Ja, Sie können selbst eine Auftragsverarbeitungsvereinbarung aufsetzen. Die DSGVO schreibt kein verbindliches Format vor: Es gibt kein offizielles Muster, das Sie verwenden müssen, sondern nur eine Reihe von Themen, die die Vereinbarung in jedem Fall regeln muss. Für ein einfaches Verhältnis mit einer klar definierten Dienstleistung, ohne Unterauftragnehmer und ohne Daten, die außerhalb der EU übertragen werden, ist das Selbstaufsetzen oft eine machbare Aufgabe für einen Nachmittag.
Die Frage ist nicht so sehr, ob es erlaubt ist, sondern ob die Situation einfach genug ist, um ohne Hilfe richtig zu bewältigen. Sobald mehrere Parteien in der Kette beteiligt sind, sensible Daten verarbeitet werden oder die andere Partei einen eigenen Vertragsentwurf sendet, der von dem abweicht, was Sie benötigen, wird das Selbstaufsetzen schwerer zu überschauen. In diesem Fall ist rechtliche Beratung oder zumindest eine strukturierte Überprüfung besser geeignet als eine Vorlage auszufüllen und zu hoffen, dass sie stimmt.
Was auf jeden Fall enthalten sein muss
Unabhängig davon, wer die Vereinbarung aufzieht, regelt eine Auftragsverarbeitungsvereinbarung eine feste Reihe von Themen. Darin wird dargelegt, welcher Gegenstand und welche Dauer der Verarbeitung zugrunde liegen, welche Kategorien personenbezogener Daten und welche betroffene Personen betroffen sind, und was der Zweck der Verarbeitung ist. Darüber hinaus legt die Vereinbarung fest, dass der Auftragsverarbeiter nur auf Weisung des Verantwortlichen tätig wird, dass Mitarbeiter des Auftragsverarbeiters zur Geheimhaltung verpflichtet sind, welche Sicherheitsmaßnahmen gelten, wie Unterauftragnehmer eingesetzt und gemeldet werden, wie der Auftragsverarbeiter bei Anfragen von betroffenen Personen und bei Meldungen von Datenschutzverletzungen mitwirkt, und was mit den Daten nach Beendigung der Vereinbarung geschieht. Diese Bestandteile stehen wörtlich in der Verordnung selbst; wer sie in einem Entwurf vermisst, vermisst etwas, das dort stehen sollte.
Wann das Selbstaufsetzen praktisch funktioniert
Das Selbstaufsetzen funktioniert gut, wenn das Verhältnis überschaubar ist: Sie sind selbst der Verantwortliche, Sie schalten einen Lieferanten für eine abgegrenzte Dienstleistung ein, es gibt keine bekannten Unterauftragnehmer außerhalb der EU, und die Daten sind nicht besonders sensibel. Denken Sie an ein Buchhaltungspaket, ein E-Mail-Tool oder ein Planungssystem, bei dem der Lieferant bereits eine Standardversion anbietet. In diesem Fall besteht Ihre Aufgabe hauptsächlich darin, zu überprüfen, ob der Standardtext die festen Bestandteile abdeckt und ob die getroffenen Vereinbarungen damit übereinstimmen, was das Tool tatsächlich tut. Wer sich für die täglich genutzten Tools einen Überblick verschaffen möchte, findet in der Wissensdatenbank mit den festen Bestandteilen pro Situation eine Struktur, um dies nachzuvollziehen.
Wann Auslagerung sinnvoller ist
Die Grenze verschiebt sich, sobald die Kette komplexer wird: mehrere Unterauftragnehmer, Datenübermittlung in Länder außerhalb der EU, Verarbeitung von Gesundheitsdaten, biometrischen Daten oder Daten von Kindern, oder eine Gegenpartei, die einen eigenen Entwurf vorlegt, der von dem abweicht, was Sie erwartet haben. In diesen Fällen liegt das Risiko nicht darin, dass Sie keine Vereinbarung haben, sondern dass Sie eine unterzeichnen oder aufsetzen, die nicht abdeckt, was tatsächlich geschieht. Ein Jurist oder spezialisierter Berater kann dann beurteilen, ob die Vereinbarungen zu dem tatsächlichen Datenstrom passen, etwas, das eine Vorlage nicht für Sie leistet.
Eine Vorlage zu verwenden unterscheidet sich vom Selbstaufsetzen
Es gibt einen Unterschied zwischen der Verwendung einer Vorlage als Ausgangspunkt und dem vollständigen Selbstschreiben einer Vereinbarung. Eine Vorlage zwingt Sie, die festen Bestandteile durchzugehen, füllt sie aber nicht automatisch korrekt für Ihre Situation aus. Umgekehrt gilt dasselbe für eine Vereinbarung, die ein Kunde oder Lieferant Ihnen zusendet: Sie kann vollständig aussehen und dennoch einen Bestandteil vermissen oder eine Vereinbarung enthalten, die nicht zu dem passt, was in der Praxis geschieht. Antworten auf häufig gestellte Fragen dazu, wie etwa was ein Kunde mit Grund verlangen darf und was nicht, sind zusammengefasst in den häufig gestellten Fragen zu Auftragsverarbeitungsvereinbarungen.
Was gdpria.eu darin leistet
Die Überprüfung einer Auftragsverarbeitungsvereinbarung, die Ihnen jemand zusendet, und das Nachschlagen der festen Bestandteile in der Wissensdatenbank sind kostenlos und ohne Konto möglich. Das System darum herum — die Dokumentensammlung mit Vorlagen, die Überwachung laufender Vereinbarungen und die daran hängenden Fristen — befindet sich im Abonnement. Was darin enthalten ist, wird übersichtlich dargestellt in der Übersicht der Abonnementformen. Wir geben dabei Erläuterung und Struktur, keine Rechtsberatung: Sie entscheiden selbst, ob Sie selbst aufstellen, eine Vorlage verwenden oder einen Juristen einschalten.
Möchten Sie zunächst sehen, wie das in der Praxis aussieht, bevor Sie etwas erstellen? Lesen Sie die Themen in der Wissensdatenbank durch, oder erstellen Sie ein geschäftliches Konto um das Register und die Überwachung für Ihre eigenen Auftragsverarbeitungsvereinbarungen einzurichten.