Was muss in einer Auftragsverarbeitungsvereinbarung stehen?

Was ein Auftragsverarbeitungsvertrag in jedem Fall regelt

Ein Auftragsverarbeitungsvertrag sollte beschreiben, was der Auftragsverarbeiter für den Verantwortlichen mit personenbezogenen Daten tut und unter welchen Bedingungen. Das beginnt mit den Grundlagen: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die betroffen sind, und die Kategorien der betroffenen Personen, um die es geht. Ohne diese Beschreibung lässt sich nicht feststellen, ob ein Dienstleister sich an die Vereinbarungen hält.

Darüber hinaus sollten eine Reihe von Verpflichtungen enthalten sein, die sich unmittelbar aus der DSGVO ergeben. Der Auftragsverarbeiter verarbeitet Daten nur auf der Grundlage schriftlicher Anweisungen des Verantwortlichen, stellt sicher, dass Personen, die die Daten verarbeiten, zur Geheimhaltung verpflichtet sind, und trifft angemessene Sicherheitsmaßnahmen. Auch sollte geregelt sein, was geschieht, wenn der Auftragsverarbeiter einen Unterauftragsverarbeiter einsetzt, wie der Auftragsverarbeiter bei Anfragen von betroffenen Personen und bei der Meldung von Datenpannen hilft, und was mit den Daten geschieht, sobald die Dienstleistung endet – Vernichtung oder Rückgabe. Häufig ist auch vorgesehen, dass der Verantwortliche kontrollieren kann, ob die Vereinbarungen eingehalten werden, beispielsweise durch eine Prüfung.

Woher dies folgt: Artikel 28 der DSGVO

Diese Aufzählung folgt unmittelbar aus Artikel 28 der DSGVO, der spezifisch beschreibt, was ein Auftragsverarbeitungsvertrag enthalten muss, wenn ein Verantwortlicher einen Auftragsverarbeiter einsetzt. Die Leitlinien des EDPB geben dabei weitere Hinweise darauf, wie diese Bestimmungen in der Praxis ausgefüllt werden können, beispielsweise bei der Bewertung von Sicherheitsmaßnahmen oder beim Einsatz von Unterauftragsverarbeitern. Für die genaue Formulierung jeder Verpflichtung bleibt der Text von Artikel 28 selbst der Ausgangspunkt.