Source: https://www.bdsg-externer-datenschutzbeauftragter.de/behoerde/die-auftragsdatenverarbeitung-besonderheiten-des-datenschutzrechts-beim-outsourcing/
Timestamp: 2019-01-22 20:33:29+00:00

Document:
Auftragsdatenverarbeitung – Zeit und Risiko auslagern
Ger­ne über­se­hen und auch vie­len Dienst­leis­tern, die sol­che Leis­tun­gen anbie­ten, nicht bekannt, ist der Sach­ver­halt aus § 11 Absatz 5 BDSG.
(5) Die Absät­ze 1 bis 4 gel­ten ent­spre­chend, wenn die Prü­fung oder War­tung auto­ma­ti­sier­ter Ver­fah­ren oder von Daten­ver­ar­bei­tungs­an­la­gen durch ande­re Stel­len im Auf­trag vor­ge­nom­men wird und dabei ein Zugriff auf per­so­nen­be­zo­ge­ne Daten nicht aus­ge­schlos­sen wer­den kann.
Damit fal­len wei­te­re Leis­tun­gen wie War­tung / Kon­fi­gu­ra­ti­on / Instal­la­ti­on von Hard- und Soft­ware eben­falls unter die Anwen­dung von § 11 BDSG und sind ent­spre­chend zu regeln. Dabei ist es uner­heb­lich, ob Ihr Dienst­leis­ter das auch so sieht. Sie als Auf­trag­ge­ber sind ver­ant­wort­lich und zah­len am Ende auch das Buß­geld.
Was ist bei einer Auftragsdatenverarbeitung zu tun?
Schritt 1: Iden­ti­fi­zie­ren
§ 11 BDSG schreibt vor, dass bereits vor Beginn der Zusam­men­ar­beit ein Dienst­leis­ter auf sein Schutz­ni­veau hin geprüft und mit der pas­sen­den Ver­ein­ba­rung zur Auf­trags­da­ten­ver­ar­bei­tung schrift­lich ver­ein­bart wer­den muss. Soll­ten Sie mit dem Dienst­leis­ter bereits zusam­men­ar­bei­ten, dann ist schnel­les Han­deln ange­bracht.
Schritt 2: Prü­fen
Sind alle exter­nen Dienst­leis­ter, die unter § 11 BDSG fal­len, iden­ti­fi­ziert oder bereits bekannt, kommt Schritt 2. Es gilt nun das vor­han­de­ne Schutz­ni­veau des Dienst­leis­ters zu prü­fen. Die soge­nann­ten tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men müs­sen aktu­ell und dem not­wen­di­gen Schutz­be­darf für die betrof­fe­nen Daten ent­spre­chen. Bei Lücken sind die­se durch den Dienst­leis­ter zu schlie­ßen oder bei Bedarf ein alter­na­ti­ver Dienst­leis­ter aus­zu­wäh­len. Die Prü­fung sowie des­sen Ergeb­nis sind zu doku­men­tie­ren, damit die­se spä­ter belegt wer­den kön­nen.
Schritt 3: Ver­ein­ba­ren
Alle von § 11 BDSG betrof­fe­nen Dienst­leis­ter sind bekannt. Das Schutz­ni­veau ist geprüft und aus­rei­chend vor­han­den. Nun kommt Schritt 3 der Auf­trags­da­ten­ver­ar­bei­tung: die schrift­li­che Vereinbarung.Hier kann viel falsch gemacht wer­den. Über­se­hen Sie einen Rege­lungs­punkt, den das BDSG oder eines der Lan­des­da­ten­schutz­ge­set­ze vor­sieht, spricht man von einer feh­ler­haf­ten Auf­trags­da­ten­ver­ar­bei­tung. Die­se ist nach § 43 Absatz 1 BDSG für Unter­neh­men mit einem Buß­geld bis 50.000 Euro risi­ko­be­haf­tet. Auch die Nut­zung der zahl­rei­chen im Inter­net auf­find­ba­ren Vor­la­gen zur Auf­trags­da­ten­ver­ar­bei­tung kön­nen davor nicht bewah­ren. Vie­le die­ser Vor­la­gen sind ver­al­tet (Novel­le in 2009), unvoll­stän­dig oder mit Vor­schrif­ten ver­se­hen, die gegen ande­re Rech­te ver­sto­ßen.
Schritt 4: Nach­prü­fen
Iden­ti­fi­ka­ti­on der Dienst­leis­ter voll­stän­dig. Prü­fen des Schutz­ni­veaus erfolgt und doku­men­tiert. Not­wen­di­ge Ver­ein­ba­rung schrift­lich mit dem Dienst­leis­ter geschlos­sen.
Falsch liegt, wer meint, der Vor­gang sei nun abge­schlos­sen. In regel­mä­ßi­gen Abstän­den müs­sen Sie sich jetzt von dem Erhalt oder der Ver­bes­se­rung des Schutz­ni­veaus Ihres Dienst­leis­ters über­zeu­gen. Die Prü­fung muss eben­falls wie­der nach­voll­zieh­bar und beleg­bar doku­men­tiert wer­den.
Schritt 5: Über­le­gen, ob Sie sich das wirk­lich alles selbst antun wol­len
Wenn Sie sich weder mit den Risi­ken noch dem Zeit­auf­wand für das The­ma Auf­trags­da­ten­ver­ar­bei­tung aus­ein­an­der­set­zen wol­len, dann las­sen Sie uns das über­neh­men. Wie das geht? Ganz ein­fach – spre­chen Sie uns an oder infor­mie­ren Sie sich unter http://www.hilfe-auftragsdatenverarbeitung.de über unse­re Dienst­leis­tun­gen rund um die Auf­trags­da­ten­ver­ar­bei­tung.
← KGSt®-Infotag 2016: IT- und Datensicherheit in Kommunen Angebliche BKA Warnung vor Locky enthält Virus →

References: § 11
 § 11

§ 11
 § 11
 § 11
 § 43