Der Kern des Datenverarbeitungsvertrags steht in der DSGVO selbst, und dieser Text ändert sich nicht jedes Jahr. Was sich verschiebt, ist die Praxis drumherum: welche Dienstleister Sie nutzen, wie diese Dienstleister ihrerseits Unterauftragsverarbeiter einbinden, und die Regeln rund um die Datenübermittlung außerhalb der Europäischen Union, die die Europäische Kommission von Zeit zu Zeit anpasst. Für die meisten KMB-Unternehmen merken Sie das an Ihrem eigenen Vertrag nicht, sondern an der Anlage dazu: der Liste der Unterauftragsverarbeiter, die Ihr Dienstleister einbindet.
Das macht den Unterschied wichtig. Die Verpflichtung, einen Datenverarbeitungsvertrag mit jeder Partei zu schließen, die personenbezogene Daten in Ihrem Auftrag verarbeitet, bleibt unverändert. Was sich ändert, steckt in den Details, die unter dieser Verpflichtung liegen: welche Unterauftragsverarbeiter aktiv sind, ob ein Dienstleister Daten außerhalb der EU verarbeiten lässt, und welche Vereinbarungen dazu zu einem bestimmten Zeitpunkt als ausreichend angesehen werden.
Was im Gesetz selbst nicht ändert sich
Die Verpflichtung zu einem Datenverarbeitungsvertrag, die Mindestbestandteile, die darin stehen müssen, und die Rolle des Verantwortlichen gegenüber dem Auftragsverarbeiter: das sind feste Bestandteile der DSGVO. Es gibt derzeit keine angekundigte Änderung dieser Bestimmungen. Wenn das trotzdem geschieht, erfolgt dies durch eine Änderung der Verordnung selbst oder durch ein Urteil des Europäischen Gerichtshofs, nicht durch eine separate Mitteilung einer Aufsichtsbehörde.
Was sich in der Praxis verschiebt
Drei Dinge ändern sich üblicherweise, oft ohne dass Sie es sofort bemerken. Erstens erweitern Softwaredienstleister ihre Funktionalität, zum Beispiel mit KI-Funktionen, die auf ein bestehendes Tool aufgesetzt werden. Das kann bedeuten, dass ein neuer Unterauftragsverarbeiter hinzukommt, den Sie noch nicht kannten. Zweitens ändern Aufsichtsbehörden und die EDPB regelmäßig ihre Leitlinien zu bestimmten Themen, wie Cloud-Speicherung oder internationale Datenübermittlung, ohne dass sich das Gesetz ändert. Drittens passt die Europäische Kommission manchmal die Standardvertragsklauseln an, die für die Datenübermittlung in Länder außerhalb der EU verwendet werden.
Unterauftragsverarbeiter: die stille Veränderung
Die meiste Verschiebung in einem Datenverarbeitungsvertrag steckt nicht im Hauptdokument, sondern in der Anlage mit Unterauftragsverarbeitern. Ein Buchhaltungspaket, das einen neuen Hosting-Partner einbindet, ein HR-Tool, das Kundenservice an ein Callcenter in einem anderen Land auslagert: das sind Änderungen, die Sie nach der DSGVO mitgeteilt werden müssen, damit Sie beurteilen können, ob Sie dagegen Einwände haben. In der Praxis ist dies genau der Bestandteil, den Unternehmen am leichtesten übersehen, weil er oft in einer E-Mail mit einem Produkt-Update erwähnt wird und nicht in einer separaten rechtlichen Mitteilung.
Datenübermittlung außerhalb der EU
Wenn ein Dienstleister Daten außerhalb der Europäischen Union verarbeiten lässt, muss es dafür eine separate Rechtsgrundlage geben, zum Beispiel Standardvertragsklauseln der Europäischen Kommission oder ein Beschluss, dass ein Land ein angemessenes Schutzniveau bietet. Diese Rechtsgrundlagen werden von Zeit zu Zeit überprüft; was zu einem bestimmten Zeitpunkt als ausreichend galt, kann später angepasst werden. Für Sie als Kunde eines SaaS-Dienstleisters bedeutet dies, dass sich die rechtliche Grundlage unter einem bestehenden Vertrag ändern kann, ohne dass der Vertrag selbst angepasst wird. Was dies konkret für Ihre eigenen Dienstleister bedeutet, lässt sich nicht allgemein sagen; das erfordert einen Blick auf den spezifischen Vertrag und den aktuellen Stand der Dinge bei der Autoriteit Persoonsgegevens.
Was dies für Ihre eigenen Verträge bedeutet
Die praktische Frage lautet nicht, ob das Gesetz geändert wurde, sondern ob die Unterauftragsverarbeiter und die Weitergaberegeln in Ihren bestehenden Verträgen noch mit dem übereinstimmen, was Sie jemals vereinbart oder überprüft haben. Das bedeutet, regelmäßig zu überprüfen, ob ein Lieferant neue Unterauftragsverarbeiter gemeldet hat, und ob die Anlagen bei Ihren Auftragsverarbeitungsverträgen noch aktuell sind. Um sich zunächst zu orientieren, was genau in einem solchen Vertrag stehen sollte, können Sie die Wissensdatenbank zu Auftragsverarbeitungsverträgen konsultieren; diese ist kostenlos zugänglich und nach Themen ausgewählt, mit der Fundstelle im Gesetzestext.
Es ist ratsam, dies nicht als einmalige Kontrolle zu sehen, sondern als etwas, das so lange läuft, wie Sie Lieferanten nutzen, die Daten in Ihrem Namen verarbeiten. Wer mehrere SaaS-Tools nutzt und nicht genau weiß, welche Unterauftragsverarbeiter darunter hängen, kann das in den häufig gestellten Fragen zu laufenden Auftragsverarbeitungsverträgen finden. Und wenn Sie unsicher sind, ob eine gemeldete Änderung bei einem Lieferanten Auswirkungen auf Ihre eigene Haftung hat, ist es ratsam, dies von einem Juristen überprüfen zu lassen oder, wenn Sie unsicher über die zuständige Aufsichtsbehörde sind, die Autoriteit Persoonsgegevens zu befragen.
Unternehmer, die wissen möchten, wie eine solche Überwachung in der Praxis aussieht, können lesen, woher die Informationen auf gdpria.eu stammen und wie Änderungen bei Lieferanten nachverfolgt werden.
Selbst überprüfen, wo Sie stehen
Die meiste Verwirrung über "was hat sich dieses Jahr geändert" kommt nicht aus einer Gesetzesänderung, sondern von einem Lieferanten, der etwas geändert hat, ohne dass Sie es bemerkt haben. Wenn Sie in ein paar Minuten sehen möchten, ob Ihre eigene Situation Aufmerksamkeit braucht, können Sie den kostenlosen Quick-Scan durchführen oder die Wissensdatenbank zu den Themen durchlesen, die für Ihr Unternehmen relevant sind.