Vielen Dienstleistern ist nicht bewusst, dass sie im Sinne der DSGVO und dass ihnen direkte Verpflichtungen auferlegt werden. Dieser Artikel entschlüsselt Klausel für Klausel, was diese Beziehung konkret zwischen Unternehmen bedeutet.
Das konkrete Problem: die Entdeckung während der Verhandlungen
Das ist ein alltägliches Bild. KommunikationsagenturStellen Sie sich eine Unternehmensberatung, ein IT-Dienstleistungsunternehmen oder ein Callcenter vor, das einen Vertrag mit einem Neukunden abschließt. Zum Zeitpunkt der Unterzeichnung sendet der Kunde ein Dokument mit dem Titel „Datenverarbeitungsvereinbarung gemäß DSGVO“. Der Ansprechpartner beim Dienstleister liest den Titel, blättert die zehn bis fünfzehn Seiten durch und sieht sich mit einer Liste von Verpflichtungen konfrontiert, die er nie erwartet hätte: Führung eines speziellen Registers, unverzügliche Meldung von Datenschutzverletzungen, das Recht auf Vor-Ort-Prüfungen, das Verbot, ohne vorherige Genehmigung Drittanbieter einzusetzen, und die Rückgabe oder Vernichtung aller Daten nach Vertragsende. Der Vertrag ist bereits abgeschlossen, der Starttermin rückt näher, und niemand im Unternehmen hat Antworten auf die technischen Fragen, die dieses Dokument aufwirft.
Dieses Szenario findet sich in vielen französischen Unternehmen, insbesondere in Kleinstunternehmen und KMU im Dienstleistungssektor, die Dienstleistungen erbringen, die den Zugriff auf personenbezogene Daten ihrer Kunden beinhalten, ohne ihre Situation im Hinblick auf die DSGVO jemals formalisiert zu haben. Sie verarbeiten personenbezogene Daten im Auftrag ihrer Kunden, ohne über einen datenschutzkonformen Unterauftragnehmervertrag oder eine entsprechende Genehmigung zu verfügen. Verarbeitungsregister weder speziell für ihre Unterauftragstätigkeit noch für geeignete interne Verfahren.
Das grundlegende Problem ist nicht administrativer, sondern rechtlicher und finanzieller Natur. Die DSGVO verpflichtet Auftragsverarbeiter unmittelbar, unabhängig von den Bestimmungen im Vertrag. Sowohl die CNIL als nationale Aufsichtsbehörde als auch der Europäische Datenschutzausschuss haben bestätigt, dass Auftragsverarbeiter direkt sanktioniert werden können, dass der Verantwortliche für die Datenverarbeitung sanktioniert werden kann, wenn er seinen Auftragsverarbeiter ungeeignet ausgewählt oder unzureichend überwacht hat, und dass das Fehlen eines gemäß Artikel 28 DSGVO erforderlichen Vertrags bereits einen Verstoß darstellt. Die Benennung eines Auftragsverarbeiters schützt den Dienstleister nicht, sondern verpflichtet ihn zusätzlich.
Dieser Artikel bietet einen umfassenden Überblick über das Thema, vom Qualifizierungsmechanismus bis hin zu Fehlern, die es zu vermeiden gilt, einschließlich obligatorischer Klauseln und der häufigsten Bereiche rechtlicher Risiken in der Beziehung zwischen zwei Unternehmen.
Die drei möglichen Qualifikationen und wie man sie unterscheidet
Zunächst muss die Rolle des Auftragnehmers definiert werden. Diese Definition ist keine vertragliche Formalität, sondern eine Analyse der tatsächlichen Abläufe. Ein Punkt ist zentral und muss von Anfang an klargestellt werden: Die Klassifizierung hängt nicht vom Vertrag oder den schriftlichen Vereinbarungen der Parteien ab. Sie richtet sich ausschließlich danach, wer in der Praxis die Zwecke und Mittel der Verarbeitung festlegt. Ein Vertrag kann eine Partei als „Unterauftragnehmer“ bezeichnen, ohne dass dies rechtlich korrekt ist, und umgekehrt. Die CNIL (französische Datenschutzbehörde) ist nicht an vertragliche Klassifizierungen gebunden: Sie prüft die tatsächlichen Rollen und kann diese im Falle einer Prüfung neu klassifizieren, was entsprechende Sanktionen nach sich ziehen kann.
Der Datenverantwortliche im Sinne von Artikel 4 der DSGVO.
Artikel 4 Absatz 7 der DSGVO definiert den Verantwortlichen als „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet“. Diese Definition gliedert sich in zwei kumulative Kriterien: die Festlegung der Zwecke, d. h. das „Warum“ der Verarbeitung, und die Festlegung der wesentlichen Mittel, d. h. das „Wie“. Der Europäische Datenschutzausschuss hat klargestellt, dass sich die wesentlichen Mittel auf die Strukturierungsentscheidungen beziehen: welche Kategorien von Daten verarbeitet werden, wer die Empfänger sind und welche Zwecke und Mittel die Verarbeitung der Daten hat. die GesprächsdauerWelche Rechtsgrundlage wird verwendet? Nicht unbedingt notwendige Maßnahmen, wie die Wahl des technischen Werkzeugs oder die interne Organisation der Teams zur Erfüllung der Aufgabe, können jedoch dem Dienstleister überlassen werden, ohne dass dieser dadurch zum Datenverantwortlichen wird.
Der Verantwortliche für die Datenverarbeitung trägt die Hauptverantwortung für die Pflichten der DSGVO: Führung des Verzeichnisses der Verarbeitungstätigkeiten, Information der betroffenen Personen, Beantwortung von Rechten, Meldung von Verstößen an die CNIL innerhalb der in Artikel 33 Absatz 1 festgelegten Frist, Durchführung der in Artikel 35 vorgesehenen Datenschutz-Folgenabschätzungen und sorgfältige Auswahl seiner Unterauftragnehmer gemäß Artikel 28. Er ist im Schadensfall auch die erste Partei, die gemäß Artikel 82 Schadensersatzansprüchen der betroffenen Personen ausgesetzt ist.
Beispiele für Datenverantwortliche: Ein Unternehmen, das Kundendaten zur Vertriebssteuerung erhebt, entscheidet selbst, warum diese Daten erhoben und wie sie verwendet werden. Eine Arztpraxis, die Patientenakten führt, ist für diese Akten verantwortlich. Ein Verein, der seine Mitglieder verwaltet, ist für diese Mitgliederdatei verantwortlich.
Der Unterauftragnehmer im Sinne von Artikel 4 der DSGVO.
Artikel 4 Absatz 8 der DSGVO definiert einen Auftragsverarbeiter als „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“. Der Ausdruck „im Auftrag des Verantwortlichen“ ist hierbei das entscheidende Kriterium. Der Auftragsverarbeiter handelt nach Weisungen des Verantwortlichen und ist nicht befugt, die Zwecke oder die Mittel der Verarbeitung selbst festzulegen. Er führt eine Aufgabe innerhalb eines von einem Dritten vorgegebenen Rahmens aus.
Dieser Status gilt für eine Vielzahl von Berufen, und genau hier liegt die praktische Schwierigkeit für Kleinstunternehmen und kleine und mittlere Unternehmen (KMU) im Dienstleistungssektor. Eine Kommunikationsagentur, die die Kundendatenbank ihres Auftraggebers verwaltet, ist für diese Tätigkeit dessen Unterauftragnehmer: Der Auftraggeber hat entschieden, diese Daten zu erheben und zu welchem Zweck. Ein IT-Dienstleister, der Server mit personenbezogenen Daten im Auftrag eines Kundenunternehmens hostet, ist Unterauftragnehmer, selbst wenn er nie auf die Dateninhalte zugreift. Eine Kanzlei, die Fälle im Auftrag eines Auftraggebers bearbeitet und dabei auch personenbezogene Daten der beteiligten Dritten verarbeitet, ist für diese Tätigkeit Unterauftragnehmer. Ein Inkassobüro, das ein Forderungsportfolio mit den Daten der Schuldner erhält, ist Unterauftragnehmer, wenn der Gläubiger die Zwecke und Bedingungen der Verarbeitung festgelegt hat. Ein Callcenter, das Kundenanfragen im Auftrag einer Marke bearbeitet, ist hinsichtlich der Anruferdaten deren Unterauftragnehmer.
Diese Unternehmen verstoßen regelmäßig gegen ihre rechtlichen Bestimmungen. Ihnen fehlt sowohl der in Artikel 28 geforderte Vertrag als auch das in Artikel 30 Absatz 2 vorgeschriebene Register. Auch ein Verfahren zur Meldung von Datenschutzverletzungen fehlt ihnen. Dieses mangelnde Bewusstsein schützt sie nicht, sondern setzt sie unmittelbar Risiken aus.
Gemeinsam Verantwortliche im Sinne von Artikel 26 der DSGVO
Artikel 26 der DSGVO regelt den Fall, dass zwei oder mehr Organisationen gemeinsam über die Zwecke und Mittel derselben Datenverarbeitung entscheiden. Diese werden als gemeinsam Verantwortliche bezeichnet. Dieser Status wird häufig unterschätzt und missverstanden. Er impliziert, dass die Verarbeitung ohne die aktive Beteiligung jeder Partei nicht stattfinden würde und ihre Rollen untrennbar miteinander verbunden sind. Dies trifft nicht auf einen einfachen Dienstleister zu, wohl aber, wenn zwei Unternehmen eine gemeinsame Datenbank nutzen, gemeinsam eine Kampagne organisieren, bei der jedes Unternehmen einige der Regeln festlegt, oder eine Plattform betreiben, bei der jedes Unternehmen einige der Zwecke bestimmt.
Gemeinsam Verantwortliche müssen ihre Beziehung durch eine transparente Vereinbarung formalisieren, die ihre jeweiligen Verantwortlichkeiten festlegt, insbesondere hinsichtlich der Information der betroffenen Personen und der Wahrung ihrer Rechte. Betroffene Personen können ihre Rechte gegenüber jedem der beiden Verantwortlichen geltend machen. Die wichtigsten Punkte dieser Vereinbarung müssen ihnen zugänglich gemacht werden. Jeder Verantwortliche ist für etwaige ihm zuzuschreibende Mängel verantwortlich, kann aber auch für die des anderen haftbar gemacht werden, wenn keine ordnungsgemäß formulierte Vereinbarung vorliegt.
Die folgende Tabelle fasst die Unterschiede zwischen den drei Qualifikationen zusammen:
| Kriterium | Datenverantwortlicher | Subunternehmer | Gemeinsam verantwortlich |
|---|---|---|---|
| Wer legt die Ziele fest? | Nur er | Der Datenverantwortliche | Die beiden zusammen |
| Wer entscheidet über die notwendigen Ressourcen? | Nur er | Der Datenverantwortliche (der Datenverarbeiter wählt nicht unbedingt notwendige Mittel) | Die beiden zusammen |
| Wer ist gegenüber der CNIL rechenschaftspflichtig? | In der ersten Zeile | Aufgrund seiner eigenen Unzulänglichkeiten | Jeder für sich, mit möglicher Solidarität |
| Vertrag erforderlich | Artikel 28 Vertrag mit eigenen Subunternehmern | Artikel 28 Vertrag mit dem Manager unterzeichnet | Vereinbarung über die gemeinsame Verantwortung (Art. 26) |
| Pflichtregister | Artikel 30 Absatz 1 | Artikel 30 Absatz 2 | Artikel 30 Absatz 1 für jeden |
| Informationen für die Betroffenen | Direkte Verpflichtung | Auf Anweisung des Verantwortlichen | Gemeinsame Verpflichtung mit einem festgelegten Ansprechpartner |
Wie Sie sich qualifizieren: Ein Entscheidungsbaum in vier Fragen
Bei der Durchführung einer bestimmten Datenverarbeitungstätigkeit muss ein Unternehmen seine Rolle prüfen. Eine allgemeingültige Lösung gibt es nicht; jede Situation muss individuell analysiert werden. Ein Unternehmen kann für seine eigenen Geschäftsprozesse Verantwortlicher und für die Dienstleistungen, die es seinen Kunden anbietet, Auftragsverarbeiter sein. Die folgende Tabelle enthält vier Fragen zur Bestimmung dieser Rolle, basierend auf den Kriterien des Europäischen Datenschutzausschusses.
| Frage | Wenn die Antwort Ja lautet | Wenn die Antwort Nein lautet |
|---|---|---|
| 1. Entscheiden Sie selbst, warum diese Daten erhoben oder verarbeitet werden, d. h. zu welchem Zweck die Verarbeitung erfolgt? | Sie sind wahrscheinlich der Datenverantwortliche für diese Aktivität. | Fahren Sie mit Frage 2 fort. |
| 2. Entscheiden Sie, welche Daten von wem und über welchen Zeitraum erhoben werden? | Sie sind wahrscheinlich ein Datenverantwortlicher oder ein gemeinsamer Verantwortlicher. | Fahren Sie mit Frage 3 fort. |
| 3. Handeln Sie ausschließlich nach den Anweisungen Ihres Auftraggebers, der den Auftrag, die Regeln und den Rahmen für die Verarbeitung festgelegt hat? | Sie sind wahrscheinlich ein Datenverarbeiter im Sinne von Artikel 4 Absatz 8 DSGVO. | Fahren Sie mit Frage 4 fort. |
| 4. Können Sie die Daten für Ihre eigenen Zwecke wiederverwenden, beispielsweise um Ihre Dienstleistungen zu verbessern, andere Kunden zu gewinnen oder eigene Referenzdatenbanken aufzubauen? | Sie sind der Datenverantwortliche für diese spezifischen Verwendungszwecke, die eine separate Rechtsgrundlage erfordern. | Ihre Rolle ist die eines strikten Datenverarbeiters: Artikel 28 der DSGVO findet uneingeschränkt Anwendung. |
Diese Analyse muss dokumentiert werden. Die CNIL (französische Datenschutzbehörde) weist darauf hin, dass die Beteiligten im Falle einer Prüfung die gewählte Klassifizierung begründen und deren Begründung nachweisen müssen. Diese Dokumentation ist ein Bestandteil der Rechenschaftspflicht gemäß DSGVO. Bestehen weiterhin Zweifel, insbesondere in komplexen Situationen wie digitalen Plattformen oder Partnerschaften mit mehreren Beteiligten, empfiehlt es sich, vor der Unterzeichnung eines Vertragsdokuments einen Fachberater zu konsultieren.
Der Sonderfall des Dienstleisters, der beides gleichzeitig ist
Ein einzelnes Unternehmen kann gleichzeitig Datenverantwortlicher für seine eigenen Aktivitäten und Datenverarbeiter für die Daten seiner Kunden sein, mitunter sogar gegenüber ein und demselben Geschäftspartner. Diese Situation ist sehr verbreitet und wird oft missverstanden.
Nehmen wir als Beispiel ein Unternehmen, das administrative Managementdienstleistungen für mehrere Kunden erbringt. Für die Verwaltung der eigenen Mitarbeiter, die Buchhaltung oder die Nachverfolgung von Interessenten ist dieses Unternehmen der Verantwortliche für die Datenverarbeitung: Es entscheidet selbst, warum und wie diese Daten verwendet werden. Verarbeitet es jedoch Kundendaten (Rechnungen, Debitorendaten, Kontaktlisten), handelt es gemäß den Anweisungen dieser Kunden, die Zweck und Bedingungen der Verarbeitung festgelegt haben. Für diese zweite Tätigkeit ist es Auftragsverarbeiter im Sinne von Artikel 4 Absatz 8 DSGVO.
In der Praxis bedeutet dies, dass das Unternehmen zwei separate Register führen kann: eines gemäß Artikel 30 Absatz 1 für seine Verarbeitungstätigkeiten als Verantwortlicher und ein weiteres gemäß Artikel 30 Absatz 2 für seine Tätigkeiten als Auftragsverarbeiter im Auftrag seiner Kunden. Es muss außerdem mit jedem seiner Kunden, für den es auf personenbezogene Daten zugreift, eine mit Artikel 28 konforme Datenverarbeitungsvereinbarung abschließen.
Dasselbe gilt für eine Kommunikationsagentur, die sowohl ihre eigene Kundendatenbank verwaltet als auch die Kontaktlisten ihrer Kunden betreut. Im ersten Fall ist sie der Verantwortliche für die Datenverarbeitung, im zweiten Fall der Auftragsverarbeiter. Diese Doppelrolle ist eine Realität, die gemäß DSGVO streng geregelt werden muss, da die sich daraus ergebenden Pflichten unterschiedlich sind und nicht verwechselt werden dürfen.
Eigene Verpflichtungen des Subunternehmers
Die DSGVO hat die Situation von Datenverarbeitern grundlegend verändert. Vor ihrer Einführung waren Datenverarbeiter primär Auftragsverarbeiter, deren Pflichten vertraglich festgelegt waren. Seit 2018 sind sie zu vollwertigen Akteuren im Bereich der Datenverarbeitung geworden und tragen direkte, vertraglich nicht ausschließbare Pflichten. Die französische Datenschutzbehörde CNIL kann sie bei Verstößen direkt prüfen und sanktionieren. Im Folgenden finden Sie eine detaillierte Aufschlüsselung dieser Pflichten.
Handeln Sie ausschließlich gemäß den dokumentierten Anweisungen.
Artikel 28 Absatz 3 Buchstabe a und Artikel 29 der DSGVO legen einen Grundsatz fest: Ein Auftragsverarbeiter darf personenbezogene Daten nur auf dokumentierte Anweisung des Verantwortlichen verarbeiten. Diese Anweisung muss schriftlich, konkret und nachvollziehbar sein. Erhält der Auftragsverarbeiter Anweisungen, die seiner Ansicht nach gegen die DSGVO oder anderes Unionsrecht oder nationales Recht verstoßen, ist er verpflichtet, den Verantwortlichen unverzüglich zu informieren. Er kann eine rechtswidrige Anweisung nicht einfach unter dem Deckmantel des Vertrags ausführen: Die Meldepflicht ist ein unmittelbarer Bestandteil seiner Verantwortung.
In der Praxis erfordert diese Verpflichtung die Dokumentation aller erhaltenen Anweisungen: E-Mails, Bestellungen, technische Spezifikationen, Besprechungsnotizen. Im Streitfall oder bei einer Prüfung dient diese Dokumentation als Nachweis dafür, dass der Subunternehmer im Rahmen seiner Zuständigkeiten gehandelt hat. Fehlende Nachvollziehbarkeit von Anweisungen führt häufig dazu, dass ein vertragliches Problem zu einem DSGVO-Problem wird.
Gewährleisten Sie die Vertraulichkeit der Daten autorisierter Personen.
Artikel 28 Absatz 3 Unterabsatz b verpflichtet den Unterauftragnehmer sicherzustellen, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Einhaltung der Bestimmungen verpflichten. Vertraulichkeit oder einer entsprechenden gesetzlichen Geheimhaltungspflicht unterliegen. Dies betrifft alle Mitarbeiter, die Zugriff auf die Daten haben: Angestellte, Praktikanten, freie Mitarbeiter und gelegentliche Mitwirkende.
In der Praxis bedeutet dies, dass Vertraulichkeitsklauseln in Arbeitsverträge und Vereinbarungen mit Dienstleistern aufgenommen werden und regelmäßige Schulungen die Teams für die Risiken der Verarbeitung personenbezogener Daten sensibilisieren. Die Vertraulichkeitsverpflichtung muss dokumentiert und im Falle einer Prüfung durch die zuständige Behörde zugänglich sein.
die Sicherheit der Verarbeitung im Sinne von Artikel 32 gewährleisten
Artikel 32 der DSGVO verpflichtet sowohl den Verantwortlichen als auch den Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Diese Maßnahmen müssen dem Stand der Technik, den Implementierungskosten sowie Art, Umfang, Kontext und Zweck der Verarbeitung und den Risiken für die Rechte und Freiheiten natürlicher Personen Rechnung tragen.
Der Auftragsverarbeiter ist aufgrund seiner eigenen Verpflichtung und nicht nur aufgrund der Anweisungen des Verantwortlichen an diese Pflicht gebunden. Stellt er fest, dass eine vom Verantwortlichen geforderte Sicherheitsmaßnahme angesichts des tatsächlichen Risikos unzureichend ist, muss er den Verantwortlichen informieren. Verursacht seine eigene Fahrlässigkeit in Bezug auf die Sicherheit eine Datenschutzverletzung, haftet er unmittelbar, unabhängig vom Verantwortlichen.
Beachten Sie die nachfolgenden Unterauftragsvergabevorschriften.
Artikel 28 Absatz 2 der DSGVO verbietet es einem Datenverarbeiter, ohne die vorherige schriftliche Einwilligung des Verantwortlichen – sei es eine spezifische oder allgemeine – einen weiteren Datenverarbeiter zu beauftragen. Diese Regel wird häufig von Dienstleistern missachtet, die Dritte für bestimmte Teile ihrer Arbeit einsetzen, ohne ihre Kunden darüber zu informieren.
Es gibt zwei Arten von Genehmigungen: die spezifische Genehmigung, die jeden nachfolgenden Unterauftragnehmer namentlich benennt, und die allgemeine Genehmigung, die einen Mechanismus zur Information des Verantwortlichen und zur Möglichkeit des Widerspruchs beinhaltet. In jedem Fall bleibt der ursprüngliche Unterauftragnehmer gegenüber dem Verantwortlichen für die Handlungen der nachfolgenden Unterauftragnehmer vollumfänglich verantwortlich. Der Vertrag mit den nachfolgenden Unterauftragnehmern muss gemäß Artikel 28 Absatz 4 dieselben Datenschutzverpflichtungen enthalten wie der ursprüngliche Vertrag.
Unterstützen Sie die Person, die für die Rechte der betroffenen Personen zuständig ist.
Der Auftragsverarbeiter muss den Verantwortlichen, soweit möglich und unter Berücksichtigung der Art der Verarbeitung, bei der Erfüllung seiner Pflicht zur Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte unterstützen: Recht auf Auskunft, Recht auf Berichtigung, Recht auf Löschung, Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit und Widerspruchsrecht. Diese Verpflichtung ist in Artikel 28 Absatz 3 Buchstabe e) DSGVO festgelegt.
In der Praxis bedeutet dies, dass der Datenverarbeiter die von ihm für einen bestimmten Kunden gespeicherten Daten schnell identifizieren, extrahieren, korrigieren oder gemäß den Anweisungen des Verantwortlichen löschen können muss. Kann ein Datenverarbeiter die von ihm für einen Kunden verarbeiteten Daten nicht finden, kann er dieser Verpflichtung nicht nachkommen und setzt beide Parteien dem Risiko aus, dass sie den Rechten der betroffenen Personen nicht innerhalb der geltenden Fristen nachkommen können.
Verstöße sind gemäß Artikel 33 unverzüglich zu melden.
Gemäß Artikel 33 Absatz 2 DSGVO ist der Datenverarbeiter verpflichtet, den Verantwortlichen unverzüglich nach Kenntniserlangung über jede Verletzung des Schutzes personenbezogener Daten zu informieren. Diese Benachrichtigung muss es dem Verantwortlichen ermöglichen, seiner eigenen Meldepflicht gegenüber der Aufsichtsbehörde innerhalb der in Artikel 33 Absatz 1 festgelegten Frist nachzukommen.
Der Unterauftragnehmer muss daher über ein internes Verfahren zur Erkennung und Meldung von Vorfällen verfügen, das es ihm ermöglicht, schnell festzustellen, ob ein Vorfall eine Datenschutzverletzung im Sinne der DSGVO darstellt, und den Verantwortlichen unverzüglich zu benachrichtigen. Das Fehlen eines solchen Verfahrens stellt selbst einen Verstoß gegen die Datenschutzpflicht dar.
Führung eines eigenen Registers gemäß Artikel 30 Absatz 2
Artikel 30 Absatz 2 DSGVO verpflichtet Auftragsverarbeiter, ein separates Verzeichnis zu führen, das vom Verzeichnis des Verantwortlichen getrennt ist. Dieses Verzeichnis enthält für jeden Verantwortlichen, für den der Auftragsverarbeiter tätig ist, folgende Angaben: Name und Kontaktdaten des Verantwortlichen (und gegebenenfalls des Datenschutzbeauftragten), die Kategorien der in seinem Auftrag durchgeführten Verarbeitungen, etwaige Datenübermittlungen in Drittländer und die entsprechenden Garantien sowie eine allgemeine Beschreibung der getroffenen Sicherheitsmaßnahmen.
Dieses Verzeichnis ist spezifisch für den jeweiligen Subunternehmer und spiegelt dessen operative Realität wider: welche Kunden, welche in deren Auftrag verarbeiteten Daten und mit welchen Subunternehmern. Viele Kleinst- und KMU, die Dienstleistungen erbringen, führen dieses Verzeichnis nicht und wissen oft nicht einmal, dass sie dazu verpflichtet sind. Die CNIL (französische Datenschutzbehörde) kann dessen Vorlage im Rahmen einer Prüfung verlangen; sein Fehlen stellt einen direkten Vertragsbruch dar.
Stellen Sie die für die Prüfungen erforderlichen Informationen bereit.
Artikel 28 Absatz 3 Buchstabe h DSGVO verpflichtet den Auftragsverarbeiter, dem Verantwortlichen alle Informationen bereitzustellen, die erforderlich sind, um die Einhaltung seiner Pflichten nachzuweisen und die Durchführung von Prüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer zu ermöglichen. Der Auftragsverarbeiter ist zur Mitwirkung an diesen Prüfungen verpflichtet. Verweigerung oder Behinderung stellt an sich einen Verstoß gegen seine vertraglichen und aufsichtsrechtlichen Pflichten dar und ist ein Warnsignal, das die Aufsichtsbehörde berücksichtigen darf.
Das Schicksal der Daten nach Vertragsende
Artikel 28 Absatz 3 Buchstabe g DSGVO verpflichtet den Auftragsverarbeiter, nach Abschluss der Dienstleistung alle personenbezogenen Daten gemäß der Wahl des Verantwortlichen zurückzugeben oder zu löschen und alle vorhandenen Kopien zu vernichten, sofern keine gesetzliche Aufbewahrungspflicht besteht. Diese Klausel wird oft als bloße Formalität betrachtet, ist aber ein häufiger Grund für Rechtsstreitigkeiten. Ein Auftragsverarbeiter, der Daten ohne Rechtsgrundlage über das Vertragsende hinaus speichert, haftet unmittelbar. Das Rückgabe- oder Vernichtungsverfahren muss formalisiert, zertifiziert und dokumentiert werden.
Der Wendepunkt gemäß Artikel 28 Absatz 10: wenn der Unterauftragnehmer zum Datenverantwortlichen wird.
Artikel 28 Absatz 10 der DSGVO enthält eine weitreichende Regelung: Bestimmt ein Datenverarbeiter die Zwecke und Mittel der Verarbeitung selbst und verstößt damit gegen den zugrunde liegenden Vertrag, so gilt er als Verantwortlicher für diese Verarbeitung. Ihm obliegen dann alle Pflichten eines Verantwortlichen, einschließlich derjenigen, die Sanktionen betreffen.
Dieser Mechanismus zur Datenverlagerung stellt das größte rechtliche Risiko für jeden Dienstleister dar, der Daten im Auftrag seiner Kunden verarbeitet. Am häufigsten kommt es vor, dass ein Dienstleister Kundendaten wiederverwendet, um seine eigenen Dienstleistungen zu verbessern, eigene Modelle zu trainieren, Referenzdatenbanken zu erstellen oder neue Kunden zu gewinnen. Jede dieser Verwendungen stellt einen eigenständigen Zweck dar, der nicht von den Anweisungen des Verantwortlichen für die Datenverarbeitung abgedeckt ist. Der Dienstleister wird somit für diese Verwendungen zum Verantwortlichen für die Datenverarbeitung, ohne die notwendigen Schutzmaßnahmen oder angemessenen Prozesse, und ist direkten Strafen ausgesetzt.
Dies ist keine theoretische Hypothese. Digitale Dienstleister wurden von Aufsichtsbehörden neu eingestuft, weil sie Kundendaten für eigene Zwecke nutzten, beispielsweise zur Erstellung aggregierter Analysen, die an Dritte weiterverkauft wurden, oder zur Verbesserung eigener Algorithmen. Die Lehre daraus ist eindeutig: Jede Datennutzung, die über die Anweisungen des Verantwortlichen hinausgeht, entzieht dem Anbieter seine Rolle als Auftragsverarbeiter. Er unterliegt dann den vollen regulatorischen Bestimmungen für Verantwortliche, ohne die vertraglichen Schutzrechte seiner ursprünglichen Rolle und gegebenenfalls ohne die entsprechenden Verpflichtungen erfüllt zu haben.
Zwingende Klauseln im Unterauftragsvertrag gemäß Artikel 28
Artikel 28 der DSGVO schreibt vor, dass die Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter auf einem schriftlichen Vertrag oder einem anderen Rechtsinstrument nach Unionsrecht oder dem Recht eines Mitgliedstaats beruhen muss. Dieses Dokument, oft als Auftragsverarbeitungsvereinbarung (AVV) bezeichnet, muss eine Reihe obligatorischer Klauseln enthalten. Fehlt es oder ist es unzureichend, stellt dies einen direkten Vertragsbruch für beide Parteien dar. Im Folgenden sind die einzelnen Klauseln, ihre erforderlichen Inhalte und ein Formulierungsbeispiel aufgeführt.
Zweck und Dauer der Behandlung
Der Vertrag muss die dem Subunternehmer zugewiesenen Aufgaben und den Zeitraum für deren Ausführung genau festlegen. Diese Elemente definieren den Vertragsumfang und bestimmen, wann die Klausel zur Datenverarbeitung am Vertragsende Anwendung findet.
Standardformulierung: „Der Unterauftragnehmer ist berechtigt, im Auftrag des Verantwortlichen die für die Durchführung der folgenden Aufgabe erforderlichen personenbezogenen Daten zu verarbeiten: [genaue Beschreibung der Dienstleistung]. Diese Berechtigung gilt für die Dauer des Dienstleistungsvertrags, d. h. bis zum im Hauptvertrag festgelegten Enddatum oder, im Falle einer Verlängerung, bis zum Ende der letzten Verlängerungsperiode.“
Art und Zweck der Verarbeitung
Der Vertrag muss die Art der mit den Daten durchgeführten Operationen (Erhebung, Speicherung, Analyse, Übermittlung, Löschung usw.) und den vom Verantwortlichen verfolgten Zweck beschreiben. Dies ermöglicht die Überprüfung, ob der Auftragsverarbeiter seinen Auftrag nicht überschreitet.
Typischer Wortlaut: „Die Verarbeitung umfasst das [Speichern, Verwalten, Versenden, Analysieren usw.] personenbezogener Daten. Zweck der Verarbeitung ist [Kundenbeziehungsmanagement, Versenden von Mitteilungen, Verwaltung von Personalakten usw.], wie vom Verantwortlichen für die Datenverarbeitung festgelegt. Der Unterauftragnehmer darf diese Daten unter keinen Umständen für andere als die vom Verantwortlichen für die Datenverarbeitung ausdrücklich angegebenen Zwecke verarbeiten.“
Art der personenbezogenen Daten und Kategorien der betroffenen Personen
Der Vertrag muss die Kategorien der verarbeiteten Daten (Namen, Kontaktdaten, Finanzdaten, Gesundheitsdaten usw.) und die Kategorien der betroffenen Personen (Kunden, Mitarbeiter, Interessenten, Patienten usw.) auflisten. Diese Präzision ermöglicht eine Risikobewertung der Datenverarbeitung und die Anpassung von Schutzmaßnahmen.
Standardformulierung: „Die im Rahmen dieses Vertrags verarbeiteten Daten gehören folgenden Kategorien an: [Liste]. Sie betreffen Personen folgender Kategorien: [Liste]. Jede Erweiterung des Umfangs der Daten oder der Kategorien von Personen bedarf einer schriftlichen, von beiden Parteien unterzeichneten Vertragsänderung.“
Die Pflichten und Rechte des Datenverantwortlichen
Der Vertrag muss die Rechte des Verantwortlichen gegenüber dem Subunternehmer festlegen, einschließlich seines Weisungsrechts, seines Rechts zur Durchführung von Prüfungen und seines Rechts, Informationen zur Einhaltung der Vorschriften zu verlangen. Dies stellt das Gegenstück zu den Pflichten des Subunternehmers dar.
Standardformulierung: „Der Verantwortliche für die Datenverarbeitung ist berechtigt, dem Auftragsverarbeiter Anweisungen zur Verarbeitung personenbezogener Daten zu erteilen. Der Verantwortliche kann jederzeit – außer in Fällen gerechtfertigter Dringlichkeit – Auskunft über die getroffenen Sicherheitsmaßnahmen verlangen, Prüfungen durchführen oder einen Dritten zu diesem Zweck beauftragen. Der Auftragsverarbeiter verpflichtet sich, bei diesen Überprüfungen uneingeschränkt mitzuwirken.“
Die Verpflichtung, Bestellungen nur auf Grundlage dokumentierter Anweisungen zu bearbeiten
Standardformulierung: „Der Unterauftragnehmer verpflichtet sich, personenbezogene Daten nur gemäß dokumentierten Anweisungen des Verantwortlichen und in Übereinstimmung mit Artikel 28 und 29 der DSGVO zu verarbeiten. Ist der Unterauftragnehmer der Ansicht, dass eine Anweisung gegen die Datenschutz-Grundverordnung oder eine andere anwendbare Rechtsvorschrift verstößt, unterrichtet er den Verantwortlichen unverzüglich schriftlich und behält sich das Recht vor, die Ausführung dieser Anweisung bis zu einer Antwort auszusetzen.“
Die Vertraulichkeitsvereinbarung der autorisierten Personen
Standardformulierung: „Der Unterauftragnehmer hat sicherzustellen, dass alle Personen, die gemäß diesem Vertrag zum Zugriff auf personenbezogene Daten berechtigt sind, einer vertraglichen oder gesetzlichen Geheimhaltungspflicht unterliegen. Er hat dem Verantwortlichen für die Datenverarbeitung eine Liste dieser Personen sowie Unterlagen, die deren Verpflichtung zur Geheimhaltung belegen, zur Verfügung zu stellen und diese bei jeder Änderung zu aktualisieren.“
Sicherheitsmaßnahmen gemäß Artikel 32
Standardformulierung: „Der Unterauftragnehmer ist verpflichtet, während der gesamten Vertragslaufzeit geeignete technische und organisatorische Maßnahmen zur Gewährleistung der Sicherheit der verarbeiteten Daten gemäß Artikel 32 DSGVO zu implementieren und aufrechtzuerhalten. Diese Maßnahmen umfassen insbesondere [Liste der an den Verarbeitungskontext angepassten Maßnahmen, enthalten im technischen Anhang]. Sie sind regelmäßig zu überprüfen und an veränderte Risiken und den aktuellen Wissensstand anzupassen.“
Das nachfolgende Unterauftragssystem
Standardformulierung: „Der Unterauftragnehmer darf ohne vorherige schriftliche Genehmigung des Verantwortlichen keinen anderen Dienstleister mit der Durchführung der in diesem Vertrag geregelten Verarbeitungsvorgänge beauftragen. Wird eine allgemeine Genehmigung erteilt, hat der Unterauftragnehmer den Verantwortlichen über geplante Änderungen hinsichtlich der Hinzunahme oder des Austauschs von Dienstleistern zu informieren und ihm eine Frist von [zwischen den Parteien festzulegen] zur Erhebung eines Widerspruchs einzuräumen. Der mit einem nachfolgenden Unterauftragnehmer geschlossene Vertrag muss dieselben Datenschutzverpflichtungen enthalten wie dieser Vertrag.“
Unterstützung des Managers hinsichtlich der Rechte und Pflichten im Zusammenhang mit der Einhaltung der Vorschriften
Standardformulierung: „Der Unterauftragnehmer verpflichtet sich, den Verantwortlichen im Rahmen des Möglichen und unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung seiner Pflicht zur Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte zu unterstützen. Er verpflichtet sich ferner, den Verantwortlichen bei der Einhaltung seiner Pflichten gemäß Artikel 32 bis 36 DSGVO zu unterstützen, insbesondere in Bezug auf Sicherheit, Meldung von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen.“
Das Schicksal der Daten nach Vertragsende
Standardformulierung: „Nach Beendigung dieses Vertrags verpflichtet sich der Unterauftragnehmer, nach Wahl des schriftlich benachrichtigten Verantwortlichen für die Datenverarbeitung alle unter den Vertrag fallenden personenbezogenen Daten zurückzugeben oder sicher zu löschen und alle vorhandenen Kopien zu vernichten, mit Ausnahme derjenigen, deren Aufbewahrung aufgrund einer für den Unterauftragnehmer geltenden rechtlichen Verpflichtung erforderlich ist. Der Unterauftragnehmer hat die Vernichtung oder Rückgabe innerhalb einer von den Parteien vereinbarten Frist schriftlich zu bestätigen.“
Weitervergabe von Unteraufträgen: Genehmigung, Information und Kaskadenhaftung
Die Vergabe von Unteraufträgen zählt zu den am häufigsten übersehenen Risikobereichen in Geschäftsbeziehungen. Ein Dienstleister, der Subunternehmer mit der Ausführung seiner Arbeiten ganz oder teilweise beauftragt, ohne seinen Auftraggeber zu informieren und dessen vorherige Zustimmung einzuholen, verstößt gegen Artikel 28 Absatz 2 DSGVO. Diese Regel gilt auch dann, wenn der Einsatz von Subunternehmern in der jeweiligen Branche üblich ist.
Die DSGVO sieht zwei Autorisierungsmethoden vor. Die erste ist die spezifische Autorisierung: Der Verantwortliche benennt jeden nachfolgenden Auftragsverarbeiter ausdrücklich. Jede Ersetzung oder Hinzufügung eines Auftragsverarbeiters erfordert eine neue ausdrückliche Autorisierung. Diese Methode bietet den höchsten Schutz für den Verantwortlichen, ist aber für den Auftragsverarbeiter operativ am aufwendigsten. Die zweite ist die allgemeine Autorisierung: Der Verantwortliche erteilt seine grundsätzliche Zustimmung, sofern der Auftragsverarbeiter ihn über geplante Änderungen informiert und ihm die Möglichkeit zum Widerspruch einräumt, bevor er den neuen Anbieter beauftragt. Diese Methode ist flexibler, erfordert jedoch einen strukturierten und dokumentierten Informationsprozess.
In allen Fällen schreibt Artikel 28 Absatz 4 DSGVO vor, dass nachfolgende Auftragsverarbeiter denselben Datenschutzpflichten unterliegen wie der ursprüngliche Auftragsverarbeiter. Der ursprüngliche Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Leistung des nachfolgenden Auftragsverarbeiters vollumfänglich verantwortlich. Begeht der nachfolgende Auftragsverarbeiter einen Verstoß, haftet der ursprüngliche Auftragsverarbeiter gegenüber dem Verantwortlichen vorrangig, noch vor jeglichen internen Regressansprüchen zwischen den Parteien.
Für den Verantwortlichen ist die Verwaltung der Unterauftragskette eine Aufgabe ständiger Wachsamkeit. Der Europäische Datenschutzausschuss hat in seinen Leitlinien und seiner Stellungnahme vom Oktober 2024 zur Kaskadierung von Unteraufträgen festgelegt, dass der Verantwortliche jederzeit Informationen über die Identität jedes Akteurs in der Kette haben und die von jedem angebotenen Garantien überprüfen können muss. Der Umfang der Überprüfung muss dem Risiko der jeweiligen Verarbeitung angemessen sein.
Transfers außerhalb der Europäischen Union: Fragen, die Sie sich vor der Unterzeichnung stellen sollten
Die Problematik der Datenübermittlung außerhalb der Europäischen Union steht in direktem Zusammenhang mit der Vergabe von Unteraufträgen. Nutzt ein Unterauftragnehmer Dienstleister oder Ressourcen außerhalb des Europäischen Wirtschaftsraums, übermittelt er unter Umständen Daten in Drittländer, wodurch die Anforderungen der Artikel 44 bis 49 der DSGVO erfüllt sind. Auch der Fernzugriff aus einem Drittland, selbst zu Wartungs- oder Supportzwecken, stellt eine Übermittlung im Sinne der DSGVO dar.
Drei Hauptmechanismen ermöglichen die sichere Übermittlung von Daten außerhalb der Europäischen Union. Der erste ist der Angemessenheitsbeschluss gemäß Artikel 45: Die Europäische Kommission hat festgestellt, dass bestimmte Drittländer ein dem der Union im Wesentlichen gleichwertiges Schutzniveau bieten. Für diese Länder ist die Übermittlung ohne zusätzliche Garantien zulässig, sofern die Verarbeitung in den Anwendungsbereich des Beschlusses fällt und dieser noch gültig ist. Der zweite Mechanismus sind Standardvertragsklauseln gemäß Artikel 46: Von der Europäischen Kommission verabschiedete Standardklauseln, die in den Vertrag zwischen Datenexporteur und -importeur aufgenommen werden. Diese Klauseln müssen durch eine Folgenabschätzung der Übermittlung ergänzt werden, die prüft, ob die Gesetzgebung des Ziellandes die eingegangenen Verpflichtungen beeinträchtigt. Der dritte Mechanismus sind verbindliche interne Datenschutzvorschriften, die für Übermittlungen innerhalb einer Unternehmensgruppe vorgesehen sind und der Genehmigung durch die zuständige Aufsichtsbehörde bedürfen.
Für einen Subunternehmer sind folgende Fragen hinsichtlich jedes Dienstleisters relevant: Wo befinden sich die gespeicherten Daten physisch? Wer hat Zugriff darauf und aus welchem Land? Können Mitarbeiter oder Subunternehmer außerhalb der Europäischen Union – auch nur gelegentlich – zu Wartungs- oder Supportzwecken auf die Daten zugreifen? Falls die Antwort auf eine dieser Fragen ein Drittland betrifft, muss der entsprechende Übermittlungsmechanismus identifiziert, dokumentiert und in den Subunternehmervertrag aufgenommen werden. Das Vorliegen eines Angemessenheitsbeschlusses entbindet den Nutzer nicht von der Pflicht, die Einhaltung der Datenschutzbestimmungen zu überprüfen: Diese Beschlüsse werden regelmäßig überprüft und können ausgesetzt werden.
Die Prüfung: Was jede Partei fordern oder akzeptieren kann
Artikel 28 Absatz 3 Buchstabe h DSGVO räumt dem Verantwortlichen das Recht ein, seinen Auftragsverarbeiter zu prüfen. Dieses Recht ermöglicht es dem Verantwortlichen, die Einhaltung der vertraglichen Verpflichtungen zu überprüfen. Es kann vom Verantwortlichen selbst oder von einem von ihm beauftragten Prüfer ausgeübt werden. Der Auftragsverarbeiter ist zur uneingeschränkten Mitwirkung verpflichtet. Die Verweigerung der Mitwirkung stellt einen direkten Verstoß gegen seine aufsichtsrechtlichen und vertraglichen Pflichten dar.
In der Praxis kann ein Vor-Ort-Audit kostspielig, aufwändig und schwierig zu organisieren sein, insbesondere bei Geschäftsbeziehungen zwischen kleineren Organisationen. Der Vertrag kann die praktischen Modalitäten des Audits festlegen: angemessene Vorankündigung (außer in Notfällen), einen vordefinierten Umfang, eine für den Auditor geltende Vertraulichkeitsvereinbarung sowie die Häufigkeit und die Bedingungen für die Kostenverteilung. Diese Regelungen sind zulässig, solange sie das Recht auf ein Audit nicht beeinträchtigen. Eine Klausel, die ein Audit jedoch von der vorherigen Zustimmung des Subunternehmers abhängig macht oder dessen Umfang unangemessen einschränkt, dürfte als Verstoß gegen Artikel 28 angesehen werden.
Eine von den Aufsichtsbehörden anerkannte Alternative ist die Verwendung von Prüfberichten oder Zertifizierungen unabhängiger Dritter. Der Auftragsverarbeiter kann diese Dokumente anstelle einer Vor-Ort-Prüfung anbieten. Diese Lösung ist für Verarbeitungen mit mittlerem Risiko angemessen. Bei Verarbeitungen mit hohem Risiko, insbesondere bei Gesundheitsdaten, sensiblen Finanzdaten oder Daten von Minderjährigen, ist der Verantwortliche berechtigt, eine umfassendere Überprüfung, einschließlich einer Vor-Ort-Prüfung oder technischer Tests, zu verlangen. Die CNIL (französische Datenschutzbehörde) hat wiederholt betont, dass das Vorliegen eines Vertrags gemäß Artikel 28 nicht ausreicht: Der Verantwortliche muss nachweisen, dass er tatsächlich überprüft hat, ob sein Auftragsverarbeiter die vereinbarten Schutzmaßnahmen umsetzt.
Schadensersatzhaftung nach Artikel 82: Wer zahlt und wer erhält den Schaden zurück?
Artikel 82 der DSGVO schafft den Rahmen für die Geltendmachung von Schadensersatzansprüchen aufgrund nicht gesetzeskonformer Datenverarbeitung. Jede Person, der durch einen Verstoß gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, hat das Recht, vom Verantwortlichen oder Auftragsverarbeiter Schadensersatz zu verlangen. Dieses Recht auf direkte Klage gegen den Auftragsverarbeiter ist eine wesentliche Neuerung der DSGVO im Vergleich zum bisherigen Recht.
Absatz 2 des Artikels 82 regelt die Haftungsverteilung zwischen den Parteien. Der Verantwortliche haftet vollumfänglich, wenn er an der nicht gesetzeskonformen Verarbeitung beteiligt war. Der Auftragsverarbeiter haftet nur, wenn er seinen spezifischen Pflichten als Auftragsverarbeiter, insbesondere den in den Artikeln 28 und 32 festgelegten, nicht nachgekommen ist oder wenn er außerhalb oder entgegen den rechtmäßigen Anweisungen des Verantwortlichen gehandelt hat. Eine Haftungsbefreiung ist für beide Parteien möglich, wenn sie nachweisen, dass das schadensverursachende Ereignis ihnen in keiner Weise zuzurechnen ist (gemäß Absatz 3 desselben Artikels).
Sind mehrere Parteien an demselben Prozess beteiligt und für einen Schaden verantwortlich, sieht Artikel 82 Absatz 4 eine gesamtschuldnerische Haftung vor: Jede Partei kann für den vollen Schadensbetrag haftbar gemacht werden, wodurch dem Geschädigten eine wirksame Entschädigung gewährleistet wird. Die Partei, die den Geschädigten vollständig entschädigt hat, kann dann gemäß Absatz 5 desselben Artikels gegen die anderen Parteien im Verhältnis zu deren Schadensanteil Regressansprüche geltend machen.
Eine in einem Unterauftragsvertrag enthaltene Haftungsbeschränkungsklausel kann die internen Beziehungen zwischen den Parteien wirksam regeln und festlegen, wer letztlich die Kosten eines Vorfalls im Rahmen ihrer Vertragsbeziehung trägt. Diese Klausel kann jedoch weder gegenüber den betroffenen Personen geltend gemacht werden, die ihren Anspruch auf Entschädigung gemäß Artikel 82 geltend machen, noch gegenüber der CNIL (französische Datenschutzbehörde), wenn diese eine Verwaltungsstrafe verhängt. Die Verwaltungsstrafe wird von der Aufsichtsbehörde aufgrund der festgestellten Verstöße verhängt, ungeachtet etwaiger zwischen den Parteien getroffener Vereinbarungen. Ein Unterauftragnehmer, dessen Haftung vertraglich auf einen symbolischen Betrag beschränkt ist, kann ebenso leicht einer erheblichen Verwaltungsstrafe unterliegen, wenn ihm Verstöße nachgewiesen werden.
Verhandlungscheckliste: Was jede Partei fordern oder in die Vereinbarung aufnehmen sollte.
Die Aushandlung einer Datenverarbeitungsvereinbarung gemäß DSGVO birgt teilweise widerstreitende Interessen. Die folgende Tabelle fasst die wichtigsten Punkte zusammen, die von jeder Partei während der Verhandlung zu klären sind.
| Was der Datenverantwortliche verlangen muss | Was der Subunternehmer ablehnen oder regeln muss |
|---|---|
| Eine genaue Beschreibung des Umfangs der verarbeiteten Daten mit einer Liste der Kategorien | Ein undefinierter Umfang, der es unvorhergesehenen Verarbeitungspflichten aussetzen würde. |
| Das ausdrückliche Verbot, die Daten für Zwecke wiederzuverwenden, die speziell dem Unterauftragnehmer vorbehalten sind. | Ein vollständiges und unmissverständliches Verbot, das jede rechtmäßige Verarbeitung anonymisierter Daten verhindern würde. |
| Ein Verfahren zur Meldung von Verstößen mit einer klar definierten kurzen Frist | Eine unrealistische Benachrichtigungsfrist, die die für die Analyse des Vorfalls benötigte Zeit nicht berücksichtigt. |
| Die Liste der nachfolgenden Subunternehmer, die bei Vertragsunterzeichnung autorisiert wurden | Das absolute Verbot jeglicher nachfolgender Untervergabe, sofern diese mit dem normalen Geschäftsbetrieb unvereinbar ist. |
| Ein wirksames Recht auf Prüfung mit festgelegten praktischen Regelungen (Ankündigungsfrist, Umfang, Häufigkeit). | Das uneingeschränkte Recht, ohne vorherige Ankündigung Vor-Ort-Prüfungen durchzuführen, was den Geschäftsbetrieb stören kann. |
| Die Rückgabe oder zertifizierte Vernichtung aller Daten nach Vertragsende. | Eine Verpflichtung zur sofortigen Vernichtung ungeachtet der für den Unterauftragnehmer geltenden gesetzlichen Aufbewahrungsfristen. |
| Die Beschreibung der wirksamen Sicherheitsmaßnahmen ist im technischen Anhang zum Vertrag enthalten. | Eine Sicherheitszusage ohne konkreten Inhalt, die im Falle eines Vorfalls nicht durchsetzbar wäre. |
| Klare Kennzeichnung des Übertragungsmechanismus, wenn Daten außerhalb der Europäischen Union verarbeitet werden | Die Annahme eines nicht näher spezifizierten Datenspeicherorts ohne Zusage geltender Garantien |
| Eine Haftungsklausel, die festlegt, wer die Folgen der jeweiligen Vertragsverletzungen der Parteien trägt. | Eine so niedrige Haftungsobergrenze, dass sie die tatsächlichen Kosten eines bedeutenden Vorfalls nicht decken würde. |
| Das eigene Register des Unterauftragnehmers wird auf Anfrage für die betreffenden Verarbeitungstätigkeiten zur Verfügung gestellt. | Eine systematische Verpflichtung zur Kommunikation, einschließlich vertraulicher Informationen über andere Mandanten |
Häufige Fehler in Subunternehmerbeziehungen
Bei der Prüfung von Unterauftragsverhältnissen zwischen Unternehmen im Hinblick auf die DSGVO treten regelmäßig verschiedene Fehlerkategorien auf. Deren Identifizierung hilft, die häufigsten Risiken zu vermeiden.
Der erste Fehler ist die Unterzeichnung eines Unterauftragsvertrags, ohne ihn gelesen zu haben. Das Dokument wird vom Auftraggeber verschickt, als bloße Formalität betrachtet und ohne weitere Prüfung unterzeichnet. Ein Unterauftragsvertrag ist jedoch ein rechtsverbindliches Dokument, das konkrete Verpflichtungen auferlegt, die ohne eine geeignete interne Organisation mitunter schwer zu erfüllen sind. Unterschreiben ohne zu lesen bedeutet, sich zu etwas zu verpflichten, ohne die Konsequenzen zu kennen.
Der zweite Fehler besteht darin, Daten zur Verbesserung des eigenen Dienstes wiederzuverwenden. Ein Dienstleister, der Kundendaten nutzt, um Modelle zu trainieren, Branchenstatistiken zu erstellen oder eigene Datenbanken zu füllen, überschreitet seine Rolle als Datenverarbeiter. Er wird dadurch zum Datenverantwortlichen, ohne eine entsprechende Rechtsgrundlage zu haben und ohne die betroffenen Personen informiert zu haben. Das rechtliche Risiko ist unmittelbar.
Der dritte Fehler ist das Fehlen eines Registers gemäß Artikel 30 Absatz 2. Vielen Dienstleistern, selbst solchen mit Unterauftragsverträgen, ist nicht bewusst, dass sie ein eigenes Register führen müssen, in dem die im Auftrag jedes einzelnen Auftraggebers durchgeführten Verarbeitungstätigkeiten aufgeführt sind. Dieses Register ist eine eigenständige gesetzliche Pflicht, unabhängig davon, ob der Auftraggeber es verlangt oder nicht.
Der vierte Fehler besteht in der unterlassenen Meldung von Folgeunterauftragnehmern. Ein Dienstleister, der Dritte mit der Erfüllung seiner Aufgaben beauftragt, ohne seinen Auftraggeber zu informieren, verstößt gegen Artikel 28 Absatz 2. Dies kommt besonders häufig vor, wenn Dienstleistungen ohne vorherige Formalisierung ausgelagert werden.
Der fünfte Fehler ist das Fehlen eines Verfahrens zur Meldung von Datenschutzverletzungen. Beim Dienstanbieter ereignet sich ein Sicherheitsvorfall, doch es gibt kein Verfahren, um diesen zu identifizieren, zu klassifizieren und den Kunden zeitnah zu benachrichtigen. Der Datenverantwortliche erfährt erst nach Ablauf der Meldefrist an die CNIL (französische Datenschutzbehörde) über einen anderen Kanal von der Datenschutzverletzung. Dieses Versäumnis gefährdet den Datenverarbeiter unmittelbar.
Der sechste Fehler besteht darin, dass Daten nach Vertragsende nicht zurückgegeben oder gelöscht werden. Das Projekt endet, die Daten verbleiben in den Systemen des Dienstleisters, und niemand fordert ihre Rückgabe oder Löschung an. Diese Daten werden weiterhin ohne gültige vertragliche oder rechtliche Grundlage gespeichert.
Der siebte Fehler besteht darin, eine Klassifizierung aus Bequemlichkeit ohne Analyse zu akzeptieren. Ein Auftraggeber könnte seinem Dienstleister vorschlagen, eine Klassifizierung zu akzeptieren, die nicht den tatsächlichen Rollen entspricht, um die Vertragsverhandlungen zu vereinfachen. Ein Dienstleister könnte sich wiederum als „Subunternehmer“ einstufen lassen, obwohl er selbst über Zweck und Mittel entscheidet, oder umgekehrt die Einstufung als „gemeinsam Verantwortlicher“ akzeptieren, ohne die Konsequenzen zu bedenken. Diese bequeme Klassifizierung bietet im Falle einer Prüfung keinerlei Schutz: Die CNIL (französische Datenschutzbehörde) analysiert die tatsächlichen Rollen, nicht die vertraglichen Bezeichnungen.
Die Kenntnis des Datenspeicherorts ist Voraussetzung für jede Verpflichtung.
Ein Subunternehmer, der nicht genau weiß, welche Daten er im Auftrag welchen Kunden speichert, befindet sich in einer paradoxen Situation: Er unterliegt bestimmten Pflichten (Rückgabe von Daten, Löschung, Bearbeitung von Datenschutzrechten, Meldung von Datenschutzverletzungen), ohne die Mittel zu deren Erfüllung zu haben. Die Datenidentifizierung ist daher eine unerlässliche Voraussetzung für jede wirksame Einhaltung der Datenschutzbestimmungen.
Konkret bedeutet dies, für jeden Kunden folgende Fragen beantworten zu können: Welche personenbezogenen Daten dieses Kunden sind in meinen Systemen gespeichert? Wessen Daten sind es? Wo befinden sie sich? In welchem Format liegen sie vor? Wie kann ich sie abrufen, korrigieren oder löschen? Ein Dienstleister, der diese Fragen nicht beantworten kann, kann die Daten nach Vertragsende nicht zurückgeben, auf Anfragen zur Ausübung von Rechten nicht reagieren und einen Verstoß nicht korrekt melden. Diese operative Unfähigkeit stellt dann einen Verstoß gegen gesetzliche Bestimmungen dar.
Genau aus diesem Grund zentralisiert Djaboo für jeden Kunden die zugehörigen Daten: Kontakte, Angebote, Rechnungen und Ausgaben werden in einer einzigen Kundendatei zusammengefasst. Diese Struktur ermöglicht es jedem Benutzer, die Daten, die er für einen bestimmten Kunden speichert, sofort zu identifizieren. Dies ist die unerlässliche Voraussetzung für jeden Compliance-Prozess, unabhängig davon, ob Djaboo als Datenverarbeiter oder Datenverantwortlicher agiert.
Häufig gestellte Fragen
Kann ein Dienstleister die Unterzeichnung eines von seinem Auftraggeber vorgelegten Unterauftragsvertrags ablehnen?
Artikel 28 der DSGVO schreibt vor, dass die Beziehung zwischen einem Verantwortlichen und einem Auftragsverarbeiter durch einen schriftlichen Vertrag geregelt werden muss. Die Weigerung des Auftragsverarbeiters, ein solches Dokument zu unterzeichnen, entbindet diese Verpflichtung nicht; sie stellt einen Vertragsbruch beider Parteien dar. In der Praxis kann ein Dienstleister zwar über den Inhalt des Dokuments verhandeln, Änderungen vorschlagen oder Klarstellungen anfordern, er kann jedoch nicht gänzlich auf die Formalisierung der Vereinbarung verzichten, sobald er personenbezogene Daten im Auftrag seines Auftraggebers verarbeitet. Der Auftraggeber wiederum ist verpflichtet, die Formalisierung der Beziehung durch einen Vertrag sicherzustellen: Verweigert der Dienstleister jegliche Verhandlungen, muss der Auftraggeber einen Wechsel des Dienstleisters oder die Schaffung eines mit Artikel 28 vereinbaren Rechtsrahmens für die Beziehung in Erwägung ziehen.
Ist die vertragliche Qualifikation für die CNIL während einer Prüfung bindend?
Nein. Die CNIL (französische Datenschutzbehörde) ist nicht an die von den Vertragsparteien in ihren Verträgen gewählten Bezeichnungen gebunden. Sie analysiert die tatsächlichen Rollen anhand der Fakten: Wer entscheidet was, wer bestimmt die Zwecke und wer legt die wesentlichen Mittel der Verarbeitung fest? Ein Vertrag, der eine Partei als Auftragsverarbeiter ausweist, obwohl diese tatsächlich Zwecke und Mittel festlegt, kann umklassifiziert werden. Diese Umklassifizierung hat direkte Konsequenzen für Sanktionen, insbesondere wenn die als Verantwortlicher umklassifizierte Partei ihren entsprechenden Pflichten nicht nachkommt. Die CNIL hat wiederholt betont, dass die Klassifizierung primär auf Fakten beruht und die Gründlichkeit der anfänglichen Analyse ein Element der Rechenschaftspflicht gemäß DSGVO darstellt.
Worauf beziehen sich die „nicht essentiellen Ressourcen“, die ein Subunternehmer frei wählen kann?
Der Europäische Datenschutzausschuss unterscheidet zwischen wesentlichen Mitteln, die vom Verantwortlichen festgelegt werden müssen, und nicht wesentlichen Mitteln, die der Auftragsverarbeiter im Rahmen seiner Aufgaben frei wählen kann. Wesentliche Mittel umfassen die Kategorien der verarbeiteten Daten, die Kategorien der betroffenen Personen, die Speicherdauer und die Empfänger der Daten. Nicht wesentliche Mittel betreffen technische Umsetzungsentscheidungen: die interne Organisation von Teams, die zur Erfüllung vertraglicher Sicherheitsverpflichtungen ausgewählten Tools oder die zur Erbringung der Dienstleistung verwendeten technischen Methoden. Die freie Wahl der Mittel durch den Auftragsverarbeiter ändert nichts an seinem Status, sofern sie im Rahmen der Weisungen des Verantwortlichen hinsichtlich der Zwecke und wesentlichen Mittel erfolgt.
Kann ein Selbstständiger im Sinne der DSGVO als Subunternehmer gelten?
Ja. Die Einstufung als Auftragsverarbeiter hängt weder vom Rechtsstatus der beteiligten Person noch von deren Größe oder Steuerregelung ab. Ein Selbstständiger, der personenbezogene Daten im Auftrag eines Auftraggebers verarbeitet, ist ein Auftragsverarbeiter im Sinne von Art. 4 Abs. 8 DSGVO, sofern der Auftraggeber die Zwecke und Mittel der Verarbeitung festlegt. Es gelten dieselben Pflichten: eine Auftragsverarbeitungsvereinbarung gemäß Art. 28 DSGVO, ein spezielles Register gemäß Art. 30 Abs. 2 DSGVO, Sicherheitsmaßnahmen und die Meldung von Datenschutzverletzungen. Die Größe des Unternehmens befreit es nicht von den gesetzlichen Verpflichtungen, selbst wenn die praktische Umsetzung an die betrieblichen Gegebenheiten angepasst werden kann.
Was geschieht, wenn der Datenverantwortliche dem Datenverarbeiter rechtswidrige Anweisungen erteilt?
Artikel 28 Absatz 3 Buchstabe a DSGVO verpflichtet den Auftragsverarbeiter, den Verantwortlichen unverzüglich zu informieren, wenn er der Ansicht ist, dass eine Anweisung gegen die Verordnung oder anderes anwendbares Recht verstößt. Der Auftragsverarbeiter kann sich nicht hinter dem Vertragsverhältnis verstecken, um eine rechtswidrige Anweisung auszuführen. Führt er eine rechtswidrige Anweisung aus, ohne sie zu beanstanden, kann er haftbar gemacht werden. Die bloße Befolgung der Anweisungen des Verantwortlichen entbindet ihn nicht automatisch von der Haftung, wenn er wusste oder hätte wissen müssen, dass die Anweisung rechtswidrig war. Diese Meldepflicht ist ein direkter Bestandteil der Aufgaben des Auftragsverarbeiters und keine Option.
Ist der Unterauftragnehmer verpflichtet, gemäß Artikel 35 der DSGVO zu einer Folgenabschätzung beizutragen?
Die primäre Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA) liegt gemäß Artikel 35 DSGVO beim Verantwortlichen, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Artikel 28 DSGVO verpflichtet den Auftragsverarbeiter jedoch, den Verantwortlichen bei der Erfüllung dieser Pflicht zu unterstützen. In der Praxis muss der Auftragsverarbeiter dem Verantwortlichen die erforderlichen technischen Informationen bereitstellen: implementierte Sicherheitsmaßnahmen, Datenflüsse, bestehende Zugriffe und Risiken im Zusammenhang mit seiner technischen Umgebung. Der Auftragsverarbeiter führt die DSFA nicht im Auftrag des Verantwortlichen durch, leistet aber einen entscheidenden Beitrag, indem er Informationen bereitstellt, die der Verantwortliche nicht allein beschaffen kann.
Was muss das eigene Register des Unterauftragnehmers gemäß Artikel 30 Absatz 2 enthalten?
Anders als das Verzeichnis des Verantwortlichen, das alle seine eigenen Verarbeitungstätigkeiten auflistet, ist das Verzeichnis des Auftragsverarbeiters nach Auftraggeber (Verantwortlichem) organisiert. Es enthält für jeden Auftraggeber: Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten; die Kategorien der in seinem Auftrag durchgeführten Verarbeitungen; alle Datenübermittlungen in Drittländer mit den entsprechenden Schutzmaßnahmen; sowie eine allgemeine Beschreibung der implementierten technischen und organisatorischen Sicherheitsmaßnahmen. Dieses Verzeichnis muss der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden. Die Nichtführung dieses Verzeichnisses stellt eine eigenständige Verletzung dar, unabhängig von anderen Verpflichtungen.
Schützt eine vertragliche Haftungsbeschränkungsklausel den Subunternehmer vor einer Verwaltungsstrafe der CNIL?
Nein. Die Haftungsbeschränkung gilt nur zwischen den Vertragsparteien in ihrer privaten Beziehung. Sie kann festlegen, wer die Kosten eines Vorfalls in der internen Beziehung zwischen dem Verantwortlichen und seinem Auftragsverarbeiter trägt. Sie ist jedoch gegenüber der CNIL (französische Datenschutzbehörde) nicht durchsetzbar, da diese – unabhängig von den vertraglichen Vereinbarungen der Parteien – auf Grundlage der festgestellten Verstöße und der in der DSGVO festgelegten Kriterien administrative Sanktionen verhängt. Eine administrative Sanktion kann daher auch dann gegen den Auftragsverarbeiter verhängt werden, wenn der Vertrag seine Haftung auf einen geringen Betrag beschränkt hat. Die vertragliche Haftungsbeschränkung bietet auch keinen Schutz vor zivilrechtlichen Ansprüchen von Betroffenen gemäß Artikel 82 DSGVO.
Wie lässt sich feststellen, ob ein Dienstleister ein Unterauftragnehmer oder ein unabhängiger Datenverantwortlicher für seine eigene Dienstleistung ist?
Das maßgebliche Kriterium bleibt unverändert: Wer bestimmt die Zwecke und die notwendigen Mittel der Verarbeitung? Verarbeitet der Dienstleister die Daten ausschließlich zur Erfüllung des ihm vom Auftraggeber übertragenen Auftrags und gemäß dessen Weisungen, so ist er Auftragsverarbeiter. Nutzt er die Daten hingegen für eigene Zwecke, beispielsweise zur Verbesserung eigener Algorithmen, zur Erstellung von Analysen für den Weiterverkauf oder zum Aufbau eigener Datenbanken, so ist er für diese spezifischen Zwecke Verantwortlicher. Derselbe Dienstleister kann für den Teil seiner Tätigkeit, der im Auftrag des Auftraggebers erfolgt, Auftragsverarbeiter und für den Teil, den er aus eigener Initiative durchführt, Verantwortlicher sein. Die Einstufung erfolgt einzelfallbezogen und nicht pauschal.
Kann der Datenverantwortliche sanktioniert werden, wenn sein Unterauftragnehmer einen Verstoß begeht?
Ja. Der Verantwortliche ist verpflichtet, nur Auftragsverarbeiter einzusetzen, die ausreichende Garantien im Sinne von Artikel 28 Absatz 1 bieten, die Beziehung durch einen rechtskonformen Vertrag zu formalisieren und regelmäßig zu überprüfen, ob diese Verpflichtungen erfüllt werden. Verstößt ein Auftragsverarbeiter gegen die Datenschutzbestimmungen, kann die Aufsichtsbehörde prüfen, ob der Verantwortliche seinen Auswahl- und Überwachungspflichten ordnungsgemäß nachgekommen ist. Andernfalls kann der Verantwortliche – abhängig von den jeweiligen Umständen und Verstößen beider Parteien – neben dem Auftragsverarbeiter sanktioniert werden. Die CNIL (französische Datenschutzbehörde) hat erneut bekräftigt, dass die Verantwortung des Verantwortlichen gegenüber seinen Auftragsverarbeitern nicht mit Vertragsunterzeichnung endet: Sie erfordert während der gesamten Vertragslaufzeit eine dem Risiko der jeweiligen Verarbeitung angemessene, kontinuierliche Überwachung.
