Auftragsverarbeitungsvertrag
Fakten zum Auftragsverarbeitungsvertrag
Durch die Einführung des Mindestlohns im Jahr 2015 ist der Trend eine geringfügige Beschäftigung zu haben, etwas abgeflacht. Nach wie vor bessern jedoch viele Menschen ihr Einkommen durch einen oder mehrere Minijobs auf.
Wie viele Minijobs jemand grundsätzlich haben darf und was zu beachten ist, erfahren Sie in diesem dilohver-Wissenswert-Beitrag.
- Eine Auftragsverarbeitung liegt vor, wenn Daten weisungsgebunden im Auftrag von einem Auftragnehmer verarbeitet werden.
- Beispiele für eine Auftragsverarbeitung sind Dienstleister wie Lohnbüros und Aktenvernichter sowie Outsourcing-Lösungen wie z.B. Hosting-Anbieter.
- Liegt ein Auftragsverarbeitungsverhältnis vor, muss gem. Art. 28 Abs. 3 DSGVO ein Auftragsverarbeitungsvertrag abgeschlossen werden.
- Der Datenschutzbeauftragte unterstützt sowohl bei der Erstellung als auch bei der Prüfung von AVVs.
Definition Auftragsverarbeitungsvertrag
Werden personenbezogenen Daten von einem Dienstleister weisungsgebunden im Auftrag verarbeitet, gilt das als Auftragsverarbeitung. Dann ist der Abschluss eines Auftragsverarbeitungsvertrags (AVV) erforderlich. Festgehalten wird diese Pflicht in Art. 28 DSGVO.
Der Auftraggeber ist rechtlich weiterhin für die personenbezogenen Daten und den Umgang mit diesen verantwortlich. Er muss die Auftragnehmer mit der gebotenen Sorgfalt aussuchen und deren Tätigkeit regelmäßig überprüfen.
Praxisbeispiele für die Auftragsverarbeitung
Software-as-a-Service-Lösungen wie Newsletter- oder Buchhaltungstools
Betreiber von Eingabemasken (Formularen), die auf Ihrer Website eingebunden werden können (z. B. Unbounce oder Mailchimp)
Cloudbasierte CRM-Tools, oder externe und digiale Zeiterfassungsyysteme
Betreiber von Eingabemasken (Formularen), die auf Ihrer Website eingebunden werden können sowie Hosting-Services.
Agenturen für Marketing, Vertrieb oder Beratung, sofern diese Zugriff auf personenbezogene Daten von Mitarbeitern, Kunden, Nutzern oder anderen Kontakten des Unternehmens haben
Akten- und Datenträgervernichtung durch externe Dienstleister, wie z.B.externe Callcenter oder Kundenservices
Auftragsverarbeitung vs. gemeinsame Verantwortlichkeit
Hier ein paar typische Abgrenzungsmerkmale, welche für eine Auftragsverarbeitung sprechen:
- Der Verantwortliche legt fest, welche Daten erhoben, wie lange diese verarbeitet und wann diese gelöscht werden.
- Ebenso bestimmt der Verantwortliche den Zweck der Datenerhebung.
- Der Verantwortliche entscheidet darüber, ob Daten gelöscht werden dürfen.
Anforderungen an einen Auftragsverarbeitungsvertrag nach DSGVO
Die spezifischen Anforderungen, die ein AVV erfüllen muss, sind in Art. 28 DSGVO festgelegt. Hierdurch soll gewährleistet werden, dass die Datenverarbeitung auch beim Einsatz eines Auftragsverarbeiters den Vorgaben der DSGVO genügt.
Der AVV ist schriftlich abzuschließen – die elektronische Form ist möglich. Zudem ist der Auftragsverarbeiter verpflichtet, technische und organisatorischen Maßnahmen (TOM) zu ergreifen, um die Sicherheit der Datenverarbeitung zu gewährleisten.
Verantwortlicher (Auftraggeber)
- Sicherstellen, dass Datenschutzvorgaben eingehalten werden können
- AV mit gebotener Sorgfalt auswählen
- Weisungen zur Auftragsverarbeitung schriftlich in einem AVV festhalten
- Jeden neuen AVV in das Verzeichnis von Verarbeitungstätigkeiten aufnehmen
Auftragsverarbeiter (Auftragnehmer)
- Datenschutzkonzept inkl. TOM zur Sicherheit der Datenverarbeitung erarbeiten
- Rechtssichere Auftragsverarbeitungsverträge erstellen, die von Kunden übernommen werden können
- Jeden Datenschutzverstoß an den Auftraggeber melden
Die Ausnahmen beim Auftragsverarbeitungsvertrag
Sollten Sie nach all den Abwägungen noch immer zu keinem klaren Ergebnis gekommen sein, bleibt Ihnen immer noch die Möglichkeit, sich bei ihrer zuständigen Datenschutzaufsichtsbehörde zu erkundigen. Die ist sich vielleicht auch nicht sicher, aber die muss eine Meinung haben. Was jetzt eigentlich mit dem Steuerberater ist? Der ist eine fremde Fachleistung und selber für die Daten verantwortlich. Genauso wie Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer, Inkassobüros mit Forderungsübertragung, Bankinstitute für den Geldtransfer und Postdienste für den Brieftransport. Sagen zumindest die Aufsichtsbehörden.
Fazit: ohne Auftragsverarbeitungsverträge kein Business
Jeder Auftragnehmer, der als Dritter personenbezogene Daten verarbeitet, stellt ein gewisses Risiko dar – für Datenpannen, Datenschutzverstöße oder die Missachtung der ihm auferlegten Pflichten. Daher will jeder Auftragsverarbeiter gut ausgewählt sein – und der AVV ist ein fantastisches Indiz für die Qualität der Zusammenarbeit und die Professionalität und Verlässlichkeit des Auftragsverarbeiters.
Als Auftragsverarbeiter zeigen Unternehmen durch Dokumente wie die technischen und organisatorischen Maßnahmen und den AVV, dass sie den Datenschutz ernst nehmen.
Persönlich. Sicher. Vertraulich
Als externer Datenschutzbeauftragter kann Sie dilohver bei der Erstellung von AVVs unterstützen und die AVVs Ihrer Auftragnehmer prüfen.
Disclaimer
Wir machen darauf aufmerksam, dass die Inhalte unserer Internetseite (auch etwaige Rechtsbeiträge) lediglich dem unverbindlichen Informationszweck dienen und keine Rechtsberatung im eigentlichen Sinne darstellen. Der Inhalt dieser Informationen kann und soll eine individuelle und verbindliche Rechtsberatung, die auf Ihre spezifische Situation eingeht, nicht ersetzen. Insofern verstehen sich alle bereitgestellten Informationen ohne Gewähr auf Richtigkeit, Vollständigkeit und Aktualität.
