Title: § 62 Auftragsverarbeitung

Description:
Bundesdatenschutzgesetz (BDSG 2018)
Teil 3 - Bestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680
Kapitel 4 - Pflichten der Verantwortlichen und Auftragsverarbeiter
§ 62 Auftragsverarbeitung

Paragraph: 62

Content:
Bundesdatenschutzgesetz (BDSG 2018)
Teil 3 - Bestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680
Kapitel 4 - Pflichten der Verantwortlichen und Auftragsverarbeiter
§ 62 Auftragsverarbeitung

(1) Werden personenbezogene Daten im Auftrag eines Verantwortlichen
durch andere Personen oder Stellen verarbeitet, hat der
Verantwortliche für die Einhaltung der Vorschriften dieses Gesetzes
und anderer Vorschriften über den Datenschutz zu sorgen. Die Rechte
der betroffenen Personen auf Auskunft, Berichtigung, Löschung,
Einschränkung der Verarbeitung und Schadensersatz sind in diesem Fall
gegenüber dem Verantwortlichen geltend zu machen.

(2) Ein Verantwortlicher darf nur solche Auftragsverarbeiter mit der
Verarbeitung personenbezogener Daten beauftragen, die mit geeigneten
technischen und organisatorischen Maßnahmen sicherstellen, dass die
Verarbeitung im Einklang mit den gesetzlichen Anforderungen erfolgt
und der Schutz der Rechte der betroffenen Personen gewährleistet wird.

(3) Auftragsverarbeiter dürfen ohne vorherige schriftliche Genehmigung
des Verantwortlichen keine weiteren Auftragsverarbeiter hinzuziehen.
Hat der Verantwortliche dem Auftragsverarbeiter eine allgemeine
Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter erteilt, hat
der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte
Hinzuziehung oder Ersetzung zu informieren. Der Verantwortliche kann
in diesem Fall die Hinzuziehung oder Ersetzung untersagen.

(4) Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter
hinzu, so hat er diesem dieselben Verpflichtungen aus seinem Vertrag
mit dem Verantwortlichen nach Absatz 5 aufzuerlegen, die auch für ihn
gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter
nicht schon aufgrund anderer Vorschriften verbindlich sind. Erfüllt
ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so
haftet der ihn beauftragende Auftragsverarbeiter gegenüber dem
Verantwortlichen für die Einhaltung der Pflichten des weiteren
Auftragsverarbeiters.

(5) Die Verarbeitung durch einen Auftragsverarbeiter hat auf der
Grundlage eines Vertrags oder eines anderen Rechtsinstruments zu
erfolgen, der oder das den Auftragsverarbeiter an den Verantwortlichen
bindet und der oder das den Gegenstand, die Dauer, die Art und den
Zweck der Verarbeitung, die Art der personenbezogenen Daten, die
Kategorien betroffener Personen und die Rechte und Pflichten des
Verantwortlichen festlegt. Der Vertrag oder das andere
Rechtsinstrument haben insbesondere vorzusehen, dass der
Auftragsverarbeiter

1.  nur auf dokumentierte Weisung des Verantwortlichen handelt; ist der
    Auftragsverarbeiter der Auffassung, dass eine Weisung rechtswidrig
    ist, hat er den Verantwortlichen unverzüglich zu informieren;

2.  gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten
    befugten Personen zur Vertraulichkeit verpflichtet werden, soweit sie
    keiner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

3.  den Verantwortlichen mit geeigneten Mitteln dabei unterstützt, die
    Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu
    gewährleisten;

4.  alle personenbezogenen Daten nach Abschluss der Erbringung der
    Verarbeitungsleistungen nach Wahl des Verantwortlichen zurückgibt oder
    löscht und bestehende Kopien vernichtet, wenn nicht nach einer
    Rechtsvorschrift eine Verpflichtung zur Speicherung der Daten besteht;

5.  dem Verantwortlichen alle erforderlichen Informationen, insbesondere
    die gemäß § 76 erstellten Protokolle, zum Nachweis der Einhaltung
    seiner Pflichten zur Verfügung stellt;

6.  Überprüfungen, die von dem Verantwortlichen oder einem von diesem
    beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt;

7.  die in den Absätzen 3 und 4 aufgeführten Bedingungen für die
    Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters
    einhält;

8.  alle gemäß § 64 erforderlichen Maßnahmen ergreift und

9.  unter Berücksichtigung der Art der Verarbeitung und der ihm zur
    Verfügung stehenden Informationen den Verantwortlichen bei der
    Einhaltung der in den §§ 64 bis 67 und § 69 genannten Pflichten
    unterstützt.

(6) Der Vertrag im Sinne des Absatzes 5 ist schriftlich oder
elektronisch abzufassen.

(7) Ein Auftragsverarbeiter, der die Zwecke und Mittel der
Verarbeitung unter Verstoß gegen diese Vorschrift bestimmt, gilt in
Bezug auf diese Verarbeitung als Verantwortlicher.

Source: https://www.gesetze-im-internet.de/bdsg_2018/__62.html
Directory: bdsg_2018
Level: 4.0