Source: https://xdsb.de/aus-auftragsdatenverarbeitung-bdsg-wird-auftragsverarbeitung-dsgvo/
Timestamp: 2019-12-07 16:36:24+00:00

Document:
Aus Auftragsdatenverarbeitung BDSG wird Auftragsverarbeitung DSGVO
Nach Art. 4 Nr. 8 DSGVO bezeichnet der Ausdruck: „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Wie bisher (§ 3 Abs. 8 BDSG) ist der Auftragsverarbeiter nach Art. 4 Nr. 10 DSGVO nicht Dritter. Ob er aber auch weiterhin als „Privilegierter“ gilt und die Übermittlung von Daten keiner weiteren datenschutzrechtlichen Legitimation bedarf, wird in der Literatur unterschiedlich ausgelegt und muss noch geklärt werden.
Eine Auftragsverarbeitung kann nach DSGVO, im Gegensatz zum BDSG, auch außerhalb des EU-/EWG-Raums stattfinden.
Statt § 11 BDSG künftig Art. 28 DSGVO
Die vertragliche Regelung zwischen Auftragsverarbeiter und dem für die Verarbeitung Verantwortlichen kann nach Art. 28 Abs. 9 DSGVO entweder schriftlich oder –neu- auch in einem elektronischen Format erfolgen.
Nach Art. 28 Abs. 3 DSGVO sind in der vertraglichen Regelung Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt und sieht insbesondere vor, dass der Auftragsverarbeiter
Weitere Auftragsverarbeiter als Subunternehmer
Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Subunternehmer) zur Auftragserfüllung nur mit gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen einsetzen. Im Fall der allgemeinen schriftlichen Genehmigung muss der Verantwortliche immer über jede beabsichtigte Änderung eines Subunternehmers (Hinzuziehung oder Ersetzung) informiert werden und kann bei Bedarf Einspruch erheben.
Bisher haftete nur der Auftraggeber als verantwortliche Stelle gegenüber der betroffenen Person. Art. 82 Abs. 1 DSGVO nimmt nun auch den Auftragsverarbeiter gegenüber der betroffenen Person in die Verantwortung, aber nur, „wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus dieser Verordnung nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des für die Datenverarbeitung Verantwortlichen oder gegen diese Anweisungen gehandelt hat.“ Art. 82 Abs. 2 DSGVO.
Sowohl dem Verantwortlichen als auch dem Auftragsverarbeiter drohen bei Verstößen Bußgelder von bis zu 10 Millionen Euro beziehungsweise bis zu 2 % des gesamten im vorangegangenen Jahr weltweit erzielten Jahresumsatzes.
Nach Art. 30 Abs. 2 DSGVO muss nun -neu- der Auftragsverarbeiter ein Verzeichnis von Verarbeitungstätigkeiten für alle Kategorien von im Auftrag eines verantwortlichen durchgeführten Tätigkeiten der Verarbeitung führen.
Da die DSGVO ab 25.05.2018 ohne Übergangsfrist mit paralleler Geltung des alten und des neuen Rechts gilt, sollten Unternehmen bereits jetzt damit beginnen, ihre Auftragsdatenverarbeitungen an die Datenschutz-Grundverordnung anzupassen.
Michael Fortenbacher, xDSB Datenschutz Karlsruhe
← Die Datenschutz Folgenabschätzung
Neues Bundesdatenschutzgesetz beschlossen →

References: Art. 4
 Art. 4
 § 11
 Art. 28
 Art. 28
 Art. 28
 Art. 82
 Art. 82
 Art. 30