Source: http://privcom.de/blog/entry/datenschutz/auftragsdatenverarbeitung-eine-geschichte-die-nie-endet
Timestamp: 2018-04-27 02:57:19
Document Index: 196408244

Matched Legal Cases: ['Art. 28', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 82']

Auftragsdatenverarbeitung nach Art. 28 DSGVO - PrivCom Datenschutz GmbH
Art. 28 DSVO sieht weiterhin eine Regelung der Auftragsdatenverarbeitung in einem Vertrag vor, der die wichtigsten Punkte im Umgang mit den personenbezogenen Daten des auftraggebenden Unternehmens regelt (Art. 28 Abs. 3 DSGVO). So, wie auch das BDSG bisher schon tat. Auftraggebende Unternehmen sind gehalten, nur Auftragsverarbeiter einsetzen, die "hinreichend Garantien" dafür bieten, dass sie "geeignete technische und organisatorische Maßnahmen" für einen ausreichenden Datenschutz im Sinne der DSGVO etabliert haben (Art. 28 Abs. 1 DSGVO). Wichtig ist in diesem Zusammenhang: diese Garantien müssen nachgewiesen werden, und zwar vor der Beauftragung und auch im Vertrag (Art. 28 Abs. 5 DSGVO).
Bis die von der DSGVO vorgesehenen Möglichkeiten eines standardisierten Nachweises in Form von Zertifizierungen und Verhaltensregeln etabliert sein werden, wird voraussichtlich noch viel Zeit vergehen. In der Praxis muss daher auf andere Faktoren des Nachweises geeigneter Sicherheitsmaßnahmen zurück gegriffen werden. Dies können z.B. sein: Berichte eigener, interner Prüfungen und Audits, Ergebnisse externer Audits, ISO-Zertifizierungen. An dieser Stelle hakt es in der Praxis noch gewaltig. Erst kürzlich wollte mir ein Datenschutzbeauftragter eines Rechenzentrums erzählen, die Vorlage eines Zertifikats, dass das Rechenzentrum ISO 27001 zertifiziert sei, reiche als Nachweis für das Vorliegen von Sicherheitsmaßnahmen aus. Nein - da muss schon mehr vorgelegt werden.
Neben den altbekannten Pflichten bringt die DSGVO Neuerungen insbesondere für Auftragsverarbeiter mit sich. Verstößt ein Auftragsverarbeiter bei der Datenverarbeitung gegen die Anweisungen des auftraggebenden Unternehmens, gilt er nach Art. 28 Abs. 10 DSGVO jetzt selbst als Verantwortlicher - alle rechtlichen Folgen inklusive. Neu hinzugekommen sind für den Fall von Datenschutzverletzungen durch Auftragsverarbeiter auch spezielle Haftungsregelungen (Art. 82 DSGVO). Betroffene können einen entstandenen Schaden entweder beim Verantwortlichen oder beim Auftragsverarbeiter geltend machen.