Source: https://www.datenschutz-grundverordnung.eu/grundverordnung/art-28-ds-gvo/?action=discussion
Timestamp: 2020-01-23 18:19:50
Document Index: 68022440

Matched Legal Cases: ['Art.28', 'Art.28', 'Art.28', '§11', '§3', 'Art. 28', 'Art. 42', 'Art.28']

Art.28 – EU-DSGVO – Auftragsverarbeiter
> Art.28 - EU-DSGVO - Auftragsverarbeiter
Art.28 - DSGVO - Auftragsverarbeiter
Aufzeichnungen zu den Kategorien von Tätigkeiten der Verarbeitung personenbezogener Daten
3. Der für die Verarbeitung Verantwortliche, der Auftragsverarbeiter sowie der etwaige Vertreter des für die Verarbeitung Verantwortlichen stellen der Aufsichtsbehörde die Aufzeichnung auf Anforderung zur Verfügung. 3. Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter
5. Die Kommission wird ermächtigt,delegierte Rechtsakte nach Maßgabe vonArtikel 86 zu erlassen, um die Kriterienund Anforderungen für die in Absatz 1genannte Dokumentation festzulegen, sodass insbesondere denVerantwortlichkeiten des für dieVerarbeitung Verantwortlichen, desAuftragsverarbeiters sowie des etwaigenVertreters des für die VerarbeitungVerantwortlichen Rechnung getragen wird. 5. (entfällt) 5. Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um hinreichende Garantien im Sinne der Absätze 1 und 4 des vorliegenden Artikels nachzuweisen.
(entfällt) 6. Unbeschadet eines individuellen Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter kann der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 des vorliegenden Artikels ganz oder teilweise auf den in den Absätzen 7 und 8 des vorliegenden Artikels genannten Standardvertragsklauseln beruhen, auch wenn diese Bestandteil einer dem Verantwortlichen oder dem Auftragsverarbeiter gemäß den Artikeln 42 und 43 erteilten Zertifizierung sind.
Empfehlenswert auch: GDD-Praxishilfe DS-GVO IV - Mustervertrag zur Auftragsverarbeitung, Version 1.1, Stand April 2017
Der Auftragsverarbeiter muss zur Dokumentation der Verarbeitungstätigkeit beitragen und entsprechende Verzeichnisse anlegen sowie diese auf Anforderung der Aufsichtsbehörde vorlegen.
Allerdings gilt das Privileg der Auftragsverarbeitung anders im BDSG nicht nur auf den EU/EWR-Raum begrenzt. Zudem kann der Vertrag, auf der die Auftragsverarbeitung beruht, nun auch elektronisch abgeschlossen werden.
Hauptänderung ist die Verantwortung für die Datenverarbeitung im Auftrag. Während bei der Auftragsdatenverarbeitung nach §11 BDSG der Auftraggeber allein verantwortliche Stelle blieb (nach §3 Abs. 7 BDSG: „durch andere im Auftrag vornehmen lässt.“), können nun sowohl Auftraggeber als auch Auftragnehmer verantwortliche Stelle sein.
Ferner muss die Einhaltung der technisch-organisatorischen Maßnahmen nunmehr vom Auftragsverarbeiter eigeninitiativ nachgewiesen werden (Art. 28. V EU-DSGVO), etwa durch Zertifizierung nach Art. 42 EU-DSGVO. Im Unterschied zur bisher geltenden Regelung, in denen Audits des Auftragnehmers durch den Auftraggeber schon aus Budgetgründen eher spärlich vorkamen, darf der Auftragverarbeiter nicht mehr auf die Anforderung des Auftraggebers warten, sondern muss die Einhaltung selbständig nachweisen.
Weitere wichtige Informationen zur Auftragsdatenverarbeitung vom BayLDA nach der DSGVO finden Sie hier.
(Visited 93.840 times, 70 visits today)
2 Gedanken zu „Art.28 – EU-DSGVO – Auftragsverarbeiter“
Ing Helmut Petrik sagt:
Wenn ein Kleingarten Verein die Daten seiner Mitglieder an den Zentralverband der Kleingärtner (ZV) zwecks Ausstellung eines Pachtvertrages durch diesen weiter gibt ist der ZV dann Auftragsverarbeiter? Die Zustimmung zur Datenspeicherung liegt im Verein als Beitrittserklärung auf, Der Pachtvertrag ist aber zwischen Mitglied und ZV abgeschlossen. Danke für Infos.
Auch wenn Sie Daten bei einem Cloud-Anbieter haben, müssen Sie sicherstellen dass die EU-DAtenschutz-Grundverordnung eingehalten wird. Im Anlaßfall haften Sie und nicht der Betreiber der Cloud. Sie können Schadenersatz fordern aber nicht die Verantwortung delegieren.
Noch sind 8 Monate Zeit um die Verordnung umzusetzen, dann tritt sie ohne weitere Fristen in Kraft.
Obwohl genau genommen ist sie ja schon in Kraft gesetzt..