DSGVO – Verarbeitung

Die Datenschutz-Grundverordnung (DSGVO) bietet eine einheitliche, europaweite Möglichkeit für die sogenannte „Auftragsdatenverarbeitung“, bei der die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten durch einen Auftragsverarbeiter gemäß den Anweisungen des Verantwortlichen auf Grundlage eines Vertrags erfolgt.

Die relevanten Vorschriften für die Auftragsdatenverarbeitung gelten bereits, wenn die Verarbeitung mit Tätigkeiten einer Niederlassung innerhalb der EU verbunden ist. Das bedeutet, dass es ausreicht, wenn entweder der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung in der EU betreibt und die Verarbeitung im Rahmen seiner Tätigkeiten erfolgt. Man muss zwischen der Verarbeitung und der gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) unterscheiden, bei der beide Parteien gemeinsam die Zwecke und Mittel für die Datenverarbeitung festlegen und somit auch gemeinsam dafür verantwortlich sind.

In einer Verantwortlicher-Auftragsverarbeiter-Beziehung darf letzterer personenbezogene Daten nur basierend auf den dokumentierten Anweisungen des Verantwortlichen verarbeiten. Der Auftragsverarbeiter darf keinen weiteren Auftragsverarbeiter zur Erfüllung eines bestimmten Vertrags hinzuziehen, ohne die vorherige spezifische oder allgemeine schriftliche Genehmigung des jeweiligen Verantwortlichen. Im Falle einer allgemeinen Genehmigung muss der Auftragsverarbeiter ihn über alle relevanten Änderungen in Bezug auf die Verarbeitung informieren.

In den meisten Fällen erfolgt die Auftragsdatenverarbeitung auf der Grundlage eines Vertrags. Art. 28(3) DSGVO legt dessen Mindestanforderungen fest. Der Vertrag muss unter anderem enthalten, welche Art von personenbezogenen Daten verarbeitet wird, sowie den Gegenstand und Zweck der Verarbeitung. Darüber hinaus gibt es weitere Verpflichtungen für den Auftragsverarbeiter. Zum Beispiel muss er ebenfalls ein Verzeichnis der Verarbeitungstätigkeiten führen, das die Namen und Kontaktdaten jedes Verantwortlichen enthält, für den er tätig ist, sowie die Verarbeitungskategorien, die für sie durchgeführt werden. Ferner muss das Verzeichnis, wenn zutreffend, die Übermittlung personenbezogener Daten in Drittländer und, soweit möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen enthalten. Der Verantwortliche muss bei der Auswahl des Auftragsverarbeiters sicherstellen, dass dieser ausreichende technische und organisatorische Maßnahmen umgesetzt hat, um sicherzustellen, dass die Verarbeitung die Anforderungen der Verordnung erfüllt.

Grundsätzlich ist der Verantwortliche der erste Ansprechpartner für die betroffene Person und dafür verantwortlich, dass die Datenverarbeitung den gesetzlichen Anforderungen entspricht. Dies bedeutet jedoch nicht, dass der Auftragsverarbeiter frei von Haftung ist. Gemäß Art. 82 DSGVO haftet er zusammen mit dem Verantwortlichen. Die Haftung des Auftragsverarbeiters ist jedoch gemäß Absatz 2 auf Verstöße gegen Pflichten beschränkt, die spezifisch für ihn sind. Beide Parteien haben die Möglichkeit, sich zu entlasten. Dazu müssen sie nachweisen, dass sie in keiner Weise für das Ereignis verantwortlich waren, das zu den Schäden führte.