Source: https://www.projekt29.de/gdd-veroeffentlicht-praxishinweise-fuer-auftragsverarbeiter/
Timestamp: 2018-02-25 06:10:43
Document Index: 228837127

Matched Legal Cases: ['Art. 28', 'Art. 4', 'Art. 4', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 28']

GDD veröffentlicht Praxishinweise für Auftragsverarbeiter – Projekt 29 GmbH & Co. KG
Die Auftragsverarbeitung wird zukünftig über Art. 28 DS-GVO geregelt. Während die Norm teilweise bekannte Vorgaben an die Dienstleisterauswahl und die vertragliche Gestaltung stellt, enthält die DS-GVO an verschiedenen Stellen eigene Rechtspflichten für Auftragsverarbeiter. Der GDD e.V. hat daher Praxishinweise mit Hilfestellungen für Auftragsverarbeiter herausgegeben, die aufzeigen wie die gesetzlichen Vorgaben umgesetzt werden können.
Ein „Auftragsverarbeiter“ ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Abs. 8 DS-GVO). Gem. Art. 4 Abs. 10 DS-GVO ist die Auftragsverarbeitung weiterhin dergestalt privilegiert, dass der Auftragsverarbeiter kein Dritter ist. Eine Beschränkung der Privilegierung auf den EWR-Raum erfolgt nicht. Auftragsverarbeiter im Drittland sind damit ebenfalls keine „Dritten“ für den Verantwortlichen.
BIN ICH AUFTRAGSVERARBEITER?
Auftragsverarbeiter verarbeiten personenbezogene Daten im Auftrag des Verantwortlichen und auf Basis seiner Weisungen. Da die Leistungen eines Dienstleisters sehr vielschichtig sind, muss im Rahmen einer Einzelfallprüfung untersucht werden, ob eine Verarbeitung personenbezogener Daten im Auftrag vorliegt. Es bestehen jedoch Kriterien, die bei der Prüfung zur Einordnung als Verantwortlicher oder Auftragsverarbeiter Unterstützung leisten können. So kann eine Stelle, die über die Zwecke der Verarbeitung personenbezogener Daten entscheidet, kein Auftragsverarbeiter sein. Bei der Beurteilung dieses Kriteriums ist zu untersuchen,
welchen Umfang der Handlungsspielraum des Dienstleisters bei der Auftragsvearbeitung hat,
wie der Dienstleister durch den Auftraggeber überwacht wird
die Expertise des Dienstleistes bei der Auf-tragsvearbeitung
die Transparenz des Dienstleisters gegenüber dem Betroffenen.
Wie lange sie verarbeitet werden
Wer Zugang zu ihnen hat
Die alleinige Entscheidung des Auftragsverarbeiters über technisch-organisatorische Mittel ist kein Ausschlussgrund für eine Auftragsverarbeitung.
Wird der Dienstleister mit der IT-Wartung oder Fernwartung betraut und besteht hierbei die Notwendigkeit oder Möglichkeit des Zugriffs auf personenbezogene Daten des Auftraggebers, soll es sich nach Meinung der hiesigen Aufsichtsbehörden um eine Form der Auftragsverarbeitung handeln und die Anforderungen des Art. 28 DS-GVO sollen für die geschuldete Tätigkeit gelten. Bei einer rein technischen Wartung ohne Zugriff auf personenbezogene Daten des Auftraggebers gelten die Vorgaben des Art. 28 DS-GVO entsprechend nicht. Ein möglicher Ablauf zur Einordnung des Dienstleisters als Verantwortlicher der Auftragsverarbeiter ist dem nachfolgenden Schaubild zu entnehmen:
Aus GDD Praxishilfe XII
Datenerfassung, Datenkonvertierung
Backup-Auslagerung und Archivierung
Tätigkeiten und damit verbundene Verarbeitungen personenbezogener Daten von Berufsgeheimnisträgern (Rechtsanwälte, Steuerberater, Wirtschaftsprüfer)
Die Übertragung des Forderungsmanagements an ein Inkassounternehmen
Postdienstleistungen in Form des Brieftransports
Gemäß Art. 28 Abs. 9 DS-GVO kann ein Vertrag zur weisungsgebundenen Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter schriftlich oder in einem elektronischen Format abgefasst werden. Dieser Vertrag muss den Anforderungen des Art. 28 DS-GVO entsprechen. Anregungen zur Vertragsgestaltung finden sich in der GDD-Praxishilfe DS-GVO IV „Mustervertrag zur Auftragsverarbeitung“. Für Verträge im Kontext des Gesundheitswesens Hat die GDD ebenfalls ein Muster entworfen.
Die komplette Praxishilfe, die auch noch ausführlich auf die Verantwortlichkeiten und Pflichten für Auftragsverarbeiter eingeht steht Ihnen auf Seiten der GDD kostenlos zur Verfügung.