Auftragsverarbeitungsvertrag und personenbezogene Daten Was sind personenbezogene Daten und wer braucht einen AVV
Aufgrund der neuen Datenschutzgrundverordnung (DSGVO) müssen viele Unternehmen mit ihren Kunden nun einen Auftragsverarbeitungsvertrag (AVV) schließen. Er ist empfehlenswert, wenn personenbezogene Daten gesammelt werden. Was personenbezogene Daten sind und was der AVV regelt, erklären wir in diesem Artikel.
Was sind personenbezogene Daten?
In erster Linie handelt es sich bei personenbezogenen Daten um all die Informationen, die sich auf eine natürliche Person beziehen oder auch Rückschlüsse auf ihre Persönlichkeit erlauben. Sie werden im Art. 4 Abs. 1 Nr. 1 der Datenschutzgrundverordnung definiert. Zu den personenbezogenen Daten zählen im Allgemeinen private Angaben wie beispielsweise Telefonnummern, Kontodaten, Autokennzeichen oder Anschriften, aber auch andere Informationen wie die Aufzeichnungen über Arbeits- und Pausenzeiten.
Weiter gibt es personenbezogene Daten besonderer Kategorien (Art. 9), die Informationen über ethnische Herkunft, Gesundheit, Sexualität oder auch politische, religiöse und weltanschauliche Überzeugungen preisgeben. Diese gilt es speziell zu schützen. Zusätzlich sollten betroffene Personen über die Speicherung und Verarbeitung ihrer personenbezogenen Daten informiert werden und dieser im Bestfall auch zustimmen (Art. 16 Abs. 1 AEUV).
Der Auftragsverarbeitungsvertrag für Unternehmen
Der Auftraggeber, in der Regel ein Unternehmen selbst, ist und bleibt für die personenbezogenen Daten, mit welchen die Auftragnehmer in Kontakt kommen, verantwortlich (“Herr der Daten”). Es empfiehlt sich daher mit externen Dienstleistern einen Auftragsverarbeitungsvertrag zu schließen, weil in diesem Fall ja gezwungenermaßen immer Daten an Dritte weitergegeben werden – auch dann, wenn es lediglich Namen und Adressen sind. Natürlich kommt es dabei auf die Art des Subunternehmers an. Im AVV sind Datenschutzfragen geregelt, zudem muss er bestimmten Anforderungen entsprechen. Inhaltlich sollte er folgende Punkte aufführen:
- Bindung an Verantwortlichen
- Gegenstand und Dauer sowie Art und Zweck der Verarbeitung
- Einheit der personenbezogenen Daten
- Kategorien der betroffenen Personen
- Pflichten und Rechte des Verantwortlichen
Ein Mustervertrag für die Auftragsverarbeitung nach der EU Datenschutzgrundverordnung findet sich hier.
Wer ist Auftragsverarbeiter?
In Art. 4 Nr. 8 gibt die DSGVO eine Definition des Auftragsverarbeiters. Vor der neuen Datenschutzgrundverordnung hieß dieser noch datenschutzrechtlicher Dienstleister.
Ein Auftragsverarbeiter ist eine natürliche oder juristische Person, die personenbezogene Daten im Auftrag verarbeitet. Dies muss im Interesse des Verantwortlichen passieren, was bedeutet, dass er hier quasi als sein “verlängerter Arm” fungiert. Neben dem Auftragsverarbeiter darf auch jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu den personenbezogenen Daten hat, diese nur auf Anweisung des Verantwortlichen verarbeiten. Einzige Ausnahme ist, wenn sie durch eine gesetzliche Vorschrift dazu verpflichtet sind.
Falls also eine Auftragsverarbeitung vorliegt, ist es beidseitige Pflicht mit dem Auftragsverarbeiter einen entsprechenden Vertrag zu schließen. Geregelt wird dies auch in der DSGVO. Gem. Art. 28 Abs. 3, S.1 ist das Hinzuziehen eines Auftragsverarbeiters nur dann und insoweit zulässig, wenn ein Vertrag oder vergleichbares Rechtsinstrument der Auftragsverarbeitung zugrunde gelegt wird. Zusätzlich muss der Auftragsverarbeitungsvertrag die sich in dem Art. 28 Abs. 3, S. 2, lit. a) – h) genannten Mindestinhalte aufweisen. Außerdem darf der Auftragsverarbeiter selbst ohne die schriftliche Zustimmung des Verantwortlichen keine weiteren Subunternehmer hinzuziehen.
Ein Beispiel aus der alltäglichen Praxis
Wird eine Software verkauft, ist dies aus datenschutzrechtlicher Sicht nicht als Auftragsverarbeitung anzusehen. Falls aber ein Service zum Verkauf dieser Software vereinbart wurde und die Servicemitarbeiter Zugriff auf die Daten haben, kann es sich hier um eine Auftragsverarbeitung handeln.
Tipp: Wenn es um relevante Aspekte zum Thema Datenschutz und speziell den AVV geht, kann man sich als Unternehmen bei der zuständigen Landesdatenschutzbehörde informieren.
Abschließend möchten wir darauf hinweisen, dass wir für die Richtigkeit, Vollständigkeit, Aktualität, Qualität oder Verfügbarkeit der Inhalte keine Haftung übernehmen. Die Artikel dienen lediglich als Information. Sie können und sollen eine Rechtsberatung durch einen qualifizierten Anwalt nicht ersetzen.