Auftragsverarbeitung

Leistungen

Auftragsverarbeitung als Schlüssel zur sicheren Datenverarbeitung

Sie beschäftigten Dienstleister, die in Ihrem Namen Daten erheben, verarbeiten oder nutzen? Datenverarbeitung im Auftrag gem. Art. 28 DS-GVO stellt heute in fast allen Unternehmen einen gängigen Unternehmensalltag dar, den Sie rechtskonform gestalten müssen.

Die Datenschutz-Grundverordnung fordert von Ihnen als Verantwortlichem die Absicherung, dass Ihr Auftragsverarbeiter die Anforderungen der DS-GVO einhält, nur nach Ihrer Weisung arbeitet, ausschließlich Personen beschäftigt, die zur Vertraulichkeit verpflichtet wurden, und vor allem die erforderlichen technischen und organisatorischen Maßnahmen umsetzt, die für diese Datenverarbeitung erforderlich sind.

Denken Sie stets daran, dass Sie als Verantwortlicher nach der DS-GVO auch in der Tat verantwortlich sind. Wenn Sie mit Ihrem Auftragsverarbeiter keine entsprechende Vereinbarung getroffen haben, kann das unangenehme Folgen haben.

Ihr Weg, der Verantwortung nachzukommen

Zunächst gilt es festzustellen, wer in Ihrem Auftrag personenbezogene Daten verarbeitet, also die Fälle, bei denen Sie Auftraggeber sind. Dabei ist der Status als Auftragsverarbeiter nicht immer klar zu erkennen. 

Entscheiden zwei oder mehr Parteien gemeinsam über Mittel und Zwecke der Verarbeitung, liegt eine sogenannte “Gemeinsame Verantwortung” gem. Art. 26 DS-GVO vor und keine Auftragsverarbeitung. Außerdem können Sie personenbezogene Daten für andere Auftraggeber verarbeiten und sind somit selbst der Auftragsverarbeiter.
In jedem Fall muss eine Auftragsverarbeitung dokumentiert werden, d.h. es muss eine Vertragsgrundlage erstellt werden, die gewährleistet, dass die Vorgaben der DS-GVO eingehalten werden. Dies erfolgt im Rahmen einer Auftragsverarbeitungsvereinbarung (AVV), welche neben allen in Art. 28 DS-GVO geforderten Pflichtinhalten insbesondere folgende Punkte abdecken sollte:

• Verantwortlicher und Auftragsverarbeiter sind klar definiert
• Beschreibung der Auftragsverarbeitung, Daten und betroffenen Personen: z.B. IT-Support für Warenwirtschaftssystem, Stammdaten der Kunden
• Alle vom Auftragsverarbeiter beauftragten Unterauftragnehmer sind bekannt: z.B. Rechenzentrumsbetreiber des IT-Dienstleisters
• Bei internationalen Datenübermittlungen sind entsprechende Garantien enthalten: z.B. Standardvertragsklauseln (SCC) zur Übermittlung in die USA
• Angemessene technische und organisatorische Maßnahmen sind umgesetzt: z.B. können Nachweise durch Datenschutzaudits oder Zertifikate wie ISO 27001 eigene Prüfaufwände reduzieren.