Eine Vereinbarung zur Auftragsverarbeitung ist eine schriftliche Absprache zwischen zwei Parteien: derjenigen, die bestimmt, warum und wie personenbezogene Daten verarbeitet werden, und derjenigen, der dies in ihrem Namen ausführt. Die erste wird in der DSGVO als Verantwortlicher bezeichnet, die zweite als Auftragsverarbeiter. Sie benötigen eine solche Vereinbarung, sobald Sie personenbezogene Daten an ein anderes Unternehmen auslagern, beispielsweise an eine Lohnabrechnung, einen Hosting-Anbieter oder ein SaaS-Tool, in dem Kundendaten gespeichert sind.
Der Kern ist einfach: Das Gesetz verlangt diese Absprache, weil der Verantwortliche für das bleibt, was mit den Daten geschieht, auch wenn ein anderes Unternehmen die technische Arbeit verrichtet. Ohne klare Absprachen ist nicht festgelegt, was die andere Partei mit den Daten darf und nicht darf, wie lange sie aufbewahrt werden und was bei einer Datenschutzverletzung geschieht. Eine Vereinbarung zur Auftragsverarbeitung macht diese Aufteilung sichtbar.
Wann liegt eine Auftragsverarbeitung vor
Nicht jede Partei, mit der Sie zusammenarbeiten, ist ein Auftragsverarbeiter. Ein Buchhalter, der Ihre Jahresrechnung mit eigener beruflicher Verantwortung erstellt, ist in der Regel selbst Verantwortlicher für diese Aufgabe. Ein Cloud-Dienst, der Ihre Kundenliste speichert und nach Ihren Vorgaben verarbeitet, ist in der Regel ein Auftragsverarbeiter. Der Unterschied liegt in der Frage, wer den Zweck und die Mittel der Verarbeitung bestimmt. Wenn Sie unsicher sind, ob eine Partei ein Auftragsverarbeiter ist, gibt Ihnen die Wissensdatenbank der Autoriteit Persoonsgegevens eine Orientierung, und Sie können dies auch je nach Situation in der Wissensdatenbank mit DSGVO-Themen pro Situation.
Was muss mindestens enthalten sein
Die DSGVO nennt eine Reihe von Themen, die in einer Vereinbarung zur Auftragsverarbeitung geregelt sein müssen: der Gegenstand und die Dauer der Verarbeitung, ihre Art und ihr Zweck, die Art personenbezogener Daten und Kategorien betroffener Personen, die Pflichten und Rechte des Verantwortlichen sowie Absprachen über Sicherheit, Vertraulichkeit, Unterauftragsverarbeiter und die Art der Zusammenarbeit bei Überprüfungen. Ebenfalls enthalten ist, wie eine mögliche Datenschutzverletzung beim Auftragsverarbeiter gehandhabt wird, und was mit den Daten geschieht, sobald die Zusammenarbeit endet.
Diese Aufzählung steht wörtlich in der Verordnung selbst; wenn Sie die genaue Formulierung nachlesen möchten, finden Sie diese auf EUR-Lex. Aufsichtsbehörden wie der EDPB haben darüber hinaus Leitlinien veröffentlicht, wie diese Bestimmungen in der Praxis ausgelegt werden, beispielsweise in Bezug auf die Frage, wann ein Unterauftragsverarbeiter vorher gemeldet werden muss.
Wer erstellt die Vereinbarung
In der Praxis liefert oft die größere Partei die Vorlage: Ein Softwareanbieter sendet seine eigene Vereinbarung zur Auftragsverarbeitung mit dem Abonnement mit, oder ein Kunde sendet sie Ihnen, weil Sie für ihn Daten verarbeiten. Das bedeutet nicht, dass Sie einen bereitgestellten Text einfach unterschreiben müssen. Es ist ratsam zu überprüfen, ob alle genannten Themen enthalten sind, ob die Sicherheitsabsprachen zu dem passen, was Sie von der anderen Partei erwarten, und ob die Haftung angemessen verteilt ist. Bei Zweifeln an einer bestimmten Klausel ist es sinnvoll, diese einem Juristen vorzulegen.
Warum dies mehr ist als eine Unterschrift
Eine Vereinbarung zur Auftragsverarbeitung ist keine Formalität, die Sie einmalig regeln und dann vergessen. Sobald ein Tool-Anbieter wechselt, ein Unterauftragsverarbeiter außerhalb der EU hinzugezogen wird oder die Art der Datenverarbeitung sich ändert, kann die bestehende Vereinbarung veraltet werden. Unternehmen, die mit mehreren SaaS-Tools arbeiten, haben schnell zehn bis zwanzig dieser Vereinbarungen laufen, jede mit einer eigenen Laufzeit und eigenen Absprachen. Zu verfolgen, welche Vereinbarungen es gibt, welche veraltet sind und welche fehlen, ist eine separate Aufgabe neben dem täglichen Betrieb.
Auch die Sicherheitsabsprachen, die in der Vereinbarung enthalten sind, verdienen Aufmerksamkeit: Sie sagen etwas über den Umgang eines Auftragsverarbeiters mit Zugriff, Verschlüsselung und Meldungen bei Vorfällen aus. Mehr darüber, was dabei relevant ist, lesen Sie auf der Seite über Sicherheit personenbezogener Daten bei Auftragsverarbeitern.
Was Sie selbst tun können
Überprüfen Sie bei jeder neuen Zusammenarbeit, ob Personendaten weitergegeben werden, und wenn ja, ob eine Datenverarbeitungsvereinbarung erforderlich ist und vorhanden ist. Bewahren Sie diese Vereinbarungen übersichtlich auf, zusammen mit dem Verarbeitungsregister, in dem angegeben ist, welches Tool welche Daten verarbeitet. Wenn Sie unsicher sind, ob eine konkrete Vereinbarung vollständig ist, können Sie diese kostenlos auf die wichtigsten Bestandteile überprüfen lassen. Für häufig gestellte Fragen zu diesem Thema, beispielsweise was zu tun ist, wenn ein Anbieter keine Vereinbarung unterzeichnen will, finden Sie einen Überblick auf der Seite mit häufig gestellte Fragen zur DSGVO.
Möchten Sie wissen, wie dies in Ihre eigene Situation passt, beispielsweise wie viele Datenverarbeitungsvereinbarungen Sie wahrscheinlich benötigen und welche davon Aufmerksamkeit erfordern? Führen Sie die kostenlose Schnellprüfung durch oder registrieren Sie ein Geschäftskonto, um das Übersicht mitzuführen. So sehen Sie in wenigen Minuten, wo Sie stehen, ohne dass Sie sich sofort zu etwas verpflichten müssen.