Auftragsdatenverarbeitung DSGVO und Muster AV-Vertrag

Typische Beispiele für Auftragsverarbeitung und Daten-Outsourcing

Als Online-Händler wirst du in der Regel häufig mit Auftragsverarbeitung und Daten-Outsourcing zu tun haben, sofern du nicht alles alleine machen willst bzw. kannst. Einige Beispiele sind:

1. Dauerhafte oder temporäre Nutzung externer Serverkapazitäten
2. Auslagerung des Kundenservices an ein externes Callcenter
3. Entsorgung von Datenträgern oder Akten
4. Wartungsdienstleistungen von Servern und Computern bei Einsicht in personenbezogene Daten
5. Nutzung von Google Analytics
6. Hosten von Online-Shops

Auftragsdatenverarbeitung anhand eines Beispiels: Ein Callcenter bekommt den Auftrag für einen Online-Händler, eine Bestellannahme durchzuführen. Das Callcenter tritt nicht als eigenständiges Callcenter auf, sondern im Namen des Händlers. Dem Callcenter ist es verboten, die übermittelten oder neu gesammelten Daten für weitere oder eigene Zwecke weiter zu nutzen.

Auftragsverarbeitungsvertrag Muster

Umfang des Auftragsverarbeitungsvertrag Musters

Präambel
§ 1 Gegenstand und Dauer des Auftrags
§ 2 Art und Zweck der Datenerhebung, -verarbeitung oder -nutzung
§ 3 Anwendungsbereich und Verantwortlichkeit
§ 4 Pflichten des Auftragnehmers
§ 5 Pflichten des Auftraggebers
§ 6 Anfragen betroffener Personen
§ 7 Nachweismöglichkeiten
§ 8 Unterauftragsverhältnisse
§ 9 Informationspflichten, Schriftformklausel, Rechtswahl
§ 10 Haftung und Schadensersatz
§ 11 Vergütung

Änderungen der DSGVO » Auftragsverarbeitungsvertrag [Infografik]

Die Datenschutzgrundverordnung (DSGVO) bringt umfangreiche Veränderungen für den Onlinehandel mit sich. Insbesondere müssen die Änderungen der DSGVO beim Auftragsverarbeitungsvertrag beachtet werden. Unsere Infografik zeigt, an welchen Stellen Anpassungen vorgenommen werden müssen.

FAQ zum Thema Auftragsdatenverarbeitung

Was bedeutet Auftragsverarbeitung?

Auftragsverarbeitung ist ein Begriff aus dem Datenschutzrecht. Sie liegt immer dann vor, wenn der Verantwortliche personenbezogene Daten an eine andere natürliche oder juristische Person weitergibt, damit diese sie verarbeitet. Als Verantwortlicher wird die Person bezeichnet, die die Daten rechtmäßig gesammelt hat und sie auf eine bestimmte Weise verwenden darf. Wenn du einen Online-Shop betreibst, bist du beispielsweise Verantwortlicher in Bezug auf die Daten, die deine Kunden in das Bestellformular eingeben.

Was sind personenbezogene Daten?

Personenbezogene Daten sind "alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen" (Art. 4 Absatz 1 DSGVO). Dazu gehören beispielsweise der Name, die Kontaktdaten, die Anschrift und das Geburtsdatum. An diese Daten gelangt ein Verantwortlicher typischerweise, indem der Nutzer auf einer Website ein Formular ausfüllt, um beispielsweise eine Anfrage zu versenden oder Waren zu bestellen. Ebenfalls personenbezogene Daten sind die IP-Adresse und die Interessen des Nutzers, die sich durch das Anklicken bestimmter Links oder das Aufrufen bestimmter Websites ergeben. Wenn ein Website-Betreiber zum Beispiel ein Webanalyse-Tool verwendet, werden regelmäßig solche Daten gesammelt und verarbeitet.

Wann liegt keine Auftragsverarbeitung vor?

Es gibt zwei Konstellationen, die von der Auftragsverarbeitung abgegrenzt werden müssen.

1. Es handelt sich nicht um Auftragsverarbeitung, wenn die Person, die die Daten verarbeitet, ebenfalls Verantwortlicher ist. In einigen Situationen kann die Abgrenzung sehr schwierig sein. Entscheidendes Kriterium ist die Weisungsabhängigkeit des Auftragsverarbeiters. Wenn die verarbeitende Person selbst Entscheidungen trifft und nicht an die Weisungen des Verantwortlichen gebunden ist, ist sie selbst auch Verantwortlicher und damit kein Auftragsverarbeiter.

2. Ebenfalls keine Auftragsverarbeitung liegt bei einer Funktionsübertragung vor. Bei einer Funktionsübertragung gibt der Verantwortliche die Daten an eine Person weiter, die sie selbst zu eigenen Zwecken weiterverarbeitet. Auch hier besteht keine Weisungsgebundenheit. Die Regeln zur Auftragsverarbeitung müssen nicht beachtet werden. Jedoch braucht der Verantwortliche immer eine Rechtsgrundlage, um Daten weiterzugeben.

Wen betreffen die Vorschriften zur Auftragsverarbeitung?

Die Regeln zur Auftragsverarbeitung greifen, sobald eine externe Person Zugriff auf personenbezogene Daten haben könnte. Es ist nicht notwendig, dass sie die Daten tatsächlich verarbeitet oder wahrnimmt. Ein Beispiel dafür ist ein IT-Vertrag, bei dem ein Programmierer die Wartung von Servern übernimmt. Da der Begriff der Auftragsverarbeitung so weit gefasst ist, ist beinahe jedes Unternehmen von den Datenschutz-Gesetzen zur Auftragsverarbeitung betroffen.

Wer ist Auftragsverarbeiter und welche Pflichten treffen ihn?

Der Auftragsverarbeiter ist die Person oder Behörde, die im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet. Um personenbezogene Daten verarbeiten zu dürfen, braucht der Auftragsverarbeiter entweder einen Vertrag zur Auftragsverarbeitung oder eine Rechtsgrundlage. Darüber hinaus ist er zur Einhaltung sämtlicher gesetzlicher Vorschriften verpflichtet. Dazu gehört beispielsweise die in Artikel 30 Absatz 2 ausgestaltete Pflicht, ein Verzeichnis von Verarbeitungstätigkeiten zu führen.

Wo ist die Auftragsverarbeitung geregelt?

Zur Auftragsverarbeitung gibt es verschiedene rechtliche Regelungen. In Deutschland ist die Auftragsverarbeitung in § 62 Bundesdatenschutzgesetz (BDSG) ausgestaltet. Die dort enthaltenen Vorschriften sind 2018 durch das Inkrafttreten der Datenschutzgrunderverordnung (DSGVO) der Europäischen Union (EU) verschärft worden. In den Artikeln 28 folgende DSGVO befinden sich die wichtigsten Vorgaben für die Auftragsverarbeitung.

Wie hat die DSGVO die Rechtslage in Deutschland verändert?

Die DSGVO hat die Auftragsdatenverarbeitung in Auftragsverarbeitung unbenannt. Beide Begriffe meinen dasselbe. Die EU hat jedoch den Anwendungsbereich erweitert und die Haftung verschärft. Seit 2018 haftet neben dem Verantwortlichen auch der Auftragsverarbeiter. Außerdem können Bußgelder nun deutlich teurer werden.

Was regelt der Vertrag zur Auftragsverarbeitung?

Der Verantwortliche ist gem. Artikel 28 Absatz 1 DSGVO dazu verpflichtet, sicherzustellen, dass der Auftragsverarbeiter sich an alle geltenden Datenschutzgesetze hält. Dazu muss er mit dem Auftragsverarbeiter einen Vertrag abschließen. Den Inhalt dieses Vertrags schreibt Art. 28 Absatz 3 sehr detailliert vor. Besonders wichtig sind unter anderem die Antworten auf folgende Fragen:

1. Was ist der Vertragsgegenstand?
2. Wie lange dauert die Verarbeitung?
3. Welcher Zweck soll durch die Verarbeitung erfüllt werden?
4. Auf welche Art und Weise werden die Daten verarbeitet?
5. Was für Daten und welche Personen sind betroffen?
6. Welchen Umfang haben die Weisungsbefugnisse des Verantwortlichen?
7. Welche Informationen muss der Auftragsverarbeiter dem Verantwortlichen zur Verfügung stellen?
8. Wie wird bei einem Verstoß gegen Datenschutzvorschriften verfahren?
9. Wie sind die Kontrollrechte des Verantwortlichen ausgestaltet?
10. Welche Rechte und Pflichten hat der Verantwortliche?
11. Welche Pflichten hat der Auftragsverarbeiter? Es müssen neben den individuell vereinbarten Pflichten auch alle Pflichten genannt werden, die sich aus der DSGVO ergeben.
12. Dürfen Subunternehmen hinzugezogen werden?
13. Werden die Daten nach Beendigung des Auftrags gelöscht oder zurückgegeben?

Brauche ich einen individuellen Vertrag oder reicht ein Auftragsverarbeitungsvertrag Muster?

Viele große Auftragsverarbeiter haben ihre eigenen vorgefertigten Verträge zur Auftragsverarbeitung. Es ist empfehlenswert zu kontrollieren, ob diese auf dem neuesten Stand sind. Bei der Zusammenarbeit mit kleineren Dienstleistern muss dagegen vom Verantwortlichen oftmals ein eigener Vertrag vorgelegt werden. Im Internet findest du zahlreiche Mustervorlagen. Wenn ein solcher Vertrag genutzt wird und er Fehler enthält, trägt der Verantwortliche das Risiko, nicht DSGVO-konform zu handeln. Aus diesem Grund ist es empfehlenswert, den Vertrag von einem Anwalt schreiben oder überprüfen zu lassen. Andernfalls sollte die Seriosität des Anbieters des Muster-Vertrags gründlich kontrolliert und bei der Individualisierung auf jedes Detail geachtet werden.

Muss die Auftragsverarbeitung in der Datenschutzerklärung erwähnt werden?

Sinn der Datenschutzerklärung ist es, den Nutzer einer Website detailliert darüber aufzuklären, welche personenbezogenen Daten der Betreiber sammelt und wie sie verwertet werden. Durch die Auftragsverarbeitung erweitert sich der Kreis der Verarbeiter der Daten. Teilweise ergibt sich dadurch auch eine neue Verwendung. Deshalb muss der Nutzer darüber in der Datenschutzerklärung informiert werden.

Woran solltest du denken, wenn man Daten zur Auftragsverarbeitung weitergibt?

1. Der Auftraggeber haftet für die Datenschutzverstöße des Auftragnehmers, wählen Sie Ihre Vertragspartner also weise aus.
2. Der Auftraggeber weist und kontrolliert die externe Datenverarbeitung.
3. Der Auftraggeber ist verpflichtet, die Weisungen zu dokumentieren.
4. Der Auftraggeber ist verpflichtet, Sicherheitsvorfälle zu dokumentieren.
5. Der Abschluss eines Auftragsverarbeitungsvertrages ist erforderlich.

Was droht bei Verstößen?

Wenn ein Unternehmen gar keinen oder einen fehlerhaften Vertrag zur Auftragsverarbeitung abgeschlossen hat, können die Aufsichtsbehörden ein Bußgeld verhängen. Das gleiche gilt für Auftragsverarbeiter, die einer Pflicht aus einem Datenschutzgesetz nicht nachkommen. Nach der DSGVO ist ein Bußgeld in Höhe von bis zu 20 Millionen Euro möglich. Zusätzlich sind Schäden zu ersetzen, die den betroffenen Personen entstanden sind. Dabei haften der Verantwortliche und der Auftragsverarbeiter im Zweifel als Gesamtschuldner, wenn nicht einer von Ihnen nachweisen kann, alle gesetzlichen Vorgaben des Datenschutzes eingehalten zu haben.