Source: https://www.anwalt24.de/fachartikel/internet-it-und-telekommunikation/22875
Timestamp: 2018-05-24 11:57:41+00:00

Document:
Prüfungspflichten eines Unternehmens bei Auslagerung von Datenverarbeitungsprozessen (Outsourcing) aus datenschutzrechtlicher Sicht | anwalt24.de
Prüfungspflichten eines Unternehmens bei Auslagerung von ...
Prüfungspflichten eines Unternehmens bei Auslagerung von Datenverarbeitungsprozessen (Outsourcing) aus datenschutzrechtlicher Sicht
07.01.20131183 Mal gelesen
Outsourcing bietet vielen Unternehmen die Möglichkeit, Kosten zu sparen. Bei der Auslagerung von Datenverarbeitungsprozessen sind insbes. datenschutzrechtliche Vorschriften zu beachten. Nachfolgender Beitrag bietet insoweit einen ersten Überblick hinsichtlich der Anforderungen des § 11 BDSG .
Zur Kostenersparnis lagern immer mehr Unternehmen einzelne Bereiche ihres Unternehmens aus. Soweit im Rahmen dieses Outsourcing die Verarbeitung personenbezogener Daten betroffen ist und dem Dienstleister (im Folgenden: Auftragnehmer) darüber hinaus von dem Auftraggeber keine weiteren Aufgaben oder Funktionen übertragen werden, liegt regelmäßig eine Auftragsdatenverarbeitung vor. Dies hat zur Folge, dass der Auftraggeber die gesetzlichen Anforderungen des § 11 BDSG zu beachten hat. Dabei hat insbesondere der Auftraggeber auf die Einhaltung der datenschutzrechtlichen Vorschriften hinzuwirken. Dies ergibt sich daraus, dass § 11 Abs. 1 BDSG die Verantwortung für die Einhaltung des Datenschutzes bei der Datenverarbeitung gerade dem Auftraggeber auferlegt.
Gemäß § 11 Abs. 2 Nr. 1 - 10 BDSG hat der Auftraggeber dabei insbesondere darauf zu achten, dass die dort genannten Regelungen fest vereinbart werden. Dies sind im Einzelnen:
"1. der Gegenstand und die Dauer des Auftrags,
10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags."
Wichtig hierbei ist insbesondere, dass der Auftraggeber sich gemäß § 11 Abs. 2 BDSG vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technisch-organisatorischen Maßnahmen zu überzeugen hat.
Welche Anforderungen wiederum an die technisch-organisatorischen Maßnahmen im Einzelnen zu stellen sind, hängt von verschiedenen Faktoren ab und ist für jeden Einzelfall gesondert zu bestimmen. Jedenfalls sollte der Auftraggeber vor Beginn der Datenverarbeitung beim Auftragnehmer sich davon überzeugen, dass das erforderliche Datenschutzniveau eingehalten ist. Dies kann er am besten durch die Einhaltung folgender Schritte gewährleisten:
1. Bei der Auswahl der Auftragnehmer lässt sich der Auftraggeber von den verschiedenen potentiellen Vertragspartnern deren technisch-organisatorische Maßnahmen vorlegen
2. Bei der Auswahl des Auftragnehmers achtet der Auftraggeber anhand dieser Informationen darauf, das ein ausreichendes Datenschutzniveau erreicht wird.
3. Abschluss der Auftragsdatenverarbeitungsvereinbarung unter genauer Festlegung der einzelnen technisch-organisatorischen Maßnahmen
4. Prüfung der Umsetzung dieser technisch-organisatorischen Maßnahmen durch den Auftraggebervor Beginnder Datenverarbeitung
5. Dokumentation des Ergebnisses der vorgenannten Prüfung
6. Regelmäßige Kontrollen der Umsetzung der technisch-organisatorischen Maßnahmen
Auftragsverhältnisse i.S. des § 11 BDSG können in den unterschiedlichsten Konstellationen erfolgen. So kann dies bei der Nutzung von externen Rechenzentren der Fall sein, genauso wie bei dem Einsatz von externen Entsorgungsbetrieben. Es liegt daher auf der Hand, dass die jeweils zu treffenden Maßnahmen zur Gewährleistung des ausreichenden Datenschutzniveaus völlig unterschiedlich sein können. Schließlich ist insoweit auch § 9 BDSG zu beachten, der von einer Angemessenheit der einzelnen zu treffenden technisch-organisatorischen Maßnahmen spricht.
Um jedoch mögliche Bußgelder wegen Verstoßes gegen datenschutzrechtliche Vorschriften von vornherein zu vermeiden, sollte vor der Auslagerung von Datenverarbeitungsprozessen ein insoweit geschulter Experte konsultiert werden.
Gerne stehe ich Ihnen diesbezüglich unter meinen Kontaktdaten zur Verfügung.

References: § 11
 § 11
 § 11
 § 11
 § 11
 § 11
 § 9