was passiert, wenn ich keine Auftragsverarbeitungsvereinbarung mit meinem Lieferanten habe

Ohne Verarbeitungsvertrag erfüllen Sie nicht Artikel 28 DSGVO

Wenn ein Lieferant personenbezogene Daten in Ihrem Auftrag verarbeitet und es keinen Verarbeitungsvertrag gibt, ist das bereits für sich genommen ein Verstoß gegen die DSGVO — unabhängig davon, ob es darüber hinaus zu Problemen mit den Daten kommt. Artikel 28 DSGVO schreibt vor, dass die Inanspruchnahme eines Auftragsverarbeiters in einem Vertrag oder einer anderen Rechtshandlung dokumentiert wird; ohne diese Dokumentation fehlt die gesetzliche Grundlage für die Zusammenarbeit, auch wenn der Lieferant selbst sorgfältig mit den Daten umgeht.

Das ist zum Beispiel bei Software relevant, in der Kundendaten, Personaldaten oder Rechnungsdaten anfallen: Buchhaltungssoftware, E-Mail-Marketing-Tools, Hosting-Anbieter. Wer unsicher ist, ob ein bestimmtes Tool unter diese Verpflichtung fällt, kann das mit Hilfe von woher weiß ich, ob die von mir verwendete Software der DSGVO entspricht überprüfen; und die Frage, ob das auch für einen Buchhalter gilt, wird behandelt bei muss ich eine Auftragsverarbeitungsvereinbarung mit meinem Buchhalter abschließen. Das Fehlen einer Vereinbarung ist normalerweise etwas, das nicht von selbst auffällt, bis es zu einem Datenschutzvorfall, einer Beschwerde eines Kunden oder einer Kontrolle kommt — und dann stellt sich heraus, dass die Absprachen nicht vorhanden sind.

Woraus sich das aus Artikel 28 DSGVO ergibt

Artikel 28 DSGVO bestimmt, dass die Verarbeitung durch einen Auftragsverarbeiter durch einen Vertrag geregelt wird, der eine Reihe von Themen verbindlich festlegt, wie den Zweck der Verarbeitung, die Dauer und die Pflichten des Auftragsverarbeiters; welche Themen das genau sind, wird beschrieben in was muss in einen VerarbeitungsvertragDie Verpflichtung, diesen Vertrag zu haben, ruht sowohl auf der Verantwortlichen Person als auch auf dem Auftragsverarbeiter und gilt in der gesamten EU unmittelbar aus der Verordnung; wer die Einhaltung überwachen muss, unterscheidet sich je nach Land — in den Niederlanden ist das die Autoriteit Persoonsgegevens, in anderen Mitgliedstaaten die Aufsichtsbehörde dieses Landes. Weitere Informationen über die Aufsichtsbehörde finden Sie unter Autoriteit Persoonsgegevens.