verarbeitung oder Nutzung ausschließlich für persönliche oder familiäre Tätigkeiten erfolgt. Damit grenzt das Gesetz einen Bereich persönlicher Lebensführung von der beruflichen oder geschäftlichen Sphäre ab. In der Regel dürfte daher mit Verbrauchern kein ADV-Vertrag abzuschließen sein, es sei denn die Tätigkeit liegt außerhalb dieses persönlichen oder familiären Bereichs.
Dr. Datenschutz am 11. März 2016, 14:44 Uhr
Hallo, wie sind denn bei einem Paketdienstleister gespeicherte Firmenadressdaten einzustufen? Für die vereinfachte Abwicklung stellt der Paketdienstleister einen Online-Zugang bereit, dort können Kundenadressen (in unserem Fall von Firmen-Kunden) abgespeichert und bei Bedarf zur Erstellung eines Versandetiketts wieder aufgerufen werden. Handelt es sich hierbei um ADV und ist ein Vertrag notwendig?
Q-Man am 15. März 2016, 13:48 Uhr
Zunächst sollten Sie genau prüfen, ob die von Ihnen an den Paketdienstleister übermittelten Daten überhaupt von datenschutzrechtlichen Vorschriften geschützt werden. Bei reinen Firmendaten ist dies nämlich nicht der Fall.
Dr. Datenschutz am 24. März 2016, 13:58 Uhr
Wirrwarr am 31. März 2016, 11:04 Uhr
Grundsätzlich sollten Sie den ADV-Vertrag zeitgleich mit dem Hauptvertrag abschließen. Wurde bereits ein Hauptvertrag geschlossen, ist es möglich, die ADV zu einem späteren Zeitpunkt in einem Ergänzungsvertrag zu regeln. Eine nachträglich abgeschlossene Vereinbarung zur ADV ist besser als keine Vereinbarung.
Dr. Datenschutz am 31. März 2016, 16:18 Uhr
Wirrwarr am 1. April 2016, 10:38 Uhr
Dass in bestimmten Fällen eine Vereinbarung über die Auftragsdatenverarbeitung abgeschlossen werden muss, ergibt sich aus § 11 BDSG. Verstoßen Sie gegen diese Pflicht, könnte ein böswilliger Vertragspartner, Kunde oder Wettbewerber dies bei der Aufsichtsbehörde melden.
Dr. Datenschutz am 4. April 2016, 10:23 Uhr
Wenn ich datenschutzwidriges Verhalten bei der Aufsichtsbehörde melde, bin ich böswillig? Interessante Perspektive…
Franz am 4. April 2016, 21:31 Uhr
Ist eine Vereinbarung zur Auftragsdatenverarbeitung nötig, wenn eine externer MA unterstützend in unserem Helpdesk tätig ist. Der MA kann personenbezogene Daten einsehen, anlegen und ggf ändern. Bislang wurde in diesen Fällen im Vertrag eine Geheimhaltung vereinbart.
Maria Müller am 19. April 2016, 22:05 Uhr
Schneider am 28. Juli 2016, 16:50 Uhr
Aus Beweisgründen sollten auch die Anlagen zu einem Hauptvertrag von den Parteien unterschrieben werden. So vermeiden Sie, dass der Vertragspartner später abstreitet, Kenntnis von einer Anlage dieses Inhalts gehabt zu haben.
Dr. Datenschutz am 12. August 2016, 10:18 Uhr
Guten Tag, als Softwarehaus halten wir regelmäßig für Softwareentwicklung und -wartung Kopien von Kundendatenbanken vor oder arbeiten auf Systemen des Kunden. Auch vergeben wir an externe Mitarbeiter (natürliche Person oder kleine Firmen) Unteraufträge, die im Projektgeschäft unsere Kunden betreuen. Aus diesem Zusammenhang heraus ergibt sich für mich folgende Fragestellung zur ADV:
dodon am 17. August 2016, 16:36 Uhr
Die Einordnung als Auftragsdatenverarbeiter ist stets im Einzelfall zu beurteilen. Anhaltspunkte, die für eine Auftragsdatenverarbeitung sprechen, sind unter anderem die Weisungsgebundenheit, die klare Definition der ausgelagerten Tätigkeit und der fehlende Gestaltungsspielraum. Allen voran ist jedoch die Frage zu beantworten, ob durch Sie oder Ihren Dienstleister personenbezogene Daten verarbeitet werden. Dieses wird insbesondere im Bereich der Softwarewartung auf Kundensystemen angenommen, wenn Sie in diesem Zusammenhang Zugriff auf darin verarbeitete personenbezogene Daten haben könnten. Soweit Sie sich externer Mitarbeiter bedienen, würde ich deren Stellung als Subauftragnehmer von der vertraglichen Ausgestaltung des Arbeitsvertrages abhängig machen. Erfolgt hier eine nahezu vollständige Eingliederung in die betriebliche Organisation Ihres Unternehmen, spricht dies eher gegen ein Subauftragnehmerverhältnis. Dieses ist allerdings, wie eingangs gesagt, im Einzelfall näher zu beurteilen.
Dr. Datenschutz am 18. August 2016, 13:17 Uhr
dodon am 22. August 2016, 16:41 Uhr
Hallo, zwischen dem Auftraggeber (Unternehmen) und dem Auftragsverarbeiter (Cloud Anbieter) wird eine ADV geschlossen. Der Vertrag zwischen dem Unternehmen und seinen Kunden, bedarf einer zusätzlichen Legitimationsgrundlage? Oder schließt das Unternehmen eine ADV mit den Kunden?
Charly am 27. September 2016, 23:39 Uhr
Ob ein Auftragsdatenverarbeitungsvertrag zwischen dem Unternehmen und seinen Kunden geschlossen werden muss, beurteilt sich nach der Art der Leistung die zwischen Unternehmen und Kunden geschlossen wurde, d.h. ob der Kunde dem Unternehmen personenbezogene Daten überträgt. In diesem Fall wird das Unternehmen in der Regel selbst nur Auftragnehmer im Auftragsdatenverarbeitungsverhältnis sein. Die Pflicht die Datenflüsse abzusichern obliegt gesetzlich dem Kunden (Auftraggeber). Allerdings sollte man bei kundenfreundlichem Vorgehen auch als Auftragnehmer den Kunden auf dessen Pflichten hinweisen.
Dr. Datenschutz am 11. Oktober 2016, 11:47 Uhr
Guten Tag, wir als Schweizer Firma lassen unser ERP-System i.S. einer Auftragsdatenverarbeitung (ausgelagertes RZ) von einem Dienstleister in Deutschland betreiben. Unsere deutsche Schwesterfirma (d.h. gleicher Eigentümer wie die Schweizer Firma) arbeitet auf demselben System. Ein Dientsleistungsvertrag besteht aber nur zwischen unserer Schweizer Firma und dem deutschen Outsourcing-Dienstleister. Entsteht dadurch für unsere deutsche Schwesterfirma eine Kontroll- und Dokumentationspflicht gegenüber dem deutschen Dienstleister oder eine Vertragspflicht gegenüber unserer Schweizer Firma?
bfrei am 29. September 2016, 09:28 Uhr
Eine abschließende rechtliche Einschätzung ist im Rahmen dieses Forums leider nicht möglich. Generell kann jedoch gesagt werden, dass die Frage, ob ein Auftragsdatenverarbeitungsverhältnis vorliegt sich, nicht nach der zivilrechtlichen Vertragsgestaltung richten muss. Datenschutzrechtlich kommt es vielmehr darauf an, ob ein Dienstleister Daten einer verantwortlichen Stelle in Form einer Auftragsdatenverarbeitung verarbeitet. Ob zivilrechtlich ein unmittelbares Vertragsverhältnis zwischen Auftraggeber (verantwortliche Stelle) und Auftragnehmer (Dienstleister) besteht, ist nachrangig.
Dr. Datenschutz am 30. September 2016, 10:55 Uhr
Pablo am 13. Februar 2017, 16:03 Uhr
Wenn eine starke Verschlüsselung eingesetzt wird und der Schlüssel im Unternehmen geheim gehalten wird, dann kann man durchaus argumentieren, dass die Daten ihren Personenbezug verlieren. Es müsste dann ausgeschlossen sein, dass das Rechenzentrum Kenntnisse von Daten erhält bzw. erhalten kann.
Dr. Datenschutz am 17. Februar 2017, 17:17 Uhr
Hallo, macht es Sinn als Auftragnehmer, auf einen Vertrag zur Auftragsdatenverarbeitung hinzuwirken, oder liegt dies in der Pflicht des Auftraggebers? Welche Konsequenzen könnten dem Auftragnehmer drohen, wenn ein solcher Vertrag nicht vorliegt und dennoch für den Auftraggeber pers. bez. Daten verarbeitet werden?
Caveman am 24. Februar 2017, 07:32 Uhr
Grundsätzlich ist es die Pflicht des Auftraggebers auf den Abschluss eines ADV-Vertrages hinzuwirken. Er ist verantwortliche Stelle für die Datenverarbeitung. Probleme für den Auftragnehmer können z.B. im Spannungsfeld Auftragsdatenverarbeitung/Funktionsübertragung entstehen. Vertragliche Regelungen sind hier auch für den Auftragnehmer vorteilhaft, damit Klarheit hinsichtlich der Verantwortlichkeit für die Datenverarbeitungen herrscht.
Dr. Datenschutz am 24. Februar 2017, 14:23 Uhr
Caveman am 1. März 2017, 12:09 Uhr
Strhlmn am 19. März 2017, 00:29 Uhr
Fred am 20. April 2017, 12:14 Uhr
Eine Zertifizierung (wie nach DIN 66399) entbindet nicht von der Pflicht, bei Vorliegen der Voraussetzungen einen Vertrag über die Auftragsdatenverarbeitung abzuschließen. Der schriftliche Vertrag ist rechtliche Grundlage der Auftragsdatenverarbeitung, wohingegen die Zertifizierung lediglich dazu dient, den Prüfungsaufwand beim Auftraggeber zu reduzieren. Den Auftraggeber treffen im Rahmen einer Auftragsdatenverarbeitung nämlich erhebliche Auswahl- und Kontrollpflichten. Nach § 11 Abs. 2 S. 1 BDSG hat er den Auftragnehmer unter besonderer Berücksichtigung der Eignung der vom Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Darüber hinaus muss der Auftraggeber gemäß § 11 Abs. 2 S. 4 BDSG kontrollieren, ob der Auftragnehmer die getroffenen technischen und organisatorischen Maßnahmen einhält. Die regelmäßige Abfrage gültiger externer Zertifikate kann in diesem Zusammenhang ein angemessenes und ausreichendes Mittel der Auswahl sowie Kontrolle sein.
Dr. Datenschutz am 21. April 2017, 10:57 Uhr
Tim am 24. Mai 2017, 15:36 Uhr
In diesem Fall kann sowohl im Verhältnis zum Rechenzentrum als auch im Verhältnis zum Auftraggeber eine Auftragsdatenverarbeitung vorliegen. Ob dies der Fall ist hängt jedoch maßgeblich von der konkreten Ausgestaltung der jeweiligen Vertragsverhältnisse ab. Eine abschließende Beantwortung dieser Frage ist anhand der vorliegenden Informationen leider nicht möglich. Wir können an dieser Stelle nur raten, sich mit dieser Frage und den entsprechenden Unterlagen direkt an einen Rechtsanwalt zu wenden.
Dr. Datenschutz am 29. Mai 2017, 13:24 Uhr
Hallo, muss, wenn ein Unternehmen (A) Daten (z.B. Bankdaten) an eine Softwarefirma (B) weitergibt, die sich auf Kunden-/Mitgliederverwaltung spezialisiert hat, dieses Unternehmen den Kunden (C) darüber bei Vertragsabschluss zwischen A und C darauf hinweisen? Hat der Kunde das Recht, einer Weitergabe seiner Daten im Rahmen von §11 BDSG zu widersprechen?
Schreiberling am 15. Juli 2017, 15:42 Uhr
Grundsätzlich müssen im Rahmen der Hinweispflicht lediglich Angaben zu Empfängerkategorien, also keine konkreten Informationen gemacht werden. Dies aber auch nur dann, wenn die betroffene Person nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss.
Inwiefern eine Hinweispflicht besteht, kann daher nicht schematisch, sondern lediglich branchenabhängig beurteilt werden, wobei jeweils die Umstände des Einzelfalles zu berücksichtigen sind
Sofern es sich bei der „Weitergabe“ um eine Auftragsdatenverarbeitung nach § 11 BDSG handelt (was bei einer bloßen Verwaltung der Daten ohne weitere Rechte nahe liegt), ist in der Literatur umstritten, ob überhaupt eine Unterrichtungspflicht besteht. Schließlich ist die Weitergabe an einen Auftragsdatenverarbeiter datenschutzrechtlich nicht als Übermittlung im Sinne des BDSG zu werten, weil der Auftragsdatenverarbeiter nicht als Dritter zu qualifizieren ist.
Wegen Off-Topic [verschoben]
Kristin am 25. Mai 2018, 11:36 Uhr
Hallo, was passiert, wenn der Auftragnehmer (Auftragsdatenverarbeiter) vom Auftraggeber keine Auftragsdatenverarbeitungsvereinbarung erhält? Ist der Auftragnehmer damit im Falle einer Datenpanne nicht haftbar zu machen?
Bürohengst am 27. September 2018, 09:39 Uhr
Eine Vorschrift wie in § 11 Abs. 1 Satz 1 BDSG alte Fassung, nach der nur der Auftraggeber für die Einhaltung der gesetzlichen und datenschutzrechtlichen Vorschriften verantwortlich war, findet sich in der DSGVO nicht mehr. Zudem können Bußgelder gemäß Art. 83 Abs. 4 lit. a DSGVO auch gegenüber dem Auftragsnehmer verhängt werden, wenn ein erforderlicher Auftragsverarbeitungsvertrag (Art. 28 DSGVO) nicht oder nicht richtig geschlossen wird. Auftragnehmer müssen sich daher auch selbst um den Abschluss eines AV-Vertrages bemühen bzw. den Vertragsabschluss von ihrem Auftraggeber einfordern.
Dr. Datenschutz am 28. September 2018, 11:43 Uhr
unser Dienstleister für die Entsorgung der Papiermüllcontainer hält einen ADV für nicht notwendig. Was kann man in einem solchen Fall tun?
AaaahDatenschutz! am 11. November 2019, 19:24 Uhr
In einer Papierentsorgungstonne liegen die Daten nur äußerlich unstrukturiert vor. Allerdings sind diverse Dokumente eine strukturierte Datenverarbeitung in sich. So fallen zum Beispiel Telefonlisten unter die DSGVO, da man hier eine Struktur von personenbezogenen Daten hat.
Da weder Sie, noch der Auftragsverarbeiter ausschließen kann, dass solche Dateisysteme in der Tonne vorhanden sind, ist hier ein Auftragsverarbeitungsvertrag notwendig. Siehe diesbezüglich Erwägungsgrund 15 „Technologieneutralität“.
Wenn sich dieser Entsorger weigert, einen Auftragsverarbeitungsvertrag abzuschließen, sollten Sie sich natürlich die Frage stellen, ob Sie hier den richtigen Dienstleister haben. Das spricht nicht für sein Verständnis von der Materie. Viele seiner Konkurrenten bieten einen Auftragsverarbeitungsvertrag automatisch mit dem Dienstleistungsvertrag an.
Dr. Datenschutz am 13. November 2019, 15:29 Uhr
AaaahDatenschutz! am 14. November 2019, 19:40 Uhr

References: § 11
 § 3
 § 28
 § 39
 § 4
 § 4
 § 4
 § 11
 § 11
 § 28
 § 32
 § 11
 § 11
 § 11
 § 9
 § 11
 § 11
 § 11
 §11
 § 11
 § 11
 Art. 83