encargado del tratamiento de datos personales rgpd

Ein Auftragsverarbeiter ist eine natürliche oder juristische Person, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO).

Die Datenschutz-Grundverordnung (DSGVO) regelt umfassend die Verarbeitung personenbezogener Daten. Ein zentrales Element dabei ist die Unterscheidung zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Der Auftragsverarbeiter ist gemäß Art. 4 Nr. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Im Gegensatz zum Verantwortlichen (Art. 4 Nr. 7 DSGVO), der die Zwecke und Mittel der Verarbeitung festlegt, handelt der Auftragsverarbeiter weisungsgebunden.

Artikel 28 DSGVO widmet sich speziell dem Auftragsverarbeiter. Dieser Artikel regelt die Anforderungen an den Auftragsverarbeitungsvertrag, der schriftlich (auch elektronisch) abgeschlossen werden muss. Der Vertrag muss insbesondere den Gegenstand und die Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen und des Auftragsverarbeiters festlegen. Die Auswahl eines geeigneten Auftragsverarbeiters, der hinreichende Garantien für die Einhaltung der DSGVO bietet (Art. 28 Abs. 1 DSGVO), ist für den Verantwortlichen von entscheidender Bedeutung.

Eine klare Abgrenzung ist wichtig: Während die Auftragsverarbeitung eine weisungsgebundene Tätigkeit darstellt, liegt eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung festlegen. Die korrekte Einordnung ist essenziell für die Zuweisung der datenschutzrechtlichen Pflichten.

Einführung in den Auftragsverarbeiter gemäß DSGVO (Art. 28)

Einführung in den Auftragsverarbeiter gemäß DSGVO (Art. 28)

Die Datenschutz-Grundverordnung (DSGVO) regelt umfassend die Verarbeitung personenbezogener Daten. Ein zentrales Element dabei ist die Unterscheidung zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Der Auftragsverarbeiter ist gemäß Art. 4 Nr. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Im Gegensatz zum Verantwortlichen (Art. 4 Nr. 7 DSGVO), der die Zwecke und Mittel der Verarbeitung festlegt, handelt der Auftragsverarbeiter weisungsgebunden.

Artikel 28 DSGVO widmet sich speziell dem Auftragsverarbeiter. Dieser Artikel regelt die Anforderungen an den Auftragsverarbeitungsvertrag, der schriftlich (auch elektronisch) abgeschlossen werden muss. Der Vertrag muss insbesondere den Gegenstand und die Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen und des Auftragsverarbeiters festlegen. Die Auswahl eines geeigneten Auftragsverarbeiters, der hinreichende Garantien für die Einhaltung der DSGVO bietet (Art. 28 Abs. 1 DSGVO), ist für den Verantwortlichen von entscheidender Bedeutung.

Eine klare Abgrenzung ist wichtig: Während die Auftragsverarbeitung eine weisungsgebundene Tätigkeit darstellt, liegt eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung festlegen. Die korrekte Einordnung ist essenziell für die Zuweisung der datenschutzrechtlichen Pflichten.

Abgrenzung: Verantwortlicher vs. Auftragsverarbeiter – Wer trägt welche Verantwortung?

Abgrenzung: Verantwortlicher vs. Auftragsverarbeiter – Wer trägt welche Verantwortung?

Die klare Unterscheidung zwischen Verantwortlichem und Auftragsverarbeiter ist von zentraler Bedeutung für die Einhaltung der Datenschutz-Grundverordnung (DSGVO). Der Verantwortliche (Art. 4 Nr. 7 DSGVO) bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten. Er entscheidet also was mit den Daten geschieht und wie es geschieht. Der Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) hingegen verarbeitet die Daten lediglich im Auftrag und nach Weisung des Verantwortlichen. Er ist somit weisungsgebunden und handelt nicht eigenständig.

Betrachten wir folgendes Beispiel: Ein Unternehmen (Verantwortlicher) beauftragt einen Cloud-Dienstleister (Auftragsverarbeiter) mit der Speicherung von Kundendaten. Das Unternehmen entscheidet, welche Daten gespeichert werden und wie diese genutzt werden dürfen. Der Cloud-Dienstleister stellt lediglich die Infrastruktur bereit und speichert die Daten gemäß den Anweisungen des Unternehmens.

Die Verantwortlichkeiten sind klar verteilt: Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung (Art. 6 DSGVO), die Erfüllung der Betroffenenrechte (Art. 12 ff. DSGVO) und die datenschutzkonforme Gestaltung der Verarbeitungsprozesse verantwortlich. Der Auftragsverarbeiter muss die Daten gemäß den Weisungen des Verantwortlichen verarbeiten und geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO) treffen, um die Sicherheit der Daten zu gewährleisten. Eine detaillierte Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO) ist hierbei unerlässlich, um die Pflichten und Verantwortlichkeiten beider Parteien klar zu regeln und Haftungsrisiken zu minimieren.

Der Auftragsverarbeitungsvertrag: Inhalt und notwendige Klauseln gemäß Art. 28 DSGVO

Der Auftragsverarbeitungsvertrag: Inhalt und notwendige Klauseln gemäß Art. 28 DSGVO

Der Auftragsverarbeitungsvertrag (AVV) ist ein Eckpfeiler der datenschutzkonformen Verarbeitung personenbezogener Daten, wenn ein Verantwortlicher einen Auftragsverarbeiter einsetzt. Art. 28 DSGVO schreibt zwingend vor, dass die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines Vertrags erfolgt, der die Rechte und Pflichten beider Parteien klar definiert. Dieser Vertrag muss schriftlich oder in elektronischer Form geschlossen werden.

Der AVV muss mindestens folgende Punkte regeln:

• Gegenstand und Dauer der Verarbeitung: Präzise Beschreibung des Umfangs und der zeitlichen Gültigkeit des Vertrags.
• Art und Zweck der Verarbeitung: Detaillierte Angaben darüber, welche Verarbeitungstätigkeiten (z.B. Speicherung, Analyse) zu welchem Zweck durchgeführt werden.
• Art der personenbezogenen Daten: Auflistung der Kategorien personenbezogener Daten, die verarbeitet werden (z.B. Name, Adresse, E-Mail).
• Kategorien betroffener Personen: Identifizierung der Personengruppen, deren Daten betroffen sind (z.B. Kunden, Mitarbeiter).
• Rechte und Pflichten des Auftragsverarbeiters: Festlegung der konkreten Verpflichtungen, wie z.B. die Einhaltung der Weisungen des Verantwortlichen, die Gewährleistung der Datensicherheit (Art. 32 DSGVO) und die Unterstützung des Verantwortlichen bei der Erfüllung seiner datenschutzrechtlichen Pflichten (z.B. Art. 33, 34 DSGVO).
• Rechte und Pflichten des Verantwortlichen: Festlegung der Kontrollrechte und Weisungsbefugnisse.

Beispielhafte Klauseln können auch Regelungen zur Löschung oder Rückgabe der Daten nach Beendigung der Auftragsverarbeitung sowie zur Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) beinhalten. Eine sorgfältige Ausgestaltung des AVV minimiert Haftungsrisiken und schafft Rechtssicherheit für beide Vertragsparteien.

Lokale regulatorische Rahmenbedingungen: Deutschland (BDSG)

Lokale regulatorische Rahmenbedingungen: Deutschland (BDSG)

Dieser Abschnitt behandelt die spezifischen nationalen Regelungen in Deutschland im Zusammenhang mit Auftragsverarbeitung, insbesondere im Rahmen des Bundesdatenschutzgesetzes (BDSG). Das BDSG ergänzt und modifiziert die Datenschutz-Grundverordnung (DSGVO) und ist für Auftragsverarbeiter in Deutschland relevant.

Während die DSGVO den Rahmen für die Auftragsverarbeitung setzt, präzisiert das BDSG einige Aspekte. So können beispielsweise spezielle Regelungen für die Benennung eines Datenschutzbeauftragten gemäß § 38 BDSG gelten, auch wenn die Voraussetzungen der DSGVO dies nicht zwingend erfordern. Ebenso sind die Bestimmungen zur Verarbeitung besonderer Kategorien personenbezogener Daten gemäß § 22 BDSG zu beachten.

Besondere Aufmerksamkeit gilt der Auftragsverarbeitung im öffentlichen Sektor. Hier sind zusätzliche landesspezifische Regelungen und Verwaltungsvorschriften zu beachten, die über die Vorgaben des BDSG hinausgehen können. Häufig bestehen strengere Anforderungen an die Datensicherheit und die Kontrollrechte der öffentlichen Stellen.

Die Rechtsprechung deutscher Gerichte und die Entscheidungen der Aufsichtsbehörden zum Thema Auftragsverarbeitung entwickeln sich stetig weiter. Unternehmen sollten sich daher fortlaufend über aktuelle Entwicklungen informieren, um die datenschutzrechtliche Konformität ihrer Prozesse sicherzustellen. Dies beinhaltet beispielsweise Urteile zur Haftung von Auftragsverarbeitern und Entscheidungen zu Bußgeldern bei Verstößen gegen die DSGVO und das BDSG im Rahmen der Auftragsverarbeitung.

Sorgfaltspflichten des Verantwortlichen bei der Auswahl des Auftragsverarbeiters

Sorgfaltspflichten des Verantwortlichen bei der Auswahl des Auftragsverarbeiters

Die Auswahl eines geeigneten Auftragsverarbeiters ist eine zentrale Pflicht des Verantwortlichen gemäß Art. 28 DSGVO. Der Verantwortliche muss sicherstellen, dass der Auftragsverarbeiter hinreichende Garantien dafür bietet, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und die Rechte der betroffenen Personen geschützt werden. Diese Sorgfaltspflicht erstreckt sich nicht nur auf die vertragliche Ausgestaltung, sondern insbesondere auf die tatsächliche Eignung des Verarbeiters.

Der Verantwortliche sollte im Rahmen einer Due-Diligence-Prüfung die technischen und organisatorischen Maßnahmen (TOM) des potenziellen Auftragsverarbeiters detailliert überprüfen. Dies kann beispielsweise durch folgende Maßnahmen geschehen:

• Einsicht in die Dokumentation der TOM des Auftragsverarbeiters (z.B. Sicherheitskonzept, Datenschutzerklärung).
• Durchführung von Audits oder Begehungen der Räumlichkeiten des Auftragsverarbeiters.
• Einholung von Referenzen von anderen Auftraggebern.
• Anforderung von Nachweisen über die Einhaltung relevanter Sicherheitsstandards (z.B. ISO 27001).

Die Bedeutung von Zertifizierungen und Gütesiegeln, wie beispielsweise das EuroPriSe-Siegel, sollte bei der Auswahlentscheidung berücksichtigt werden. Allerdings entbinden diese den Verantwortlichen nicht von seiner eigenen Sorgfaltspflicht. Die Haftung des Verantwortlichen für Schäden, die durch die fehlerhafte Auswahl eines ungeeigneten Auftragsverarbeiters entstehen, ist im Art. 82 DSGVO geregelt. Daher ist eine gewissenhafte Prüfung unerlässlich.

Technische und organisatorische Maßnahmen (TOMs) des Auftragsverarbeiters

Technische und organisatorische Maßnahmen (TOMs) des Auftragsverarbeiters

Die Gewährleistung der Sicherheit der Verarbeitung durch den Auftragsverarbeiter ist ein zentrales Element des Art. 28 DSGVO. Der Verantwortliche muss sicherstellen, dass der Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen (TOMs) implementiert hat, um ein dem Risiko angemessenes Schutzniveau für die verarbeiteten personenbezogenen Daten zu gewährleisten. Diese TOMs müssen in der Auftragsverarbeitungsvereinbarung detailliert beschrieben werden.

Geeignete TOMs umfassen beispielsweise:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten (Art. 32 DSGVO).
• Maßnahmen zur Zugangskontrolle (Wer darf physisch und logisch auf die Daten zugreifen?).
• Maßnahmen zur Zugriffskontrolle (Welche Rechte haben die zugriffsberechtigten Personen?).
• Maßnahmen zur Verfügbarkeitskontrolle (Schutz vor unbeabsichtigter Zerstörung oder Verlust der Daten, z.B. durch Backup-Strategien).
• Trennung von Daten (Mandantenfähigkeit).

Es ist unerlässlich, dass die TOMs regelmäßig überprüft und an den Stand der Technik angepasst werden. Der Verantwortliche sollte diesbezüglich Nachweise vom Auftragsverarbeiter verlangen. Relevante Normen und Standards, wie beispielsweise ISO 27001, können als Orientierungshilfe dienen, um ein angemessenes Sicherheitsniveau zu erreichen. Die Einhaltung solcher Standards kann durch Zertifizierungen nachgewiesen werden, stellt aber keine automatische Garantie für die datenschutzkonforme Verarbeitung dar.

Pflichten des Auftragsverarbeiters bei Datenschutzverletzungen

Pflichten des Auftragsverarbeiters bei Datenschutzverletzungen

Im Falle einer Datenschutzverletzung treffen den Auftragsverarbeiter gemäß Artikel 33 Absatz 2 DSGVO weitreichende Pflichten. Die wichtigste Pflicht ist die unverzügliche Benachrichtigung des Verantwortlichen. Diese Benachrichtigung muss ohne schuldhaftes Zögern erfolgen, nachdem der Auftragsverarbeiter Kenntnis von der Verletzung erlangt hat. Die Einhaltung dieser Frist ist essentiell, da der Verantwortliche seinerseits verpflichtet ist, die Aufsichtsbehörde innerhalb von 72 Stunden zu informieren (Artikel 33 Absatz 1 DSGVO).

Die Meldung an den Verantwortlichen muss detaillierte Informationen enthalten, die es diesem ermöglichen, die Verletzung zu bewerten und die notwendigen Maßnahmen zu ergreifen. Dazu gehören mindestens (1) eine Beschreibung der Art der Datenschutzverletzung, (2) die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, (3) die mutmaßlichen Folgen der Verletzung, und (4) die Maßnahmen, die der Auftragsverarbeiter zur Behebung der Verletzung und zur Minimierung ihrer Auswirkungen ergriffen hat oder vorschlägt. Die Beweislast für die Information des Verantwortlichen trägt der Auftragsverarbeiter.

Zusätzlich zur Benachrichtigungspflicht ist der Auftragsverarbeiter verpflichtet, den Verantwortlichen bei der Aufklärung und Eindämmung der Datenschutzverletzung zu unterstützen. Dies kann die Bereitstellung von Informationen, die Durchführung forensischer Untersuchungen oder die Umsetzung von Sicherheitsmaßnahmen umfassen. Die Zusammenarbeit zwischen Verantwortlichem und Auftragsverarbeiter ist auch bei der Erstellung und Einreichung der Meldung an die Aufsichtsbehörde von entscheidender Bedeutung. Der Auftragsverarbeiter kann dem Verantwortlichen wertvolle Informationen für die Meldung liefern, insbesondere hinsichtlich der technischen Aspekte der Verletzung und der ergriffenen Gegenmaßnahmen.

Mini Fallstudie / Praxiseinblick: Probleme und Lösungen bei der Auftragsverarbeitung in Cloud-Umgebungen

Mini Fallstudie / Praxiseinblick: Probleme und Lösungen bei der Auftragsverarbeitung in Cloud-Umgebungen

Die Nutzung von Cloud-Diensten zur Auftragsverarbeitung bietet Unternehmen zahlreiche Vorteile, birgt aber auch datenschutzrechtliche Herausforderungen. Betrachten wir folgendes Szenario: Ein mittelständisches E-Commerce-Unternehmen lagert seine Kundenverwaltung an einen Cloud-Anbieter mit Servern außerhalb der EU aus.

Die Herausforderungen liegen auf der Hand: Datenlokalisierung (die Daten verlassen den Geltungsbereich der DSGVO), Zugriffsmöglichkeiten des Anbieters (kann der Anbieter auf die Daten zugreifen und sie zu eigenen Zwecken nutzen?), und unklare Sicherheitsstandards (entsprechen die Sicherheitsmaßnahmen des Anbieters den Anforderungen der DSGVO?).

Lösungsansätze umfassen:

• Vertragliche Vereinbarungen: Ein detaillierter Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ist unerlässlich. Dieser muss u.a. Regelungen zur Datenverarbeitung, Datensicherheit und Kontrollrechte des Verantwortlichen enthalten.
• Verschlüsselung: Die Daten sollten sowohl bei der Übertragung als auch im Ruhezustand verschlüsselt werden, um unbefugten Zugriff zu verhindern. Der Schlüssel sollte idealerweise vom Verantwortlichen selbst verwaltet werden.
• Anbieterauswahl: Bevorzugt sollte ein Cloud-Anbieter mit Sitz innerhalb der EU ausgewählt werden oder ein Anbieter, der durch Binding Corporate Rules (BCR) oder Standardvertragsklauseln (Art. 46 DSGVO) ein adäquates Datenschutzniveau gewährleistet.
• Regelmäßige Audits: Durchführung regelmäßiger Audits des Cloud-Anbieters, um die Einhaltung der vereinbarten Sicherheitsstandards zu überprüfen.

Durch sorgfältige Planung und Umsetzung dieser Maßnahmen können Unternehmen Cloud-Dienste datenschutzkonform nutzen und die Vorteile der Auftragsverarbeitung realisieren, ohne gegen die DSGVO zu verstoßen.

Die Rolle von Standardvertragsklauseln (Standard Contractual Clauses – SCCs) und Binding Corporate Rules (BCRs)

Die Rolle von Standardvertragsklauseln (Standard Contractual Clauses – SCCs) und Binding Corporate Rules (BCRs)

Standardvertragsklauseln (SCCs) und Binding Corporate Rules (BCRs) sind wesentliche Instrumente, um die datenschutzkonforme Übermittlung personenbezogener Daten an Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums (EWR) gemäß Art. 46 DSGVO zu gewährleisten. SCCs sind von der Europäischen Kommission genehmigte Vertragsvorlagen, die zwischen dem Datenexporteur im EWR und dem Datenimporteur im Drittland geschlossen werden. Sie legen detaillierte Datenschutzpflichten für beide Parteien fest und bieten ein Schutzniveau, das dem im EWR entspricht.

BCRs sind unternehmensinterne Datenschutzrichtlinien, die von Aufsichtsbehörden genehmigt werden und die Übermittlung personenbezogener Daten innerhalb eines Konzerns in Drittländer ermöglichen. Sie erfordern eine umfassende interne Datenschutzstruktur und die Durchsetzung der BCRs durch eine unabhängige Stelle.

Das Schrems II-Urteil des EuGH (C-311/18) hat die Anforderungen an SCCs verschärft. Unternehmen müssen nun vor jeder Datenübermittlung eine individuelle Risikobewertung (Transfer Impact Assessment) durchführen, um sicherzustellen, dass das Datenschutzniveau im Drittland im Einzelfall angemessen ist. Gegebenenfalls müssen zusätzliche Schutzmaßnahmen ergriffen werden, um die Wirksamkeit der SCCs zu gewährleisten.

Alternativen zu SCCs und BCRs umfassen Angemessenheitsbeschlüsse der Europäischen Kommission (Art. 45 DSGVO) für bestimmte Drittländer, die ein gleichwertiges Datenschutzniveau bieten, sowie Ausnahmen gemäß Art. 49 DSGVO in spezifischen Fällen.

Zukunftsausblick 2026-2030: Trends und Entwicklungen im Bereich Auftragsverarbeitung

Zukunftsausblick 2026-2030: Trends und Entwicklungen im Bereich Auftragsverarbeitung

Der Zeitraum 2026-2030 wird im Bereich der Auftragsverarbeitung von tiefgreifenden Veränderungen geprägt sein. Wir prognostizieren einen verstärkten Einsatz von künstlicher Intelligenz (KI) in der Datenverarbeitung, was Effizienzsteigerungen, aber auch neue Herausforderungen in Bezug auf Transparenz und Nachvollziehbarkeit mit sich bringt. Dies wird die Notwendigkeit strenger Anforderungen an die Transparenz von Algorithmen gemäß Art. 5 Abs. 1 lit. a DSGVO (Prinzip der Verarbeitung nach Treu und Glauben) weiter verstärken.

Die zunehmende Bedeutung von Datenschutz-Zertifizierungen (Art. 42 DSGVO) als Nachweis der Einhaltung datenschutzrechtlicher Standards wird weiter zunehmen. Unternehmen werden Zertifizierungen vermehrt nutzen, um Vertrauen bei Kunden und Aufsichtsbehörden zu gewinnen. Zudem werden neue Technologien zur Verbesserung der Datensicherheit, wie beispielsweise homomorphe Verschlüsselung oder Federated Learning, an Bedeutung gewinnen, um das Datenschutzniveau zu erhöhen.

Diese Entwicklungen werden die Verantwortlichkeiten und Pflichten von Verantwortlichen und Auftragsverarbeitern beeinflussen. Es ist zu erwarten, dass Aufsichtsbehörden die Einhaltung der datenschutzrechtlichen Vorgaben, insbesondere hinsichtlich der Sicherheit der Verarbeitung (Art. 32 DSGVO) und der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO), noch stärker kontrollieren werden. Der steigende Einsatz von KI wird auch die Anforderungen an die Durchführung von Datenschutz-Folgenabschätzungen (DSFA) erhöhen.