Auftragsverarbeitung und Dienstleister

Art. 4 Z 7 und Z 8 DSGVO unterscheiden zwischen Verantwortlichem und Auftragsverarbeiter. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde oder sonstige Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Ein typischer Fall ist ein IT-Anbieter, der Kundendaten in einer vom Unternehmen ausgewählten Cloud-Anwendung speichert und verarbeitet. Auch Lohnverrechnung, Newsletterversand, Hosting, Support oder Aktenvernichtung können eine Auftragsverarbeitung enthalten. Die Bezeichnung Dienstleister sagt allein noch nichts aus.

Wichtig ist die Abgrenzung zu Anbietern, die gesetzlich oder aufgrund eigener Zwecke handeln. Ein Anbieter kann für eine Leistung Auftragsverarbeiter und für eine andere Leistung Verantwortlicher sein. Bei einer komplexen Plattform ist außerdem zu prüfen, welche Entscheidungen das Unternehmen selbst trifft und welche wesentlichen Mittel der Anbieter vorgibt.

Der Verantwortliche darf nach Art. 28 Abs 1 DSGVO nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Das ist keine reine Formalität. Vor der Beauftragung sollten Unternehmen den Datenfluss, die Schutzmaßnahmen, die Zugriffskreise und die Dienstleisterkette verstehen.

Zur Auswahl gehören je nach Risiko Informationen über Verschlüsselung, Berechtigungskonzept, Protokollierung, Backups, Löschung, Notfallorganisation und den Umgang mit Sicherheitsvorfällen. Zertifikate oder Prüfberichte können Hinweise geben, ersetzen aber nicht die Frage, ob die konkrete Verarbeitung und die vereinbarten Kontrollen zum Unternehmen passen.

Die Checkliste für Auftragsverarbeiter strukturiert die Due-Diligence-Fragen. Bei einem bestehenden Vertrag hilft der AV-Vertragscheck, offene Bestandteile und Kontrollfragen sichtbar zu machen.

Der Vertrag oder ein anderes Rechtsinstrument muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. Diese Angaben bilden den Rahmen, in dem Weisungen und Kontrollen funktionieren.

Zu den Mindestinhalten gehören dokumentierte Weisungen, Vertraulichkeit, geeignete Sicherheitsmaßnahmen, die Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und Datenschutzverletzungen, Unterstützung bei Nachweisen und Prüfungen sowie die Löschung oder Rückgabe der Daten nach Ende der Leistung. Der Auftragsverarbeiter muss den Verantwortlichen außerdem informieren, wenn er eine Weisung für rechtswidrig hält.

Nach Art. 28 Abs 9 DSGVO ist der Vertrag schriftlich abzufassen, wobei ein elektronisches Format genügt. § 48 Abs 5 DSG stellt dies für Auftragsverarbeiter im österreichischen Datenschutzgesetz ebenfalls klar. Ein kurzer Standardanhang kann ausreichen, wenn er den tatsächlichen Prozess vollständig beschreibt. Ein langer Vertrag kann dagegen unzureichend sein, wenn wesentliche Datenflüsse fehlen.

Weisungen müssen nicht jede technische Einzelheit vorwegnehmen. Sie sollten aber so klar sein, dass der Auftragsverarbeiter den zulässigen Rahmen kennt. Dazu gehören Zweck, Datenarten, betroffene Personen, zulässige Empfänger und Übermittlungen sowie die Grenzen eigener Entscheidungen. Änderungen sollten über einen nachvollziehbaren Prozess erfolgen.

Art. 32 DSGVO verpflichtet Verantwortlichen und Auftragsverarbeiter zu einem dem Risiko angemessenen Sicherheitsniveau. Welche Maßnahmen erforderlich sind, hängt unter anderem von Stand der Technik, Kosten, Umfang, Umständen und Zweck der Verarbeitung ab. Ein pauschaler Verweis auf ein Sicherheitsniveau ohne konkrete Nachweise hilft bei einer Prüfung wenig.

Verlangen Sie nicht automatisch jede denkbare Unterlage. Legen Sie vielmehr fest, welche Nachweise für die konkrete Verarbeitung erforderlich sind, wie lange sie aktuell bleiben und wer Abweichungen bewertet. Das passt zur Datenschutz-Governance und verhindert, dass Verträge und Kontrollen getrennt voneinander geführt werden.

Beauftragt ein Auftragsverarbeiter weitere Anbieter, gelten die Voraussetzungen des Art. 28 Abs 2 und 4 DSGVO. Der Verantwortliche kann eine gesonderte Genehmigung oder eine allgemeine Genehmigung mit Information über geplante Änderungen vorsehen. Bei allgemeiner Genehmigung muss der Verantwortliche die Möglichkeit erhalten, gegen Änderungen Einwände zu erheben.

In der Praxis sollte die Kette nicht bei einem Link auf eine ständig wechselnde Online-Liste enden. Wichtig sind ein aktueller Stand, eine zuständige Stelle, ein Informationsweg und eine Entscheidung darüber, was bei einem Einwand passiert. Dabei sind auch Sitz, Zugriffsmöglichkeiten und Übermittlungen in Drittländer zu berücksichtigen.

Der erste Auftragsverarbeiter muss dem weiteren Auftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegen. Kommt der weitere Anbieter seinen Pflichten nicht nach, bleibt die Verantwortung des ersten Auftragsverarbeiters gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten bestehen.

Mit der Vertragsunterzeichnung endet die Prüfung nicht. Der Verantwortliche muss die Verarbeitung weiterhin steuern und bei angemessenem Anlass Nachweise oder Prüfungen verlangen. Der Auftragsverarbeiter muss die vereinbarten Unterstützungspflichten erfüllen und darf die Daten nicht außerhalb des Weisungsrahmens verwenden.

Ein praktikables Kontrollmodell verbindet Risiko, Anlass und Nachweis. Bei geringem Risiko können aktuelle Selbstauskünfte und Stichproben genügen. Bei sensiblen Daten, großen Datenmengen, kritischen Systemen oder grenzüberschreitenden Ketten können vertiefte Prüfungen erforderlich sein. Dokumentieren Sie Umfang, Ergebnis, Abweichung und Folgemaßnahme.

Neue Software, neue Zwecke, ein Wechsel der Unterauftragsverarbeiter, ein Sicherheitsvorfall oder eine wesentliche Vertragsänderung sollten eine neuerliche Prüfung auslösen. Bei einem Vorfall ist außerdem zu klären, wie der Dienstleister den Verantwortlichen unverzüglich informiert. Die Schwerpunktseite zu Datenpannen erläutert den gemeinsamen Ablauf.

Viele Probleme entstehen, weil der Dienstleister als rein technisches Thema behandelt wird. Die folgenden Fehler lassen sich durch klare Zuständigkeiten und einen abgestimmten Prozess vermeiden.