Auftragsverarbeitung

Start › IT-Recht › Datenschutz › Auftragsverarbeitung

Fast jedes Unternehmen lässt personenbezogene Daten durch Dienstleister verarbeiten: Cloud, Lohnabrechnung, Hosting, IT-Support, Newsletter-Versand. Dafür verlangt Art. 28 DSGVO einen Vertrag mit festem Mindestinhalt. Wir prüfen, verhandeln und entwerfen Auftragsverarbeitungsverträge für Auftraggeber und Dienstleister.

Wann liegt Auftragsverarbeitung vor?

Auftragsverarbeiter ist, wer Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet und über Zwecke und wesentliche Mittel nicht selbst entscheidet. Verfolgt der Dienstleister eigene Zwecke, ist er eigener Verantwortlicher; legen beide gemeinsam Zwecke und Mittel fest, liegt gemeinsame Verantwortlichkeit nach Art. 26 vor. Die Einordnung richtet sich nach den tatsächlichen Verhältnissen, nicht nach der Vertragsbezeichnung.

Konstellation	Typische Einordnung
Cloud-Hosting, SaaS, Rechenzentrum	Auftragsverarbeitung
Externe Lohnbuchhaltung, Aktenvernichtung, Fernwartung	Auftragsverarbeitung
Steuerberater, Rechtsanwalt, Wirtschaftsprüfer	eigene Verantwortlichkeit (weisungsfreie Berufsausübung)
Bank, Post, Inkasso mit eigenem Forderungserwerb	eigene Verantwortlichkeit
Facebook-Fanpage, gemeinsame Marketing-Plattform	häufig gemeinsame Verantwortlichkeit

AV-Vertrag nach Art. 28 DSGVO: Pflichtinhalte

Der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien der Betroffenen festlegen. Daneben verlangt Art. 28 Abs. 3 unter anderem:

• Verarbeitung nur auf dokumentierte Weisung, auch bei Drittlandübermittlungen;
• Vertraulichkeitsverpflichtung der eingesetzten Personen;
• technische und organisatorische Maßnahmen nach Art. 32;
• Regeln für Unterauftragsverarbeiter mit Genehmigung und Widerspruchsrecht;
• Unterstützung bei Betroffenenrechten, Datenpannen und Datenschutz-Folgenabschätzung;
• Löschung oder Rückgabe nach Vertragsende;
• Nachweise und Kontrollrechte einschließlich Inspektionen.

Der Vertrag ist schriftlich abzufassen, was nach Art. 28 Abs. 9 auch in einem elektronischen Format möglich ist. Die Kommission hat Standardvertragsklauseln für die Auftragsverarbeitung innerhalb der EU veröffentlicht (Durchführungsbeschluss (EU) 2021/915), die als Grundlage dienen können.

Worauf es in der Verhandlung ankommt

Große Anbieter legen eigene Data Processing Addenda vor, die sich kaum verhandeln lassen. Dann prüfen wir, ob die Mindestinhalte erfüllt sind, und dokumentieren Lücken samt ergänzender Maßnahmen. Bei mittelständischen Dienstleistern sind Anpassungen meist möglich. Streitpunkte sind regelmäßig:

• Haftung und Freistellung, insbesondere für Bußgelder und Schadensersatz nach Art. 82;
• Vergütung für Unterstützungsleistungen und Audits;
• Meldefristen des Dienstleisters bei Datenpannen, damit die 72 Stunden des Verantwortlichen einhaltbar bleiben;
• Unterauftragnehmer in Drittstaaten und Zugriffe aus dem Ausland;
• Nutzung von Kundendaten für eigene Zwecke des Anbieters, etwa Produktverbesserung oder KI-Training.

Der letzte Punkt gewinnt an Bedeutung: Nutzt ein Anbieter Daten für eigene Zwecke, wird er insoweit selbst Verantwortlicher, und der Auftraggeber braucht für die Weitergabe eine eigene Rechtsgrundlage.

Pflichten nach Vertragsschluss

Der Verantwortliche muss den Dienstleister sorgfältig auswählen und während der Laufzeit kontrollieren. In der Praxis genügen meist aktuelle Zertifikate (etwa ISO 27001, BSI C5) und Prüfberichte; bei sensiblen Daten können Vor-Ort-Prüfungen angezeigt sein. Änderungen bei Unterauftragnehmern sind zu verfolgen. Auftragsverarbeiter führen ein eigenes Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 2) und haften für eigene Pflichtverstöße unmittelbar.

Typische Mandate

• Prüfung von AV-Verträgen großer Cloud- und SaaS-Anbieter vor dem Rollout.
• Eigene Vertragsmuster für IT-Dienstleister, Agenturen und Softwarehäuser.
• Einordnung schwieriger Konstellationen: Konzern-IT, Plattformen, Berufsgeheimnisträger.
• Regress und Freistellung nach einer Datenpanne beim Dienstleister.

Hilfreich für den Start sind der Hauptvertrag, der vorhandene AV-Vertrag mit Anlagen (TOM, Unterauftragnehmerliste) und eine kurze Beschreibung der betroffenen Daten.

Häufige Fragen zur Auftragsverarbeitung

Was passiert, wenn kein AV-Vertrag besteht?

Die Weitergabe ist dann regelmäßig rechtswidrig. Es drohen Bußgelder gegen beide Seiten nach Art. 83 Abs. 4 und Schadensersatzansprüche. Der Vertrag sollte unverzüglich nachgeholt werden.

Brauche ich für Fernwartung einen AV-Vertrag?

Ja, wenn der Dienstleister dabei auf personenbezogene Daten zugreifen kann. Das ist bei Wartung von Servern, Praxis- oder Warenwirtschaftssystemen in der Regel der Fall.

Kann der Dienstleister die Haftung im AV-Vertrag ausschließen?

Gegenüber Betroffenen nicht. Im Verhältnis zum Auftraggeber sind Begrenzungen möglich, unterliegen aber bei vorformulierten Bedingungen der AGB-Kontrolle.

Verwandte Themen

• Datentransfer in Drittländer
• Cloud Computing
• SaaS-Verträge
• IT-Outsourcing
• Microsoft 365