Deine Kundendaten liegen in einer Cloud. Die Lohnabrechnung macht ein Rechenzentrum. Dein IT-Dienstleister schaltet sich per Fernwartung auf den Server, wenn etwas klemmt. Und die alten Personalakten holt zweimal im Jahr eine Firma mit einem verschlossenen Behälter ab.
Für jeden dieser vier Fälle verlangt die Datenschutz-Grundverordnung einen eigenen Vertrag. Nicht den Dienstleistungsvertrag, den du ohnehin hast — einen zusätzlichen, den Auftragsverarbeitungsvertrag, meist AVV abgekürzt.
Der häufigste Fall in kleinen Betrieben ist nicht der fehlende Vertrag, sondern der unbekannte: Er existiert, liegt im Kundenkonto des Anbieters und wurde beim Anlegen des Zugangs mit angehakt. Niemand hat ihn seitdem gesehen. Der zweithäufigste Fall ist ein AVV für einen Dienstleister, der gar keiner ist — beim Steuerberater etwa geht er nach Auffassung der Aufsichtsbehörden ins Leere.
Es entscheidet, wer entscheidet
Die DSGVO kennt zwei Rollen. Verantwortlicher ist nach Artikel 4 Nummer 7 die Stelle, die „allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet". Auftragsverarbeiter ist nach Nummer 8, wer „personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet".
Das Trennende ist die Entscheidung, nicht der Zugriff. Der Landesbeauftragte für den Datenschutz in Baden-Württemberg zieht die Linie zwischen wesentlichen und nicht wesentlichen Mitteln: Über nicht wesentliche Mittel darf der Auftragsverarbeiter selbst befinden — welche Hardware, welche Software, welche konkreten Sicherheitsmaßnahmen. Die wesentlichen bleiben beim Verantwortlichen: die Art der Daten, die Dauer der Verarbeitung, die Kategorien der Empfänger und der betroffenen Personen.
Dieselbe Behörde nennt ein Beispiel, das die Sache klarmacht: Ein Hosting-Anbieter, der nur verschlüsselte Daten speichert und selbst nichts davon lesen kann, ist trotzdem Auftragsverarbeiter. Und umgekehrt bleibt ein Unternehmen, das einen Dienstleister mit einer Befragung beauftragt und später nur die fertige Statistik bekommt, Verantwortlicher — weil es Zweck und Fragestellung bestimmt hat.
Diese Dienstleister brauchen einen
Die Aufsichtsbehörden nennen in ihren FAQ eine Reihe von Fällen, die regelmäßig Auftragsverarbeitung sind. Der Landesbeauftragte in Niedersachsen führt unter anderem auf:
- Speicherung personenbezogener Daten in der Cloud;
- DV-technische Arbeiten für die Lohn- und Gehaltsabrechnung durch Rechenzentren;
- Entsorgung, Vernichtung und Löschung von Datenträgern mit personenbezogenen Daten;
- Datenerfassung, Datenkonvertierung und Einscannen von Dokumenten;
- elektronische Rechnungserstellung;
- Werbeadressenverarbeitung in einem Letter-Shop;
- Verarbeitung von Kundendaten durch ein Call-Center ohne wesentliche eigene Entscheidungsspielräume.
Die Landesbeauftragte in Nordrhein-Westfalen nennt dieselben Muster: ausgelagerte Lohnbuchhaltung, Versand von Postwerbung durch ein externes Unternehmen, Aktenvernichtung und Datenträgerentsorgung.
Und diese brauchen keinen
Hier wird häufiger zu viel als zu wenig unterschrieben.
Der Steuerberater. Der Landesbeauftragte in Niedersachsen ist deutlich: „Steuerberater sind keine Auftragsverarbeiter im Sinne von Artikel 4 Nummer 8 DSGVO." Begründung ist das Steuerberatungsgesetz — die Tätigkeit ist weisungsfrei, eigenverantwortlich und unabhängig auszuüben, und damit fehlt genau die Weisungsgebundenheit, die eine Auftragsverarbeitung ausmacht. Das Bayerische Landesamt für Datenschutzaufsicht hält dazu eine eigene Auslegungshilfe bereit und kommt zum selben Ergebnis. Der Steuerberater ist eigener Verantwortlicher.
Dienstleistungen, bei denen die Datenverarbeitung nicht im Vordergrund steht. Eine Reinigungsfirma verarbeitet keine Daten, sie reinigt Räume. Eine Druckerei, die fertige PDF-Einladungen samt bereits enthaltener Adressen ausdruckt, erbringt eine Druckleistung; die Daten sind unvermeidliches Beiwerk. Ein Copyshop, der Namen auf T-Shirts druckt, ebenso. Der Weinhändler, der eine Kiste an eine genannte Adresse liefert, auch.
Aber: Der Unterschied liegt oft in einem Detail. Überlässt du derselben Druckerei eine separate Adressdatei, die sie erst mit dem Anschreiben zusammenführen soll, ist es sehr wohl eine Auftragsverarbeitung. Die Adressdatei ist dann nicht mehr Beiwerk, sondern Gegenstand des Auftrags.
Kein AVV heißt übrigens nicht, dass der Datenschutz keine Rolle spielt. Er heißt nur, dass die Weitergabe eine eigene Rechtsgrundlage nach Artikel 6 braucht. Fehlt beides — keine Auftragsverarbeitung und keine Rechtsgrundlage —, ist die Verarbeitung nach Auffassung der Behörde in der Regel unzulässig, und Verstöße gegen den Grundsatz der Rechtmäßigkeit sind nach Artikel 83 Absatz 5 DSGVO bußgeldbewehrt.
Was in dem Vertrag stehen muss
Artikel 28 Absatz 3 gibt den Inhalt vor. Der Vertrag legt fest: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen.
Dazu kommen acht Punkte, die der Vertrag regeln muss:
- Verarbeitung nur auf dokumentierte Weisung;
- Vertraulichkeitsverpflichtung der eingesetzten Personen;
- die Sicherheitsmaßnahmen nach Artikel 32;
- die Bedingungen für den Einsatz weiterer Auftragsverarbeiter;
- Unterstützung bei den Rechten betroffener Personen;
- Unterstützung bei den Pflichten aus den Artikeln 32 bis 36 — dazu gehört die Meldung von Datenpannen;
- Löschung oder Rückgabe der Daten nach Ende der Leistung;
- Bereitstellung aller Nachweise und Ermöglichung von Überprüfungen.
Am Ende desselben Absatzes steht eine Pflicht, die in der Praxis oft untergeht: Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren, falls er der Auffassung ist, dass eine Weisung gegen die Verordnung verstößt.
Die Form regelt Absatz 9. Der Vertrag ist „schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann". Ein PDF im Kundenkonto genügt also. Ein Telefonat nicht.
Punkt 6 ist der, an dem du im Ernstfall hängst: Wenn beim Dienstleister etwas passiert, läuft deine Frist. Wie eng die ist, steht unter Datenschutzvorfall: die 72 Stunden.
Unterauftragnehmer sind die eigentliche Baustelle
Kaum ein Anbieter arbeitet allein. Der Cloud-Dienst nutzt ein Rechenzentrum, das Rechenzentrum einen Wartungsdienstleister.
Artikel 28 Absatz 2 verlangt dafür eine „vorherige gesonderte oder allgemeine schriftliche Genehmigung" des Verantwortlichen. In der Praxis ist es fast immer die allgemeine: Der Anbieter führt eine Liste seiner Unterauftragnehmer und meldet Änderungen. Dann aber gilt auch der Rest der Vorschrift — er muss dich über beabsichtigte Änderungen informieren, und du kannst dagegen Einspruch erheben. Nach Absatz 4 unterliegt jeder Unterauftragnehmer denselben Datenschutzpflichten, und der erste Auftragsverarbeiter haftet, wenn der weitere seine Pflichten nicht erfüllt.
Du musst den Vertrag nicht selbst schreiben
Die Europäische Kommission hat am 4. Juni 2021 mit dem Durchführungsbeschluss (EU) 2021/915 Standardvertragsklauseln für das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern erlassen, gestützt auf Artikel 28 Absatz 7 DSGVO. Sie dürfen in einen umfangreicheren Vertrag aufgenommen und um weitere Klauseln ergänzt werden, solange diese den Standardklauseln weder unmittelbar noch mittelbar widersprechen.
Daneben stellen Aufsichtsbehörden fertige Muster bereit — das Bayerische Landesamt für Datenschutzaufsicht etwa eine Formulierungshilfe für einen Vertrag zur Auftragsverarbeitung und eine Abgrenzungshilfe dazu, ob überhaupt eine vorliegt.
Was jetzt zu tun ist
Vier Schritte, und der erste ist der mühsamste:
- Alle Dienste auflisten, die Kunden- oder Mitarbeiterdaten berühren. Cloud-Speicher, Buchhaltung, Newsletter-Werkzeug, Terminbuchung, Warenwirtschaft, Fernwartung, Aktenvernichtung. Die Dienste, an die niemand denkt, sind meist die von einzelnen Mitarbeitern eingeführten — dazu steht mehr unter Schatten-IT im Betrieb.
- Je Dienst die Rolle klären. Entscheidet der Anbieter über Zweck und wesentliche Mittel mit, ist er kein Auftragsverarbeiter, und ein AVV wäre der falsche Vertrag.
- Den vorhandenen AVV heraussuchen. Bei den großen Anbietern liegt er im Kundenkonto oder in den Vertragsunterlagen. Fehlt er, ist er anzufordern.
- Ablegen, wo du ihn wiederfindest — zusammen mit der Liste der Unterauftragnehmer und dem Datum, an dem du zuletzt hineingesehen hast.
Bei der technischen Seite — welche Dienste ihr überhaupt einsetzt, wo die Daten liegen, welche Zugänge Dritte haben — hilft die laufende IT-Betreuung.
Die verbindliche Einordnung gehört nicht hierher: Ob ein bestimmter Dienstleister in deinem konkreten Fall Auftragsverarbeiter ist, ob ein vorgelegter Vertrag ausreicht und was bei einer Drittlandsübermittlung nötig ist, beantwortet eine Anwältin oder ein Anwalt für IT- und Datenschutzrecht.