Bei der Verarbeitung von personenbezogenen Daten durch eine andere Stelle (z. B. Lohn- und Gehaltsbuchhaltung, IT-Systembetreuung, Callcenterdienstleistungen), hat der Verantwortliche der Verarbeitungsauslagerung dafür zu sorgen, dass die Vorschriften zum Datenschutz eingehalten werden.

I. Durch die Europäische Datenschutz-Grundverordnung (DSGVO) bzw. das nationale Datenschutz-Anpassungs- und -Umsetzungsgesetz (DSAnpUG) ergeben sich eine Reihe von gesetzlichen Anpassungen. Davon ist auch die Auftragsdatenverarbeitung betroffen, welche schon von der Bezeichnung her, nun verkürzt Auftragsverarbeitung (Art. 28 DSGVO; §§ 62 ff. DSAnpUG) genannt wird.

Grundlegend darf eine Auftragsverarbeitung nur vergeben werden, wenn geeignete technische und organisatorische Maßnahmen sicherstellen, dass die Verarbeitung unter Einhaltung der gesetzlichen Anforderungen erfolgt und der Schutz der Betroffenenrechte gewährleistet werden kann.

II. Auch wenn der Grundgedanke gleich bleibt sind einige Neuerungen zu beachten:

Es herrscht noch Uneinigkeit über die sog. Privilegierung der Auftragsverarbeitung, welche die Datenübertragung ohne weitere gesetzliche Erlaubnis oder Einwilligung des Betroffenen ermöglicht. Eine Auffassung geht davon aus, dass der Auftragsverarbeiter zwar nicht Dritter ist, aber nicht mehr als Teil der verantwortlichen Stelle anzusehen ist, was dazu führt, dass eine entsprechende Rechtsgrundlage oder eine Einwilligung vorhanden sein müsste. Die Gegenauffassung vertritt, dass es sich beim Auftragsverarbeiter nicht um einen Dritten handelt und es sich daher nicht um eine Datenübermittlung im herkömmlichen Sinne handelt. Insofern ist grundsätzlich davon auszugehen, dass die Privilegierung weiterhin bestehen bleibt, aber klarstellend wird eine Stellungnahme von den Aufsichtsbehörden oder dem europäischen Datenschutzausschuss erwartet.

Neu ist, dass ein sog. „Joint-Controller“ eingeführt wurde, der die verantwortliche Stelle und den Auftragsverarbeiter gemäß § 63 DSAnpUG als gemeinsame Verantwortliche beschreibt. In diesem Zusammenhang ergibt sich eine grundlegende Änderung bezüglich der Haftung für Datenschutzverstöße. Statt der alleinigen Haftung der verantwortlichen Stelle gegenüber den Betroffenen haftet künftig gemäß § 83 DSAnpUG auch der Auftragsverarbeiter (im Innenverhältnis für seine Aufgaben). Es können gemäß § 83 Abs. 2 DSAnpUG nun auch immaterielle Schäden geltend gemacht werden.

Die Vorabkontrolle (§ 4d Abs. 5 BDSG) wird nunmehr durch die Datenschutz-Folgenabschätzung (§ 67 DSAnpUG) ersetzt und muss durchgeführt werden, wenn mit einer erheblichen Gefahr für die Rechtsgüter betroffener Personen bei Verarbeitungsvorgängen gerechnet werden muss. Zur Durchführung einer solchen Kontrolle werden der Verantwortliche und der Auftragsverarbeiter gleichermaßen verpflichtet.

Weiterhin ist der Auftragsverarbeiter gemäß § 62 Abs. 3 DSAnpUG nicht berechtigt ohne vorherige schriftliche Genehmigung des Verantwortlichen weitere Auftragsverarbeiter hinzuziehen. Bei einer allgemeinen Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter hat der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung zu informieren. Der Verantwortliche kann in diesem Fall die Hinzuziehung oder Ersetzung untersagen. Wird die Genehmigung erteilt, muss der Auftragsverarbeiter seine Verpflichtungen gegenüber dem eingesetzten Auftragsverarbeiter entsprechend spiegeln.

Die generell erhöhten Anforderungen der Nachweis- und Dokumentationsverpflichtungen zeigen sich auch darin, dass bei der Auftragsverarbeitung die wesentlichen Verarbeitungsvorgänge der automatisierten Verarbeitungssysteme nachzuweisen sind. Gemäß § 76 DSAnpUG sind Protokolle über Erhebung, Veränderungen, Abfrage, Offenlegung einschließlich Übermittlung, Kombination und Löschung zu erstellen.

Nicht mehr explizit im als Wortlaut des Gesetzes findet sich wie in § 11 Abs. 5 BDSG die Prüfung oder Wartung von Verfahren oder Datenverarbeitungsanlagen. Grundsätzlich ist aber davon auszugehen, dass eine Auftragsverarbeitung schon alleine wegen der Möglichkeit des Zugriffs auf personenbezogene Daten (Schutzzweck) – durch eine Übermittlung, Verarbeitung oder eine andere Form der Bereitstellung – abgeschlossen werden muss.

III. Die Regelungen über die Auftragsverarbeitung sind in transparenter Form in einer Vereinbarung festzulegen. Die bisherigen Vereinbarungen müssen aufgrund der gesetzlichen Änderungen schriftlich oder elektronisch grundsätzlich neu gefasst werden. Gegenstand der Vereinbarung ist die Dauer, Art und Zweck der Verarbeitung der personenbezogenen Daten, die Kategorien der Betroffenen, Rechte und Pflichten der Verantwortlichen. Im Speziellen bedeutet dies, dass vertraglich insbesondere die nachfolgenden Themenbereiche für den Auftragsverarbeiter geregelt werden müssen:

• Dokumentation der Datenschutzweisungen des Verantwortlichen;
• Gewährleistung einer angemessen Verpflichtung auf die Vertraulichkeit bzgl. eingesetzter Personen;
• Vorhaltung geeigneter Mittel zur Einhaltung der Rechte der Betroffenen;
• Verfahrensweise über die Rückabwicklung bzw. Beendigung des Auftragsverhältnisses (z. B. Rückgabe, Löschung);
• Nachweise der Einhaltung der Pflichten, Unterstützung gemäß § 64 bis 67 und 69 DSAnpUG und Zulassung angemessener Kontrollmöglichkeiten;
• Ergreifung von Datensicherungsmaßnahmen nach § 64 DSAnpUG (z. B. Zugriffsbeschränkung, Need-to-know-Prinzip);

Die Aufsichtsbehörden erstellen zur Unterstützung eine sog. Positiv-Liste, in welcher die wesentlichen Dienstleistungen festgelegt werden, bei welchen zwingend eine Auftragsverarbeitungsvereinbarung abzuschließen ist.

Gerne stehen wir Ihnen für Rückfragen zur Verfügung.