Im elften Teil seiner Reihe über die EU-Datenschutzgrundverordnung widmet sich das BayLDA dem Thema Auftrags(daten)verarbeitung und hält die wichtigsten Punkte wieder in einem Whitepaper fest. Die EU-DSGVO legt den Auftragsverarbeitern künftig mehr Verantwortung und Pflichten auf als bisher.

STATT § 11 BDSG DANN ART. 28 DS-GVO

Die Auftragsdatenverarbeitung, wie sie aktuell noch in § 11 BDSG geregelt wird, wird es unter anderem Namen auch in der EU-DSGVO geben. Dort heißt sie schlichtweg Auftragsverarbeitung und ist in Art. 28 geregelt. Nach Art. 4 Nr. 10 DS-GVO ist ein Auftragsverarbeiter nun auch kein sogenannter Dritter mehr. Die DS-GVO enthält auch keine Beschränkung der Privilegierung der Auftragsverarbeitung auf den EU-/EWR-Raum mehr, wie sich dies bisher aus der Eingrenzung in § 3 Abs. 8 Satz 3 BDSG ergab.

WIE SIEHT DAS AB 2018 KONKRET AUS?

In Absatz 1 des bereits genannten Art. 28, wird eine Prüfung der Geeignetheit eines Auftragsverarbeiters eingefordert: „Der Verantwortliche darf danach nur Auftragsverarbeiter einsetzen, die hinreichend Garantien dafür bieten, dass sie geeignete technische und organisatorische Maßnahmen für einen ausreichenden Datenschutz haben. Als Beleg solcher Garantien können auch genehmigte Verhaltensregeln des Auftragsverarbeiters nach Art. 40 DS-GVO oder Zertifizierungen nach Art. 42 DS-GVO herangezogen werden.“

WAS PASSIERT MIT DEM ADV-VERTRAG??

Den wird es weiterhin geben. Allerdings darf er dann auch in elektronischer Form abgefasst sein. Inhaltlich bleibt es im Grunde genommen beim Alten jedoch gibt das BayLDA zu bedenken: „Ein wichtiger Bestandteil wird jedoch vor allem die Darstellung der erforderlichen Maßnahmen zur Sicherheit der Verarbeitung nach Art. 32 DS-GVO. Gerade hier mangelte es bislang häufig bei Datenschutzkontrollen.“

SUBUNTERNEHMEN DES AUFTRAGSVERARBEITERS

Hier gilt ab 2018: „Will der Auftragsverarbeiter Subunternehmen als weitere Auftragsverarbeiter bei der Erbringung der vereinbarten Dienstleistung einsetzen, so bedarf dies der vorherigen (schriftlichen oder elektronischen) Genehmigung durch den Verantwortlichen.“ Auch spätere Änderungen bezüglich der Subunternehmen müssen dem Auftraggeber vorher angezeigt werden, der hier Einspruch erheben darf. Sollte sich hier keine Einigung erzielen lassen, führt dies zur Beendigung des Vertrages.

PFLICHTEN UND VERANTWORTLICHKEITEN

Neu sind in der DS-GVO hier spezielle Haftungsregelungen für Auftragsverarbeiter bei Datenschutzverletzungen, wie in Art. 82 DS-GVO dargelegt. Demnach drohen Auftragsverarbeitern bei Verstößen Schadensersatzforderungen von Betroffenen. „Verstößt ein Auftragsverarbeiter gegen die Pflicht zur weisungsgebundenen Verarbeitung, indem er die Daten des Auftraggebers für eigene Zwecke oder Zwecke Dritter verarbeitet, gilt er nach Art. 28 Abs. 10 DS-GVO insoweit selbst
als Verantwortlicher – mit allen rechtlichen Folgen“.
Auftragsverarbeiter sind aber zukünftig auch in der Pflicht ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO für alle Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung führen. Diese müssen dann auch der Aufsichtsbehörde auf Anfrage, z. B. bei Audits, zur Verfügung gestellt werden.

FERNWARTUNG UND WARTUNG

Hier wird laut der Aufsichtsbehörde zu diskutieren sein, wie im Falle einer allgemeinen Möglichkeit des Zugriffs auf personenbezogene Daten durch Dienstleister umgegangen werden muss. Hier könnte z. B. eine rein technische Wartung möglicherweise nicht ausreichend sein um Art. 28 DS-GVO auszulösen. Jedoch steht fest: „Ist Auftragsgegenstand der (Fern-)Wartung allerdings gerade der Umgang mit Datensätzen mit personenbezogenen Daten, so handelt es sich weiter um eine Auftragsverarbeitung nach Art. 28 DS-GVO.“

FOLGEN VON VERSTÖSSEN

Sollte ein Auftragsverarbeiter eine Datenpanne haben, so muss er diese unverzüglich dem Auftraggeber melden. Dies geht unzweideutig aus Art. 33 Abs. 2 DS-GVO hervor. Die umfassenden Bußgeldvorschriften des Art. 83 Abs. 4, 5 und 6 DS-GVO können bei Verstößen durchaus auch bei einem Auftragsverarbeiter zur Anwendung kommen.