Mit der Auftragsverarbeitung gehen diverse Verpflichtungen sowohl für den Auftragsverarbeiter als auch für die verantwortliche Stelle einher. Insbesondere muss eine kontinuierliche und datenschutzkonforme Dokumentation und Auftragskontrolle sichergestellt werden. Auftragsverarbeitung ist daher äußerst praxisrelevant! MORGENSTERN hilft dabei.
Bei der Auftragsverarbeitung lässt ein Unternehmen als Auftraggeber personenbezogene Daten von einem externen Dienstleister als Auftragnehmer verarbeiten. Dabei bleibt der Auftraggeber Hauptverantwortlicher für den Datenschutz und muss gewährleisten, dass die Daten ordnungsgemäß verarbeitet werden. Deshalb muss der Verantwortliche vor Auftragsvergabe mit dem Auftragsverarbeiter einen Vertrag gemäß Art. 28 DS-GVO über die weisungsgebundene Tätigkeit schließen. Unter anderem muss der Vertrag vorsehen, dass der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen für ausreichende und angemessene Datensicherheit in Bezug auf die Datenverarbeitung ergreift.
Ein Auftragsverarbeiter ist eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen schwerpunktmäßig verarbeitet. Die Beauftragung von (externen) Dienstleistungen, bei denen die Datenverarbeitung nicht zumindest einen wichtigen (Kern-)Bestandteil ausmacht, stellt keine Auftragsverarbeitung im datenschutzrechtlichen Sinne dar. Bei einer Auftragsverarbeitung entscheidet der Verantwortliche über Zwecke und Mittel der Verarbeitung, während der Auftragsverarbeiter weisungsgebunden als „verlängerter Arm“ des Verantwortlichen handelt.
Typische Situationen einer Auftragsverarbeitung stellen in der Regel beispielsweise das Hosting von Webseiten, Call-Center-Dienstleistungen, Datenträgerentsorgungen oder das IT-Outsourcing dar. Auch die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen kann eine Form der Auftragsverarbeitung darstellen, wenn bei diesen Tätigkeiten ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann. Keine Auftragsverarbeitung hingegen sind regelmäßig die Tätigkeiten von Berufsgeheimnisträgern (z.B. Steuerberater, Rechtsanwälte), Inkassobüros, Bankinstituten oder Postdiensten für den Brief- und Pakettransport.
Ja. Für die Auftragsverarbeitung ist ein konkreter Rahmen festzulegen. Dafür sollten der Verantwortliche und der Auftragsverarbeiter einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO abschließen. Diesbezüglich enthält Art. 28 DS-GVO für die Ausgestaltung des Verhältnisses zwischen Verantwortlichem und Auftragsverarbeiter einzelne Vorgaben. Der Verantwortliche muss insbesondere einen Auftragsverarbeiter auswählen, der hinreichend Garantien dafür bietet, dass geeignete technische und organisatorische Maßnahmen getroffen wurden, sodass die Verarbeitung im Einklang mit den Anforderungen der DS-GVO erfolgt und den Schutz der Rechte der betroffenen Personen gewährleistet.
Bei Verstößen oder Nichtbeachtung der Vorgaben aus der Auftragsverarbeitung können Geldbußen von bis zu 10.000.000 € oder bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden. Diese Sanktionen können bei Verstößen nicht nur den Verantwortlichen selbst, sondern auch den Auftragsverarbeiter treffen.
Wende dich an uns! Wir schauen uns deine eingesetzten Dienstleister an und beurteilen, ob es sich dabei um eine Form der Auftragsverarbeitung handelt. Wir prüfen außerdem die vorhandenen Auftragsverarbeitungsverträge unter Berücksichtigung der datenschutzrechtlichen Vorgaben und dokumentieren alle Auftragsverarbeitungsverhältnisse für dich.