Source: https://www.datenschutzkanzlei.de/elektronischer-vertragsschluss-der-auftragsverarbeitung-art-28-dsgvo/
Timestamp: 2018-03-25 05:18:38
Document Index: 203964112

Matched Legal Cases: ['Art. 28', 'Art. 28', '§ 11', 'Art. 28', 'Art. 28', '§ 126', '§ 126', '§ 126', 'Art. 28']

Elektronischer Vertragsschluss der Auftragsverarbeitung (Art. 28 DSGVO) | Datenschutzkanzlei Elektronischer Vertragsschluss der Auftragsverarbeitung (Art. 28 DSGVO) | Datenschutzkanzlei
von Datenschutzkanzlei | 23. Feb 2018 | Blog
Der Trend, Daten durch Dienstleister, wie z.B. Cloud-Anbieter verarbeiten zu lassen, setzt sich stetig fort . Dabei ist die Auftrags(daten)verarbeitung ein wichtiges Instrument des Datenschutzrechts, an dem die DSGVO festhält. Auch wenn Artikel 28 DSGVO inhaltlich vieles aus dem alten Recht aufgreift, gibt es eine wesentliche Neuerung bzw. wichtige Erleichterung für die Praxis: Nach der noch geltenden Rechtslage des § 11 BDSG sind die Verträge schriftlich abzuschließen, was bedeutet, dass die Unterschriften der Vertragspartner erforderlich sind. Zukünftig wird es aber möglich sein, Verträge zur Auftragsverarbeitung in einem elektronischen Format abzuschließen. Worauf Unternehmen hierbei achten müssen, zeigen wir Ihnen in diesem Beitrag.
Formvorschriften der Auftragsverarbeitung
Eine Auftragsverarbeitung darf auch nach der DSGVO nur auf Grundlage eines Vertrags erfolgen, in dem insbesondere Gegenstand und Dauer der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festzulegen sind. Zentrales Element bleibt dabei weiterhin die vertraglich zu regelnde Weisungsgebundenheit des Auftragsverarbeiters. Insoweit bringt die DSGVO kaum Neuerungen.
Interessant wird es jedoch bei den Formvorschriften. Denn nach Art. 28 Abs. 9 DSGVO ist ein Vertrag zur Auftragsverarbeitung schriftlich abzuschließen, wobei ein elektronisches Format ausreichend ist. Diesbezüglich ist der Gesetzestext eindeutig. Das elektronische Format genügt dem europäischen Gesetzgeber, die nach der DSGVO geforderte Transparenz- und Rechenschaftspflicht zu erfüllen. Zur Wahrung der Beweis- und Authentizitätsfunktion ist eine händische Unterschrift somit nicht mehr erforderlich.
Nicht ganz so eindeutig gestaltet sich die Situation bei der Einschaltung von Unterauftragnehmern, welche gemäß Art. 28 Abs. 2 DSGVO nur bei vorheriger schriftlicher Zustimmung des Auftraggebers hinzugezogen werden dürfen; eine Privilegierung des elektronischen Formats findet sich im Gesetzestext nicht. Doch auch bei der Einschaltung von Subunternehmen scheint sich die Ansicht durchzusetzen, dass das elektronische Format für eine entsprechende Genehmigung ausreichend sein soll. So sehen es jedenfalls das Bayrische Landesamt für Datenschutzaufsicht und das ULD Schleswig-Holstein .
Anforderungen an das elektronische Format
Doch welche Anforderungen werden an dieses elektronische Format überhaupt gestellt?
Im Rahmen des BDSG wurde die strenge gesetzliche Schriftform des Bürgerlichen Gesetzbuchs herangezogen, die als elektronische Form nur durch eine qualifizierte elektronische Signatur ersetzt werden kann, § 126a BGB. Wurde ein Auftrags(daten)verarbeitungsvertrag nicht schriftlich oder per qualifizierter elektronischer Signatur geschlossen, war er nichtig. Es stellt sich nun die Frage, ob die DSGVO eine elektronische Form i.S.d § 126a BGB – also eine qualifizierte elektronische Signatur – verlangt oder eine andere elektronische Form ausreichend ist.
Bei Begriffen einer EU-Verordnung darf, anders als bei den Begriffen des BDSG, keine Auslegung allein anhand der jeweiligen nationalen Rechtsordnung erfolgen. Vielmehr ist wegen des Grundsatzes der praktischen Wirksamkeit und wegen des Vorrangs des europäischen Rechts eine eigenständige Auslegung anzuwenden.
Mithin herrscht Einigkeit darüber, dass der europäische Gesetzgeber dem elektronischen Format nicht das Verständnis der deutschen Norm aus dem BGB zugrunde gelegt hat. Vielmehr scheint sich die Ansicht durchzusetzen, dass die Textform nach § 126b BGB den Anforderungen an das elektronische Format i.S.d. Art. 28 Abs. 9 DSGVO genügt. Bei der Textform handelt es sich um eine unterschriftlose Erklärung, die auf einem dauerhaften Datenträger (eine Download-Möglichkeit kann ausreichen) abgegeben wird und gegen nachträgliche Änderungen geschützt ist.
Die Textform ist bisher vor allem aus dem Bereich des E-Commerce bekannt. Denn Unternehmen können Widerrufsbelehrungen regelmäßig in Textform übermitteln. Dabei entspricht es gängiger Rechtsprechung, dass beispielsweise eine einfache E-Mail oder die Ausspielung einer HTML-Seite zur Wahrung dieser Form nicht ausreichen sollen. Vielmehr ist dem Empfänger die Erklärung in einem dauerhaften Format zu übermitteln bzw. zum Download bereitzustellen. Da dieses Format geeignet sein muss, die Erklärung unverändert wiederzugeben, handelt es sich regelmäßig um eine pdf-Datei.
Auch beim elektronischen Abschluss von Verträgen zur Auftragsverarbeitung ist zukünftig darauf zu achten, dass diese entsprechend den dargestellten Maßstäben abgeschlossen werden, so z.B. durch Erklärungen in Form einer pdf-Datei unter Benennung der Vertragsparteien. Es ist jedenfalls davon auszugehen, dass Vertragsabschlüsse per einfacher E-Mail oder im Rahmen von nicht geschützten Dokumenten keinen wirksamen AV-Vertrag nach der DSGVO begründen.
Verfasser: Anna-Lea Burgdorf (wissenschaftliche Mitarbeiterin der Datenschutzkanzlei), RA David Oberbeck
Blog-Archiv Monat auswählen Februar 2018 (1) Januar 2018 (2) Dezember 2017 (3) Oktober 2017 (2) September 2017 (3) August 2017 (1) Mai 2017 (2) April 2017 (5) Februar 2017 (1) Januar 2017 (2) Dezember 2016 (3) November 2016 (1) Oktober 2016 (2) August 2016 (2) Juli 2016 (4) Juni 2016 (3) Mai 2016 (2) April 2016 (3) März 2016 (4) Februar 2016 (3) Januar 2016 (3) Dezember 2015 (5) November 2015 (3) September 2015 (1) August 2015 (1) Mai 2015 (1) März 2015 (1) Dezember 2014 (1) Oktober 2014 (1) August 2014 (1) Juli 2014 (1) April 2014 (1) März 2014 (1) Dezember 2013 (1) November 2013 (1) Oktober 2013 (3) August 2013 (1) Juli 2013 (1) Mai 2013 (1)