Inhaltsverzeichnis
Sobald ein Dienstleister personenbezogene Daten für Dich verarbeitet, braucht es einen Vertrag darüber. Das ist häufiger der Fall, als die meisten Betriebe annehmen — und der Vertrag leistet weniger, als sein Ruf verspricht
Art. 28 DSGVO regelt eine einfache Konstellation: Du entscheidest, wozu und womit Daten verarbeitet werden, jemand anderes führt das für Dich aus. Du bist dann Verantwortlicher (Art. 4 Nr. 7), der andere ist Auftragsverarbeiter (Art. 4 Nr. 8). Für dieses Verhältnis verlangt die Verordnung einen Vertrag mit einem festgelegten Inhalt — im deutschen Sprachgebrauch meist Auftragsverarbeitungsvertrag oder kurz AVV.
Der Vertrag ist kein Formular, das man ablegt und vergisst, aber auch kein Projekt. Bei seriösen Anbietern liegt er fertig bereit und ist in zehn Minuten geschlossen. Der Aufwand liegt woanders: zu wissen, mit wem Du ihn überhaupt brauchst. Dieser Artikel beantwortet das der Reihe nach und bleibt dabei eine Orientierung — die Einordnung eines konkreten Dienstleisters kann im Zweifel nur die zuständige Aufsichtsbehörde oder eine Rechtsberatung abschließend beurteilen.
1. Wer verarbeitet hier eigentlich für wen?
Die Unterscheidung ist die ganze Frage. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet — also weisungsgebunden und ohne eigene Zwecke.
Der Prüfsatz dazu ist kurz: Wer bestimmt, wofür die Daten da sind? Bestimmst Du es und der andere führt aus, ist es Auftragsverarbeitung. Verfolgt der andere eigene, gesetzlich oder beruflich vorgegebene Zwecke, ist er selbst Verantwortlicher — dann gibt es zwei Verantwortliche nacheinander und keinen AVV.
Art. 28 Abs. 10 setzt dahinter eine deutliche Grenze: Ein Auftragsverarbeiter, der entgegen der Verordnung selbst über Zwecke und Mittel bestimmt, gilt für diese Verarbeitung als Verantwortlicher. Wer Deine Kundendaten für eigene Auswertungen nutzt, ist also kein Auftragsverarbeiter mehr, egal was im Vertrag steht. Das ist auch der Grund, warum ein AVV nicht das Papier ist, das die Rolle festlegt — er beschreibt sie nur.
Nicht jede Weitergabe ist Auftragsverarbeitung. Gibst Du Daten an jemanden weiter, der sie in eigener Verantwortung braucht, ist das eine Übermittlung mit eigener Rechtsgrundlage — und für die brauchst Du eine Grundlage nach Art. 6 Abs. 1, keinen Vertrag nach Art. 28.
Ein Auftragsverarbeitungsvertrag macht eine Verarbeitung nicht rechtmäßig. Er regelt nur, wer was darf.
2. Wo im Kleinbetrieb überall Auftragsverarbeitung steckt
Die Liste ist länger, als sie sich anfühlt, weil die meisten Positionen keine „Datenverarbeitung“ heißen.
| Dienstleister | Einordnung |
|---|---|
| Termin-, Kassen- oder Branchensoftware in der Cloud | Auftragsverarbeitung |
| Newsletter- und SMS-Versand | Auftragsverarbeitung |
| Webhosting und E-Mail-Postfächer | Auftragsverarbeitung |
| Externe IT-Betreuung mit Zugriff auf Systeme | Auftragsverarbeitung |
| Externe Lohn- oder Finanzbuchhaltung als reiner Dienstleister | Auftragsverarbeitung |
| Aktenvernichtung durch ein Fachunternehmen | Auftragsverarbeitung |
| Steuerkanzlei im Rahmen ihres Berufsrechts | umstritten, meist eigener Verantwortlicher |
| Bank, Versicherung, Behörde | eigener Verantwortlicher |
Die vorletzte Zeile ist die, über die tatsächlich gestritten wird. Wo eine Kanzlei eigene berufsrechtliche Pflichten erfüllt und nicht weisungsgebunden arbeitet, wird sie überwiegend als eigener Verantwortlicher eingeordnet; erledigt derselbe Dienstleister daneben reine Ausführungstätigkeiten, kann die Einordnung anders ausfallen. Die Auffassungen der Aufsichtsbehörden gehen hier je nach Mitgliedstaat auseinander — frag den Dienstleister, wie er sich selbst sieht, und lass Dir die Antwort schriftlich geben.
Bei Software ist die Sache dagegen unstrittig. Wer Deine Kundendaten für Dich speichert, ist Auftragsverarbeiter und hat einen Vertrag bereitzuhalten. Fehlt er oder ist er nur auf Nachfrage und nach mehreren Wochen zu bekommen, ist das ein Befund über den Anbieter. Die Salon-Software etwa stellt ihn wie jeder Anbieter dieser Art zur Verfügung — die Frage danach gehört zu den fünf Fragen, die vor der ersten Demo geklärt sind, nicht in die Woche nach dem Vertragsschluss.
3. Was drinstehen muss
Vor dem Vertrag steht eine Pflicht, die leicht überlesen wird. Art. 28 Abs. 1 verlangt, dass Du nur mit Auftragsverarbeitern arbeitest, die hinreichende Garantien bieten — also eine Auswahlentscheidung triffst, bevor Du unterschreibst. Ein Vertrag mit einem ungeeigneten Dienstleister heilt dessen Ungeeignetheit nicht.
Art. 28 Abs. 3 nennt zuerst die Eckdaten: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen. Danach folgen acht Punkte, die der Vertrag vorsehen muss:
- Verarbeitung nur auf dokumentierte Weisung, auch bei Übermittlung in ein Drittland;
- Vertraulichkeitsverpflichtung der eingesetzten Personen;
- Umsetzung der Sicherheitsmaßnahmen nach Art. 32;
- Einhaltung der Bedingungen für weitere Auftragsverarbeiter;
- Unterstützung bei Anträgen betroffener Personen, also bei Auskunft, Berichtigung und Löschung;
- Unterstützung bei Sicherheit, Meldung von Verletzungen und Folgenabschätzung (Art. 32 bis 36);
- nach Ende der Leistung Löschung oder Rückgabe aller Daten samt vorhandener Kopien;
- Nachweise zur Verfügung stellen und Überprüfungen ermöglichen.
Die Punkte fünf und sieben sind die, die Du im Alltag wirklich brauchst — der eine, wenn jemand Auskunft verlangt, der andere beim Anbieterwechsel. Lies sie vor dem Unterschreiben und nicht am Tag, an dem Du sie brauchst.
Zur Form: Der Vertrag ist nach Art. 28 Abs. 9 schriftlich abzufassen, elektronisch genügt ausdrücklich. Er kann ganz oder teilweise auf Standardvertragsklauseln beruhen, die die Kommission oder eine Aufsichtsbehörde festgelegt hat (Abs. 6 bis 8) — deshalb ähneln sich die Verträge verschiedener Anbieter so stark.
Weitere interessante Artikel
4. Was der Vertrag nicht leistet
Hier liegt das häufigste Missverständnis. Ein AVV macht die Verarbeitung nicht rechtmäßig. Er regelt ausschließlich das Verhältnis zwischen Dir und dem Dienstleister.
Die Rechtmäßigkeit kommt weiterhin allein aus Art. 6 Abs. 1 — und zwar bei Dir. Wer Adressen ohne Grundlage sammelt und sie dann über einen Dienstleister mit tadellosem AVV versendet, hat einen sauberen Vertrag über eine unrechtmäßige Verarbeitung. Der Vertrag verschiebt die Verantwortung nicht: Du bleibst gegenüber den betroffenen Personen der Verantwortliche.
Drei weitere Dinge leistet er ebenfalls nicht:
- Er ersetzt die Information der betroffenen Personen nicht. Dass Du einen Dienstleister einsetzt, gehört in Deine Datenschutzinformation, als Empfänger oder Kategorie von Empfängern.
- Er ersetzt Deine Auswahlentscheidung nicht — siehe Art. 28 Abs. 1.
- Er ersetzt Dein eigenes Verzeichnis nicht. Art. 30 verlangt es von Dir als Verantwortlichem; der Auftragsverarbeiter führt nach Abs. 2 sein eigenes, das Deines nicht ersetzt.
Was er dagegen sehr wohl leistet: Er gibt Dir einen durchsetzbaren Anspruch auf Mitwirkung. Wenn morgen jemand Auskunft verlangt und die Daten beim Anbieter liegen, ist die Unterstützungspflicht aus Abs. 3 lit. e Dein Hebel — und nicht die Hoffnung auf gute Zusammenarbeit.
5. Unterauftragsverarbeiter und die Frage nach dem Ort
Fast jeder Anbieter setzt selbst Dienstleister ein: Rechenzentrum, Backup, Versandweg, Support-Werkzeug. Art. 28 Abs. 2 verlangt dafür Deine vorherige Genehmigung — entweder gesondert oder allgemein. Bei einer allgemeinen Genehmigung muss der Anbieter Dich über jede beabsichtigte Änderung informieren, damit Du Einspruch erheben kannst.
Praktisch heißt das: Es gibt eine Liste, und diese Liste ändert sich. Prüf einmal, wo sie steht und wie Änderungen angekündigt werden. Nach Art. 28 Abs. 4 müssen weiteren Auftragsverarbeitern dieselben Datenschutzpflichten auferlegt werden, und der erste Auftragsverarbeiter haftet Dir gegenüber für deren Einhaltung — die Kette reißt also nicht ab.
Die zweite Frage ist die nach dem Ort. Sobald Daten außerhalb der EU und des EWR verarbeitet werden, greifen zusätzlich Art. 44 ff. DSGVO. Eine Übermittlung braucht dann eine eigene Grundlage: einen Angemessenheitsbeschluss der Kommission für das betreffende Land oder geeignete Garantien nach Art. 46, in der Praxis meist Standardvertragsklauseln.
Für Dich ist das keine juristische Prüfung, sondern eine Frage an den Anbieter, und sie lautet: Wo liegen die Daten, und wer kann von wo aus darauf zugreifen? Auch ein Support-Zugriff aus einem Drittland ist eine Übermittlung. Die Antwort gehört in Deine Unterlagen — sie ist zugleich eine der Angaben, die Art. 30 Abs. 1 für das Verzeichnis verlangt.
Geh einmal die Rechnungen eines Jahres durch und markier jeden Dienstleister, der dabei mit Kundendaten in Berührung kommt. Für jeden davon gilt eine von zwei Antworten: eigener Verantwortlicher — dann brauchst Du eine Grundlage für die Übermittlung — oder Auftragsverarbeiter, dann brauchst Du den Vertrag. Diese Liste ist in einer Stunde fertig und deckt fast immer zwei bis drei Positionen auf, an die niemand gedacht hat. Was danach mit den Daten beim Vertragsende geschieht, gehört ins Löschkonzept; welche Daten überhaupt hinausgehen dürfen, klärt Welche Kundendaten Du speichern darfst.
Kundendaten an einem Ort statt in vier Listen
Wer alles in einem System führt, beantwortet eine Auskunft in Minuten und löscht, was gelöscht gehört. Gehostet in Deutschland.
