Source: https://www.datenschutz-recht-banken.de/bussgeld-auftragsdatenverarbeitung/
Timestamp: 2017-06-25 01:59:49+00:00

Document:
Hohes Bußgeld wegen Auftragsdatenverarbeitung | Datenschutzrecht Finance Seiler
Datenschutzrecht: Hohes Bußgeld wegen Auftragsdatenverarbeitung ohne richtigen Vertrag
Die bayrische Datenschutzaufsichtsbehörde hat in einer Pressemeldung am 20.08.2015 mitgeteilt, dass sie gegen ein Unternehmen, dass einen externen Dienstleister mit der Auftragsdatenverarbeitung (kurz ADV) ohne ausreichenden Vertrag beauftragt hat, ein Bußgeld in fünfstelliger Höhe verhängt hat.
Das Bundesdatenschutzgesetz (BDSG) regelt den Schutz von Daten natürlicher Personen (also nicht juristische Personen wie GmbH oder Aktiengesellschaften). Geschützt ist jede Information über eine natürliche Person (sogenannte personenbezogene Daten). Das Unternehmen, welches die Daten von Mitarbeitern, Kunden oder Lieferanten erfasst, erhebt diese, speichert und verarbeitet diese. Das Unternehmen wird im BDSG als verantwortliche Stelle bezeichnet. Wenn das Unternehmen diese Aufgabe jedoch auf einen externen Dienstleister outsourct, kommt hier das Rechtsinstitut der Auftragsdatenverarbeitung in Betracht, § 11 Abs. 2 BDSG.
Welche Vorteile hat eine Auftragsdatenverarbeitung?
Grundsätzlich bedarf jede Datenverarbeitung der vorherigen ausdrücklichen und schriftlichen Zustimmung der betroffenen Personen, deren Daten verarbeitet werden. Eine Zustimmung ist nicht erforderlich, wenn das Gesetz (BDSG oder ein anderes Gesetz) die Datenverarbeitung ausdrücklich erlaubt oder anordnet. Unter den Begriff der Datenverarbeitung fällt auch die Datenübermittlung an andere Unternehmen, die im Juristendeutsch Dritte genannt werden. Ein Unternehmen müsste erst alle Mitarbeiter, Kunden und sonstige Personen, deren Daten es durch einen externen Dienstleister verarbeiten lassen will, um deren schriftliche Zustimmung zu der Outsourcing-Maßnahme bitte. Dass dies eine völlig inpraktikable Forderung wäre, es aber andererseits ein berechtigtes Bedürfnis an der Nutzung externer IT-Unterstützung durch Spezialisten oder spezialisierte Unternehmen gibt und dies im Rahmen einer arbeitsteiligen Wirtschaft notwendig ist, hat auch der Gesetzgeber erkannt.
Daher hat er das Institut der Auftragsdatenverarbeitung (ADV) geschaffen. Dabei werden zwar faktisch Daten an ein anderes Unternehmen zur Verarbeitung gegeben, jedoch wird dies rechtlich nicht als Datenweitergabe gewertet. Allerdings erkauft sich das auslagernde Unternehmen dieses Privileg dadurch, dass es den Dienstleister durch einen Vertrag zur Auftragsdatenverarbeitung derart eng an sich binden und bestimmte gesetzlich vorgegebene Vertragsinhalte vorab schriftlich mit ihm vereinbaren muss, dass die mit der Auslagerung theoretisch erhöhte Gefährdung der Daten zumindest rechtlich ausgeschlossen ist.
Welche Leistungen fallen unter Auftragsdatenverarbeitung?
Es gibt keinen abschließenden Katalog an IT-Dienstleistungen, die unter die Auftragsdatenverarbeitung fallen. Entscheidend ist, ob der IT-Dienstleister streng weisungsgebunden und ohne eigene Entscheidungskompetenz die Daten für den Auftraggeber verarbeitet. Typische Beispiele hierfür sind u.a.
dv-technischen Arbeiten für die Lohn- und Gehaltsabrechnungen oder die Finanzbuchhaltung,
Outsourcing personenbezogener Datenverarbeitung im Rahmen von Cloud-Computing, Hosting-Leistungen
die Werbeadressenverarbeitung, Rechnungsversand durch einem Lettershop,
die Auslagerung der E-Mail-Verwaltung, Newsletter-Verteiler oder von sonstigen Datendiensten zu Webseiten,
die Aktenvernichtung
Keine Auftragsdatenverarbeitung sind fachlich-intellektuelle Leistungen, die eigenverantwortlich von Spezialisten erbracht werden und nicht weisungsgebunden sein können, z.B. Personalverwaltung, Beratungs- und Gutachtenleistungen.
IT-Installations- und Wartungsarbeiten, Fernwartung als ADV?
In der Praxis häufig übersehen wird, dass auch durch die Einschaltung externer IT-Dienstleister, die Installations- und Wartungsaufgaben, Support oder Softwaretests im Unternehmen durchführen, sei es vor Ort oder per Fernwartung, die Gefahr besteht, dass dabei Daten „abgezogen“ und unrechtmäßig verwendet werden. Daher hat der Gesetzgeber angeordnet, dass auch in den Fällen der IT-Wartung, bei denen die Möglichkeit der Kenntnisnahme personenbezogener Daten nicht ausgeschlossen ist, die gleichen strengen vertraglichen Regelung zu treffen sind, wie bei der (eigentlichen) Auftragsdatenverarbeitung, § 11 Abs. 5 BDSG.
Was muss bei einer Auftragsdatenverarbeitung vertraglich geregelt werden?
Zunächst steht vor dem Vertragsschluss die Pflicht, den Dienstleister (Auftragsdatenverarbeiter) sorgfältig auszuwählen und dabei insbesondere zu prüfen, ob er die erforderlichen technischen und organsiatorischen Maßnahmen (toM) zum Schutz der Daten kennt und getroffen hat. Die Der Vertrag zur Auftragsdatenverarbeitung muss schriftlich (Papier mit Unterschriften beider Vertragsparteien) erfolgen. Fax, E-Mail oder Online-Beschaffungsplattform kommen bei ADV nicht in Betracht.
Inhaltlich schreibt § 11 Abs. 2 BDSG den Mindest-Vertragsinhalt vor:
Die nach Nr. 3 zu vereinbarenden technischen und organisatorischen Datenschutzmaßnahmen (toM) sind in der Anlage zu § 9 BDSG in 8 Punkten aufgelistet
Bei Nr. 2 – 4 ist vom Gesetz als eine Maßnahme der Einsatz eines aktuellen Verschlüsselungsverfahrens genannt.
Schon die Liste der 18 zwingend zu regelnden Vertragspunkte lässt den Umfang des Regelungsbedarfes erahnen. Zudem bedarf es einiger it-technischer und vor allem rechtlicher Kenntnisse, um auch nur einen der von Verbänden und Aufsichtsbehörden im Internet zugänglich gemachten Musterverträge richtig zu gestalten bzw. auszufüllen. In der Praxis fängt es schon bei der Frage an, ob die konkret zu regelnde Leistung eine Auftragsdatenverarbeitung ist oder nicht. Dann gibt es Vertragsklauseln die nur festhalten, dass der Auftragnehmer „den Datenschutz einhält und zur Verschwiegenheit verpflichtet ist“, was keinesfalls genügt. Auch Formulierungen wonach der Auftragsdatenverarbeiter die in der Anlage zu § 9 BDSG genannten Datenschutzmaßnahmen ergreift, genügen der gesetzlichen Pflicht zur konkreten Vereinbarung nicht. Folglich genügt auch nicht die Wiedergabe des Gesetzestextes, z.B. dass der Auftragnehmer Maßnahmen zur Zutrittskontrolle ergriffen hat. Vielmehr muss im Einzelfall und ganz konkret die Maßnahme beschrieben werden, z.B. Drehkreuz am Eingang und Chip-basierter Mitarbeiterausweis. Ein Schild „Zutritt für Unbefugte verboten“ würde nicht genügen.
Mit dem Abschluss des Vertrages ist es aber nicht getan. Vielmehr muss regelmäßig, also zumindest alle 1 – 3 Jahre eine Einhaltungsprüfung durchgeführt werden. Der Auftraggeber muss sich davon überzeugen, dass der Auftragsdatenverarbeiter die vereinbarten technischen und organisatorischen Maßnahmen auch tatsächlich einhält. Das Ergebnis der Prüfung ist zu dokumentieren, also aufzuschreiben.
Wie hoch ist das Bußgeld bei einem Verstoß gegen die gesetzlichen Vertragspflichten?
Nach § 43 Abs. 1 Nr. 2b handelt ordnungswidrig, wer
„entgegen § 11 Absatz 2 Satz 2 einen Auftrag nicht richtig, nicht vollständig oder nicht in der vorgeschriebenen Weise erteilt oder entgegen § 11 Absatz 2 Satz 4 sich nicht vor Beginn der Datenverarbeitung von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen überzeugt,“
Diese Ordnungswidrigkeit kann mit einer Geldbuße bis zu 50.000 Euro sanktioniert werden. Dass dies keine leere Drohung ist, zeigt die aktuelle Pressemeldung der bayrischen Datenschutzaufsicht, die eine fünfstellige Geldbuße verhängt hat. Auch wenn Ihr Unternehmen seinen Sitz nicht in Bayern hat, könnte Ihnen das gleiche passieren. Die Datenschutzaufsichtsbehörden der sechzehn Bundesländer stimmen sich bundesweit im sogenannten Düsseldorfer Kreis und seinen Unterarbeitsgruppen ab. Hat eine Aufsichtsbehörde eine systematische Schwachstelle entdeckt, tauscht sie sich hierüber mit den anderen Aufsichtsbehörden aus. Zwar sind die Aufsichtsbehörden personell zu schwach besetzt, um auch nur annähernd jedes Unternehmen prüfen zu können, doch ein anonymer Hinweis eines gekündigten Mitarbeiters oder Dienstleisters genügt …
Beratung bei Verträge zur Auftragsdatenverarbeitung
Beugen Sie der Gefahr von Bußgeldern vor und lassen Sie Ihre Verträge mit Dienstleistern, die Daten für Sie verarbeiten, daraufhin überprüfen, ob sie den gesetzlichen Anforderungen der Auftragsdatenverarbeitung genügen und falls nicht – bessern Sie schnellstmöglich nach. Rechtsanwalt David Seiler berät und unterstützt Sie dabei gerne mit seiner langjährigen Erfahrung in diesem Bereich.

References: § 11
 § 11
 § 11
 § 9
 § 9
 § 43
 § 11
 § 11