Source: https://keyed.de/blog/auftragsverarbeitung/
Timestamp: 2020-07-08 07:03:20+00:00

Document:
Auftragsverarbeitung 2020: So vermeiden Sie hohe Bußgelder - Externer Datenschutzbeauftragter | Keyed GmbH
Auftragsverarbeitung 2020: So vermeiden Sie hohe Bußgelder
Die Auftragsverarbeitung (AV), ehemals Auftragsdatenverarbeitung (ADV), bildet einen zentralen Bestandteil des Datenschutzes – Auftragsverarbeiter werden in Unternehmen jeder Größe und Branche eingesetzt. Jene durch den Verantwortlichen bestimmten Auftragsverarbeiter verpflichten sich zur Verarbeitung personenbezogenen Daten gemäß der Europäischen Datenschutz-Grundverordnung (EU-DSGVO).
Inwieweit und in welcher Qualität Auftragsverarbeiter ihren Pflichten nachkommen, müssen Datenschutzverantwortliche eines Unternehmens überprüfen, ansonsten riskieren Verantwortliche Bußgelder.
Auftragsverarbeitung: Neue Richtlinien 2020, Verträge und Co.
Wann muss ein AV-Vertrag grundsätzlich abgeschlossen werden?
Inhalte Auftragsverarbeitungs-Vertrag
Auftragsverarbeitung, das Auslagern von Datenverarbeitungsprozessen durch den Auftraggeber auf externe Dienstleister, ist ein häufiges Mittel zur Kostensenkung und der Nutzung von externem Know How. Wichtig ist zunächst, dass ein Unternehmen, welches einen Dritten beauftragt personenbezogene Daten im Auftrag des Unternehmens zu verarbeiten, nach Art. 28 DSGVO zwingend einen Vertrag mit dem Auftragnehmer schließen muss. Dieser Vertrag muss inhaltlich den Vorgaben des Art. 28 Abs. 3 DSGVO genügen.
Schnell kommt es bei der Einschätzung, ob eine Auftragsverarbeitung vorliegt, zu Missverständnissen und der Auftraggeber läuft Gefahr, gemäß Art. 83 DSGVO mit hohen Geldbußen durch die Datenschutzbehörden belegt zu werden. Ganz zu Schweigen von Imageschäden in der Öffentlichkeitswahrnehmung. Eine sorgfältige Prüfung durch einen Berater für Datenschutz oder einen Datenschutzbeauftragten hilft, diese Risiken zu minimieren und die notwendigen Regelungen umzusetzen.
Wenn Ihr Dienstleister nicht weisungsgebunden handelt, dann ist es oft ein Indiz dafür, dass keine Auftragsverarbeitung vorliegt. Das ist zum Beispiel der Fall bei Sachverständigen, Steuerberatern, Anwälten, Ärzten oder Notaren.
Beispiele für eine Auftragsverarbeitung
Cloudlösungen und webbasierte Anwendungen
(z.B. Kundenumfragen und Newsletterversand)
Für Kundensupport oder Kundengewinnung
Papier- und Aktenvernichtung, Vernichtung von Datenträgern
Externe Dienstleister (Achtung: Kein Steuerberater)
Der Begriff der personenbezogenen Daten ist das Eingangstor zur Anwendung der Datenschutz-Grundverordnung und wird in Art. 4 Abs. 1 Nr. 1 DSGVO definiert. Danach sind dies alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Eine abschließende Zusammenfassung lässt sich kaum bewältigen. Im Folgenden jedoch eine Liste entsprechender Werte, die einen ersten Eindruck davon verleihen soll, was alles unter personenbezogene Daten fällt:
Im Gegensatz zur früheren Rechtslage legt die DSGVO dem Verantwortlichen und dem Auftragsverarbeiter (nicht mehr Auftragsdatenverarbeiter) mehr Pflichten auf, vgl Art. 28 DSGVO.
Noch stärker als früher sind die Beteiligten gehalten, die Frage zu klären, ob die geplante Auftragsverarbeitung überhaupt sicher ist. Denn wer dieser zentralen Ausgangsfrage keine Bedeutung beimisst, wird die Rechtmäßigkeit der Verarbeitung nicht gewährleisten können und riskiert mitunter deutliche höhere Bußgelder.
Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 kann als Faktor herangezogen werden, um die Erfüllung der technischen und organisatorischen Maßnahmen nachzuweisen.
Die Auslegung des Auftragsverarbeitungsbegriffs orientiert sich allein an der DSGVO. Verantwortlicher ist demnach, wer über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Art. 4 Nr. 7 DSGVO). Als Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO wird hingegen tätig, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Bei der Prüfung des Vorliegens einer Auftragsverarbeitung kann dabei vor allem auf die von der Artikel-29-Datenschutzgruppe auf Basis der Definitionen der DSRL entwickelten Leitlinien des Arbeitspapiers 169 zu den Begriffen „für die Verarbeitung Verantwortlichen“ und „Auftragsverarbeiter“ abgestellt werden.
Die Auslegung muss danach anhand der faktischen bzw. funktionellen tatsächlichen Verhältnisse erfolgen. Allein die formelle Einordnung einer Tätigkeit als Auftragsverarbeitung und der Abschluss eines entsprechenden Auftragsverarbeitungsvertrags zur Auftragsverarbeitung durch die beteiligten Parteien, führt nicht zur Annahme einer Auftragsverarbeitung.
Vielmehr ist die tatsächliche Ausgestaltung des Verhältnisses und das Wesen der vertraglichen Beziehung maßgeblich für die datenschutzrechtliche Einordnung. Die Rolle als Auftragsverarbeiter ergibt sich letztlich nicht lediglich aus seiner Eigenschaft als Akteur, der personenbezogene Daten verarbeitet, sondern aus seiner konkreten Tätigkeit in einem spezifischen Kontext und in Bezug auf spezifische Daten- oder Vorgangsreihen. Bei dieser Einordnung kann etwa die Entscheidung über die Zwecke und Mittel der Verarbeitung, die Ausführlichkeit der erteilten Weisungen, die Überwachung der Erbringung der Dienstleistung, die Außenwirkung gegenüber den betroffenen Personen, die Fachkompetenz und der den involvierten Parteien überlassene Entscheidungsspielraum zur Einordnung herangezogen werden.
Gleichwohl ist stets auch eine Abgrenzung zur gemeinsamen Verantwortlichkeit zu prüfen.
Ja, es dürfen also personenbezogene Daten übertragen werden, aber nur mit Einhaltung der oben genannten Datenschutz-Vorgaben und Umsetzung der notwendigen technischen und organisatorischen Maßnahmen. Die folgenden Inhalte sollten mindestens Bestandteil der Auftragsverarbeitung sein:
Gegenstand & Dauer des Auftrags
Umfang, Art & Zweck der Datennutzung und -verarbeitung
Berechtigung, Löschung, Sperrung der personenbezogenen Daten
Berechtigung zu Unterauftragsverhältnissen
Meldepflicht bei Vertragsverstößen
Datenschutz verstehen – Das Geschäftsgeheimnis-Gesetz (GeschGehG) Zusammenfassung Das neue Geschäftsgeheimnis-Gesetz schützt seit dem 26.04.2019 vertrauliches Know-how und vertrauliche Geschäftsinformationen in…
Datenschutz Verstehen – Betroffenenrechte gem. DSGVO Die Betroffenenrechte wurden durch die europäische Datenschutz-Grundverordnung (DSGVO) erheblich gestärkt und erweitert. Betroffene können…

References: Art. 28
 Art. 28
 Art. 83
 Art. 4
 Art. 28
 Art. 4