Was ist neu an der Auftragsverarbeitung?
Wie bereits das alte Bundesdatenschutzgesetz (BDSG aF) gestattet auch die seit Mai 2018 verbindliche Datenschutz-Grundverordnung (DS-GVO) eine Verarbeitung personenbezogener Daten durch externe Dienstleister (sog. Auftragsverarbeiter). Neu ist insbesondere die eigene Haftung des Auftragsverarbeiters sowie die Möglichkeit des Einsatzes von Auftragsverarbeitern auch im Nicht-EU/EWR-Ausland.
1. Zweck der Auftragsverarbeitung
Auftragsverarbeitung ist die Verarbeitung von personenbezogenen Daten durch einen Dienstleister im Auftrag des Verantwortlichen, der Stelle, die über Mittel und Zwecke von Datenverarbeitungsvorgängen bestimmt. Beispiele sind etwa eine bloße Speicherung personenbezogener Daten eines Dienstleisters für den Verantwortlichen („Hosting“) oder eine Auslagerung der Daten zu Cloud-Anbietern. Der Dienstleister unterliegt den Weisungen des Auftraggebers und wird so quasi „als verlängerter Arm“ des Verantwortlichen im Rahmen seiner Datenverarbeitung tätig. Da ein Auftragsverarbeiter im Verhältnis zum Verantwortlichen aus datenschutzrechtlicher Sicht nicht als Dritter einzuordnen ist, spricht man von der „Privilegierung“ der Auftragsverarbeitung: Die Datenweitergabe muss nicht die rechtlichen Anforderungen an die Zulässigkeit von Datenübermittlungen an andere datenschutzrechtlich Verantwortliche erfüllen.
Verarbeitung besonderer Arten personenbezogener Daten
Abgrenzung von der Funktionsübertragung
2. Was ist neu in der DS-GVO?
Die rechtlichen Rahmenbedingungen einer Auftragsverarbeitung unter der DS-GVO entsprechen in weiten Teilen denen der bisherigen Rechtslage unter dem BDSG. Abweichungen gibt es allerdings insbesondere hinsichtlich der Anforderungen an:
- die vertragliche Ausgestaltung des Verhältnisses zwischen Verantwortlichem und Auftragsverarbeiter;
- die Haftung auch des Auftragsverarbeiters auf Schadensersatz für Verstöße gegen die ihm durch die DS-GVO auferlegten Pflichten sowie an
- die Pflicht des Auftragsverarbeiters zur Führung eines Datenverarbeitungsverzeichnisses.
Inhaltliche Anforderungen an die Auftragsverarbeitungsvereinbarung
Die DS-GVO enthält einen Anforderungskatalog an den Vertrag zwischen Verantwortlichem und Auftragsverarbeiter. Neben bereits unter dem BDSG verpflichtenden vertraglichen Regelungen wie etwa einer Beschreibung von Gegenstand, Dauer, Art und Zweck der Datenverarbeitung sowie Klauseln zur Einbindung von Unterauftragsverarbeitern sieht die DS-GVO zusätzliche Mindestinhalte für derartige Auftragsverarbeitungsvereinbarungen vor. So ist dem Auftragsverarbeiter insbesondere aufzuerlegen, den Verantwortlichen bei verschiedenen seiner datenschutzrechtlichen Pflichten, etwa der Meldung von Datenschutzvorfällen oder der Beantwortung von Anfragen der von den Datenverarbeitungen betroffenen Personen, zu unterstützen. Ein Verstoß kann ein Bußgeld gemäß Art. 83 Abs. 4 DS-GVO nach sich ziehen. So wurde beispielsweise von der Landesdatenschutzbehörde Hamburg bereits ein Bußgeld in Höhe von € 5.000 gegen einen Verantwortlichen verhängt, der keinen Auftragsverarbeitungsvertrag geschlossen hatte, obwohl dieser zuvor selbst bei der Behörde angefragt und um Beratung gebeten hatte.
Haftung des Auftragsverarbeiters
Wie umgehen mit Altverträgen?
3. Privilegierung der Auftragsverarbeitung auch im Nicht-EU/EWR-Ausland
Die Auftragsverarbeitung erfährt insofern eine praktisch besonders relevante Aufwertung als die DS-GVO nun auch den Einsatz von Auftragsverarbeitern außerhalb von EU/EWR ermöglicht. Während das BDSG die „Privilegierung“ der Auftragsverarbeitung lediglich im Hinblick auf Dienstleister in EU/EWR vorsah, fällt diese Beschränkung unter der DS-GVO weg. Von großer Bedeutung ist dies insbesondere für große Cloud-Anbieter mit Sitz und Servern in den USA wie etwa Google, Salesforce und Workday.
Fallen Nicht-EU/EWR-Auftragsverarbeiter unter die DS-GVO?
4. Weitergehende Informationen
Kurzpapier des Bayrischen Landesamts für Datenschutzaufsicht zur Auftragsverarbeitung unter der DS-GVO
Mustervertrag zur Auftragsverarbeitung unter der DS-GVO im Gesundheitswesen in deutscher Sprache