Was bei der Wahl des passenden Auftragsverarbeitungsvertrags zu beachten ist

Unternehmen lassen viele Arbeiten längst nicht mehr nur durch eigene Mitarbeiter erledigen, sondern lagern diese zu externen Dienstleister aus. Dies fällt besonders im IT-Bereich auf, wo der Betrieb von IT-Services zunehmend ausgelagert oder direkt als Standardservice von Cloudanbietern bezogen wird. In solchen Fällen kommen Mitarbeiter des Auftragnehmers im Rahmen der beauftragten Dienstleistungen in Kontakt mit personenbezogenen Daten, für die der Auftraggeber rechtlich verantwortlich ist (z. B. Daten von Mitarbeitern, Kunden oder Geschäftspartnern). Der Auftraggeber muss jetzt gewährleisten, dass die Verarbeitung der Daten – auch wenn diese sich in Händen seines Dienstleisters befinden – sowohl nach seinen Vorgaben (“Weisungen”), als auch in Übereinstimmung mit den geltenden Datenschutzgesetzen erfolgt.

Bei der Auftragsverarbeitung geht es um Dienstleistungen, bei denen der Dienstleister (“Auftragsverarbeiter”) mit personenbezogenen Daten des Auftraggebers arbeitet (z. B. Datenpflege, Sekretariatsdienstleistungen) oder mit diesen nebenbei in Kontakt kommen kann (z. B. bei der Wartung und Pflege von IT-Systemen). Im Rahmen einer Auftragsverarbeitung arbeitet der Dienstleister streng nach den Vorgaben seines Auftraggebers. Nur der Auftraggeber bestimmt, mit welchen (Arbeits-)Mitteln, zu welchen Zwecken und in welchem Umfang die Dienstleistung zu erbringen ist. Diese Rahmenbedingungen können auch dann bereits erfüllt sein, wenn der Auftraggeber eine bestimmte Standarddienstleistung aus dem Angebot des Dienstleisters auswählt und beauftragt. Es muss nicht jeder Handgriff vom Auftraggeber vorbestimmt sein.

Nicht jede Dienstleistung im Zusammenhang mit personenbezogenen Daten muss aber eine Auftragsverarbeitung sein. So gehören die Leistungen von Steuerberatern, Wirtschaftsprüfern, Rechtsanwälten oder Betriebsärzten regelmäßig nicht dazu. In diesen Berufen kommen die Dienstleister zwar in Kontakt mit personenbezogenen Daten des Auftraggebers, allerdings bestimmen die Dienstleister hier völlig eigenständig, mit welchen Mitteln bzw. auf welchem Weg die vereinbarte Dienstleistung erbracht wird. Der Auftraggeber kann weder dem Betriebsarzt vorgeben, wie Arbeitstauglichkeitsuntersuchungen auszuführen sind, noch wird er den Wirtschaftsprüfer anweisen können, wie die Bücher zu prüfen sind.

Auch Kaufgeschäfte oder Dienstleistungen, bei denen der Geschäftspartner nur in Kontakt mit personenbezogenen Daten der handelnden Personen kommt (in der Regel in Form von Kontaktdaten, als Teil der Rechnungs- oder Lieferadresse oder als Ansprechpartner für die Auftragsabwicklung) stellen keine Auftragsverarbeitung dar.

Liegt eine Auftragsverarbeitung vor, so sind gemäß der gesetzlichen Vorgaben (Art. 28 DS-GVO) bestimmte vertragliche Vereinbarungen zu treffen, die dem Schutz der personenbezogenen Daten und deren Eigentümer (die betroffenen Personen) dienen sollen. Im AVV werden die Rechte und Pflichten der beteiligten Parteien zum Umgang mit den personenbezogenen Daten festgelegt. Welche Themen mindestens zu regeln und zu dokumentieren sind, hat der Gesetzgeber bestimmt (siehe nachfolgende Liste).

Damit der Verantwortliche sich von der vertragsgemäßen Umsetzung angemessen überzeugen kann, werden ihm Prüf- und Kontrollrechte eingeräumt. Damit ist eine Grundlage geschaffen, mit der der Auftraggeber auch seinen gesetzlichen Rechenschaftspflichten nachkommen kann. Es ist die Idee dieses Modells „Auftragsverarbeitung“, den Auftragsverarbeiter vertraglich so weit zu binden, dass das verantwortliche Unternehmen weiterhin seiner rechtlichen Verantwortung für die Daten nachkommen und dies durch Vorlage des Vertrages und Durchführung dokumentierter Kontrollen nachweisen kann.

Der Umfang von Prüf- und Kontrollrechten ist ein beliebter Diskussions- und Verhandlungsbereich beim Abschluss von AVVs. Während Auftraggeber sich gerne weitgehende Rechte wünschen, wollen Auftragsverarbeiter sich natürlich nur soweit unbedingt erforderlich kontrollieren lassen. Am Ende ist das eine Frage von eigenem Ermessen und Verhandlungsgeschick. Der Gesetzgeber hält sich bei der Beschreibung des Umfangs von Kontrollrechten weitgehend zurück.

In einem AVV wird geregelt, wie die Vertragsparteien mit den Daten des Verantwortlichen umzugehen haben, sodass diese ununterbrochen datenschutzkonform behandelt werden. Ein besonderes Merkmal ist, dass der Auftraggeber (der datenschutzrechtlich “Verantwortliche”) auch dann rechtlich für seine Daten verantwortlich bleibt, wenn sich die Daten in den Händen des Auftragsverarbeiters befinden. Diese Tatsache wird von Auftraggebern gerne ignoriert. Man bezahle schließlich dafür … allerdings lässt sich die datenschutzrechtliche Verantwortlichkeit nicht gegen Einwurf von Münzen an Dritte übertragen. Übertragen werden kann lediglich die Arbeit im Sinn einer ordnungsgemäß durchgeführten Dienstleistung.

Ob Sie mit Ihrem Dienstleister einen AVV abschließen müssen, kommt immer auf die individuelle Situation an.

Grundsätzlich gilt: Je weisungsgebundener eine Dienstleistung ist, desto höher ist auch die Wahrscheinlichkeit, dass Sie für die Daten verantwortlich bleiben und ein AVV notwendig ist. Kann der Dienstleister jedoch ungebunden agieren, besteht eine höhere Wahrscheinlichkeit, dass er selbst für die übermittelten Daten verantwortlich ist. Frei nach dem Motto “Wer bestimmt, trägt die Verantwortung”.