Auftragsverarbeitung Dienstleister: AVV nach DSGVO richtig prüfen

Einordnung

Auftragsverarbeitung Dienstleister: Worum geht es?

Kaum eine Organisation verarbeitet personenbezogene Daten nur mit eigenen Mitteln. Websites werden gehostet, IT-Systeme gewartet, Newsletter versendet, Fachsoftware betrieben, Akten vernichtet oder Cloud-Dienste genutzt.

Sobald dabei personenbezogene Daten betroffen sind, muss geklärt werden, welche datenschutzrechtliche Rolle der Dienstleister hat. Das ist mehr als eine Formalität.

Die Einordnung entscheidet darüber, ob ein Vertrag zur Auftragsverarbeitung nötig ist, wer welche Informationspflichten erfüllt, wer Betroffenenrechte bearbeitet, wer Sicherheitsmaßnahmen nachweist und wer bei Fehlern verantwortlich ist.

Ein falscher oder fehlender AVV kann zu Datenschutzlücken führen. Ein unnötiger AVV kann aber genauso problematisch sein, wenn dadurch die Rolle des Dienstleisters falsch beschrieben wird.

Grundlage

Was ist Auftragsverarbeitung?

Auftragsverarbeitung bedeutet: Ein Verantwortlicher entscheidet über Zweck und wesentliche Mittel der Verarbeitung, während ein Dienstleister personenbezogene Daten für diesen Verantwortlichen verarbeitet.

Typisch ist ein Weisungsverhältnis. Der Dienstleister darf die Daten nicht für eigene Zwecke nutzen. Er verarbeitet sie nur, weil und soweit der Auftraggeber dies vorgibt.

Der Auftraggeber bleibt verantwortlich. Er kann Datenschutzpflichten nicht einfach auf den Dienstleister abschieben.

Der Dienstleister muss die vereinbarten Weisungen beachten, angemessene technische und organisatorische Maßnahmen umsetzen und die Einhaltung der Anforderungen nachweisen können.

Rollenklärung

Abgrenzung: Auftragsverarbeiter oder eigener Verantwortlicher?

Die wichtigste Prüfung lautet: Wer entscheidet über Zweck und wesentliche Mittel der Verarbeitung?

Spricht der Auftraggeber detaillierte Weisungen aus und behält die Hoheit über Verwendung, Löschung und Zweck der Daten, spricht viel für Auftragsverarbeitung.

Entscheidet der Dienstleister dagegen selbst, warum und wie Daten verarbeitet werden, spricht das gegen Auftragsverarbeitung.

Ebenso kritisch ist es, wenn die eigentliche Fachaufgabe auf den Dienstleister übertragen wird. Dann liegt häufig keine bloße Hilfstätigkeit mehr vor.

Zwischen beiden Polen kann es Fälle gemeinsamer Verantwortlichkeit geben, wenn mehrere Stellen gemeinsam über Zwecke und wesentliche Mittel entscheiden.

Praxis

Typische Beispiele für Auftragsverarbeitung

Auftragsverarbeitung kann in vielen Bereichen vorkommen. Entscheidend bleibt aber immer die konkrete Ausgestaltung.

Nicht automatisch

Wann ein AVV nicht passt

Ein AVV ist nicht automatisch richtig, nur weil ein Dienstleister personenbezogene Daten erhält.

Kein klassischer Auftragsverarbeiter ist regelmäßig eine Stelle, die eigenständig fachlich entscheidet oder eigene gesetzliche Pflichten erfüllt.

Das kann zum Beispiel bei Rechtsanwälten, Steuerberatern, Wirtschaftsprüfern, Behörden, Gerichten, Banken, Postdienstleistern oder eigenverantwortlich handelnden Fachstellen relevant werden.

Auch bei Kooperationsprojekten kann statt einer Auftragsverarbeitung eine gemeinsame Verantwortlichkeit vorliegen. Dann braucht es keine Art.-28-Vereinbarung, sondern eine Vereinbarung nach Art. 26 DSGVO.

Die falsche Einordnung ist gefährlich, weil sie Zuständigkeiten verschleiert. Deshalb sollte vor jedem Vertrag zuerst die Rolle geprüft werden.

Art. 28 DSGVO

Was verlangt ein Vertrag zur Auftragsverarbeitung?

Ein Vertrag zur Auftragsverarbeitung muss die Verarbeitung klar regeln. Er darf nicht nur aus einer Überschrift und allgemeinen Datenschutzfloskeln bestehen.

Wichtig sind insbesondere Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen.

Außerdem müssen Weisungen, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragnehmer, Unterstützung bei Betroffenenrechten, Unterstützung bei Datenschutzverletzungen, Löschung oder Rückgabe nach Ende des Auftrags sowie Kontroll- und Nachweismöglichkeiten geregelt werden.

Der Vertrag sollte zur tatsächlichen Verarbeitung passen. Ein Standard-AVV ohne Beschreibung der konkreten Datenverarbeitung hilft in der Praxis wenig.

Vor Auftrag

Dienstleister sorgfältig auswählen

Die Prüfung beginnt nicht erst beim Unterschreiben des AVV. Verantwortliche dürfen nur Dienstleister einsetzen, die ausreichende Garantien für eine datenschutzkonforme Verarbeitung bieten.

Dazu gehören Fachkunde, Zuverlässigkeit, geeignete technische und organisatorische Maßnahmen, transparente Unterauftragnehmer, nachvollziehbare Speicherorte und ein belastbares Sicherheitskonzept.

Bei einfachen Dienstleistungen kann die Prüfung überschaubar sein. Bei Cloud, Fachverfahren, Gesundheitsdaten, Beschäftigtendaten, Sozialdaten oder Bürgerdaten muss sie deutlich gründlicher ausfallen.

Für Kommunen gilt zusätzlich: Die Verantwortung bleibt bei der öffentlichen Stelle. Auch wenn ein externer Anbieter technisch stärker ist, muss die Kommune die Auswahl und Kontrolle nachvollziehbar dokumentieren.

Sicherheit

TOM, Nachweise und Kontrollen

Technische und organisatorische Maßnahmen sind der praktische Kern der Auftragsverarbeitung.

Dazu können Zugriffsschutz, Berechtigungskonzepte, Verschlüsselung, Protokollierung, Backup, Löschkonzept, Mandantentrennung, Schulung, Vertraulichkeitsverpflichtung, Incident-Prozesse und Notfallkonzepte gehören.

Die Maßnahmen müssen zum Risiko passen. Eine einfache Kontaktdatenverarbeitung stellt andere Anforderungen als ein Fachverfahren mit Bürgerdaten oder ein System mit Gesundheits- oder Sozialdaten.

Der Verantwortliche sollte sich nicht mit allgemeinen Werbeaussagen zufriedengeben. Er braucht konkrete Nachweise, Dokumentation oder zumindest nachvollziehbare Beschreibungen der Schutzmaßnahmen.

Subdienstleister

Unterauftragnehmer nicht übersehen

Viele Dienstleister arbeiten selbst mit weiteren Anbietern zusammen. Gerade bei Cloud, Hosting, Support, Versand, Analyse, Druck oder Plattformdiensten entstehen schnell ganze Dienstleisterketten.

Unterauftragnehmer dürfen nicht beliebig eingebunden werden. Der Verantwortliche muss hierfür eine Genehmigung erteilen können.

Außerdem muss der Hauptdienstleister den Unterauftragnehmern im Kern dieselben Datenschutzpflichten auferlegen, die auch für ihn gelten.

Praktisch wichtig ist eine aktuelle Unterauftragnehmerliste. Sie sollte erkennen lassen, wer welche Leistung erbringt, wo Daten verarbeitet werden und wie Änderungen mitgeteilt werden.

Öffentliche Stellen

Besonderheiten für Kommunen und öffentliche Stellen

Für Kommunen reicht die allgemeine Art.-28-Prüfung oft nicht aus. Denn öffentliche Stellen verarbeiten Daten in vielen Bereichen auf spezialgesetzlicher Grundlage.

Besonders sorgfältig zu prüfen sind etwa Meldedaten, Steuerdaten, Sozialdaten, Personalaktendaten, Gesundheitsdaten, Daten aus Ordnungswidrigkeitenverfahren, Ratsunterlagen, Fachverfahren und besonders vertrauliche Bürgerdaten.

In diesen Bereichen können Fachgesetze zusätzliche Anforderungen stellen, bestimmte Auslagerungen einschränken oder besondere Dokumentation verlangen.

Auch bei der Einschaltung kommunaler IT-Dienstleister, externer Fachverfahrensanbieter oder privater Cloud-Anbieter muss klar sein, wer Verantwortlicher bleibt, welche Weisungen gelten und wie die Kommune ihre Kontrollrechte tatsächlich wahrnehmen kann.

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD hat eine eigene Orientierungshilfe zur Auftragsverarbeitung veröffentlicht. Darin arbeitet er heraus, dass für eine Auftragsverarbeitung vor allem die Weisungsgebundenheit des Dienstleisters und die fehlende eigene Entscheidungsbefugnis über Zweck und Verwendung der Daten sprechen.

Für eine Auftragsverarbeitung spricht nach der BayLfD-Linie insbesondere, dass die öffentliche Stelle die Hoheit über Verwendung, Löschung oder Vernichtung der Daten behält, der Dienstleister ausführlichen Weisungen unterliegt und keine eigenen Nutzungsrechte an den Daten erhält.

Gegen eine Auftragsverarbeitung spricht, wenn der Dienstleister die Daten für eigene Zwecke nutzen darf, gemeinsam mit der öffentlichen Stelle über Zweck und wesentliche Mittel entscheidet, die fachliche Aufgabe übertragen bekommt oder selbst entscheidet, wann und wie Daten verarbeitet werden.

Der BayLfD weist außerdem darauf hin, dass Auftragsverarbeitung grundsätzlich in vielen Rechtsbereichen möglich ist. Öffentliche Stellen müssen aber prüfen, ob bereichsspezifische Vorschriften besondere Voraussetzungen enthalten oder eine Auftragsverarbeitung einschränken.

Als sensible Beispiele nennt der BayLfD unter anderem Meldedaten, Steuerdaten, Sozialdaten, Patientendaten und Personalaktendaten.

Bei der Auswahl des Auftragsverarbeiters betont der BayLfD die Pflicht zur sorgfältigen Auswahl. Der Dienstleister muss ausreichende Garantien für eine rechtmäßige Verarbeitung und geeignete technische und organisatorische Maßnahmen bieten.

Praxisfehler

Typische Fehler bei Auftragsverarbeitung

Orientierung

Orientierungsfragen vor Beauftragung eines Dienstleisters

Diese Fragen dienen der ersten Einordnung. Sie ersetzen keine Prüfung des konkreten Vertrags und der tatsächlichen Verarbeitung.

Häufige Fragen

FAQ zu Auftragsverarbeitung Dienstleister

Ergebnis

Fazit

Auftragsverarbeitung ist kein reines Formularproblem. Entscheidend ist zuerst die richtige Rolle des Dienstleisters.

Liegt Auftragsverarbeitung vor, braucht es einen konkreten Vertrag nach Art. 28 DSGVO, eine sorgfältige Auswahl des Dienstleisters, nachvollziehbare technische und organisatorische Maßnahmen und klare Regeln zu Unterauftragnehmern, Weisungen, Löschung und Kontrolle.

Für Kommunen und öffentliche Stellen kommt hinzu, dass Fachrecht und besondere Datenarten nicht übersehen werden dürfen.

Weiterlesen

Passende Themen auf der Website

Nachweise

Quellen