Source: https://datenschutzbeauftragter-hamburg.de/2016/10/auftragsdatenverarbeitung-anforderungen-an-den-vertrag/
Timestamp: 2019-02-21 10:01:30
Document Index: 61851458

Matched Legal Cases: ['§ 11', '§ 11', '§ 126', '§ 126', '§ 126', '§ 130', '§ 43']

20. Oktober 2016 /in BDSG, Datenschutz, Gesetzgebung, Newsletter /von Datenschutzbeauftragter/tma
Sollen Dienstleistungen extern vergeben werden, so ist die Datenverarbeitung im Auftrag häufig ein probates Mittel. Geregelt wird diese in § 11 BDSG. Dort sind auch die Anforderungen, die ein solcher Vertrag erfüllen muss eindeutig definiert. Hierbei handelt es sich insgesamt um zwölf Punkte, die geregelt sein müssen.
Umfang, Art und Zweck der Verarbeitung
vom Auftragnehmer zu treffende technische und organisatorische Maßnahmen (TOM) zur Gewährleistung der Datensicherheit und des Datenschutzes auf Seiten des Auftragnehmers
Pflichten des Auftragnehmers, wobei zwingend auch auf Kontrollpflichten eingegangen werden muss
Regelungen zu Unterauftragnehmerverhältnissen
Kontrollrechte des Auftraggebers und Duldungspflichten des Auftragnehmers
Regelungen zu Mitteilungspflichten des Auftragnehmers bei von ihm oder seinen Unterauftragnehmern zu verantwortenden Datenschutzverstößen
Regelungen zur Rückgabe überlassener Datenträger und zur Löschung beim Auftragnehmer gespeicherter Daten
Es gibt gute Musterverträge
Die meisten dieser Punkte sind recht eindeutig und unter Zuhilfenahme eines guten Musters (z. B. vom BITKOM oder der GDD) lässt sich hier auch ohne einen Datenschutzspezialisten hinzuzuziehen so manch guter und BDSG-konforme Vertrag zur Auftragsdatenverarbeitung erstellen.
Allerdings gibt es auch einige Möglichkeiten, Fehler zu machen. Eingehen möchte ich an dieser Stelle auf eine Anforderung, die ich in jeder Vertragsverhandlung zum Thema Auftragsdatenverarbeitung zur Sprache bringe und der häufig mit Unverständnis begegnet wird. So wird in § 11 Abs. 2 Satz 2 BDSG quasi im Nebensatz die Schriftform verpflichtend festgelegt. Diese wiederum ist in § 126 BGB definiert und besagt, dass für die Einhaltung die Original-Unterschriften aller beteiligten Parteien vorhanden sein müssen. Damit ist klargestellt, dass dieser Vertrag papierhaft zu schließen ist. Eingescannte Unterschriften oder der Versand per E-Mail oder Fax zwischen den Parteien reicht nicht aus.
Die elektronische Form als Ersatz
Vor kurzem wurde uns gegenüber der Einwand gebracht, dass § 126 BGB die elektronische Form als vollwertigen Ersatz für die Schriftform zulässt. Das ist korrekt. Allerdings wird bei dieser Argumentation übersehen, dass die elektronische Form, welche in § 126a BGB definiert ist, zwingend den Einsatz qualifizierter elektronischer Signaturen gemäß Signaturgesetz erfordert und somit eine eingescannte Unterschrift auch diese Form nicht erfüllt.
Zu diesem Thema liegt uns eine aktuelle Stellungnahme des ULD (der Aufsichtsbehörde Schleswig-Holstein) vor, die ich hier einmal auszugsweise zitiere:
Die Schriftform setzt nicht voraus, dass irgendwann ein Dokument unterschrieben wurde, sondern dass das tatsächlich händisch unterschriebene Dokument auch der anderen Vertragspartei zugeht (vgl. Einsele, in: Münchener Kommentar zum BGB, § 130, Rn. 20). Dies kann nicht durch Übersendung einer .pdf mit Scan der Unterschrift ersetzt werden.
Die Nichteinhaltung stellt nach § 43 Abs. 1 Nr. 2b BDSG eine OWi dar und würde auch entsprechend geahndet. Mindestens würde von unserer [Anm.: ULD] Seite bei aufsichtsbehördlicher Befassung angeordnet (und im Zweifel mit Zwangsgeld durchgesetzt) werden, dass der Auftrag der Schriftform entsprechend nachgebessert würde.
Es drohen also durchaus Bußgelder „nur“ dafür, dass ein Formfehler begangen wurde. Auch wenn ein Vertrag zur Auftragsdatenverarbeitung kein Hexenwerk ist: Lassen Sie sich vom Fachmann beraten.
Schlagworte: Aufsichtsbehörden, Auftragsdatenverarbeitung, Bundesdatenschutzgesetz, Gesetzgebung, technische und organisatorische Maßnahmen
Test mit Echtdaten und der Datenschutz Einordnung externer Mitarbeiter