{"id":4213,"date":"2021-02-15T09:00:39","date_gmt":"2021-02-15T08:00:39","guid":{"rendered":"https:\/\/barth-datenschutz.de\/?p=4213"},"modified":"2021-11-15T13:04:31","modified_gmt":"2021-11-15T12:04:31","slug":"auftragsverarbeitungsvereinbarung","status":"publish","type":"post","link":"https:\/\/barth-datenschutz.de\/blog\/auftragsverarbeitungsvereinbarung\/","title":{"rendered":"Auftragsverarbeitungsvereinbarung \u2013 das ist die Rechtslage"},"content":{"rendered":"<p>Auftragsverarbeitungsvereinbarung. Ein perfektes Wort, um beim Galgenraten garantiert zu gewinnen. Und dar\u00fcber hinaus spielt sie im Datenschutz von fast jedem Unternehmen eine wichtige Rolle.<\/p>\n<p>Die Auftragsverarbeitungsvereinbarung, fr\u00fcher \u201eAuftragsdatenverarbeitungsvertrag\u201c, oder kurz AVV, m\u00fcssen Sie n\u00e4mlich immer dann schlie\u00dfen, wenn Sie einen externen Dienstleister mit der Verarbeitung der Daten Ihrer Kunden und Mitarbeiter beauftragen. Hier einmal einige Beispiele, wann das vorkommt:<\/p>\n<ul>\n<li>Sie leiten Anrufe \u00fcber ein Callcenter um.<\/li>\n<li>Eine externe Buchhaltung k\u00fcmmert sich um Ihre Lohn- und Gehaltsabrechnungen.<\/li>\n<li>Sie outsourcen Ihr Rechenzentrum \u2013 auch teilweise.<\/li>\n<li>Sie tracken die Aktionen Ihrer Webseitenbesucher \u00fcber Google Analytics oder \u00e4hnliche Anbieter \u2013 oder lassen das in Ihrem Auftrag von einer Agentur durchf\u00fchren.<\/li>\n<li>Sie nutzen einen Dienstleister wie Mailchimp oder ActiveCampaign, um E-Mails zu versenden.<\/li>\n<li>Sie f\u00fchren Meetings und Kundengespr\u00e4che \u00fcber Videocall-Hosts wie Zoom oder Microsoft Teams durch.<\/li>\n<\/ul>\n<p>Die Liste lie\u00dfe sich noch um einige Punkte erg\u00e4nzen \u2013 das Wichtigste wird jedoch deutlich: Um eine Auftragsverarbeitungsvereinbarung kommt kaum ein Unternehmen herum. Hintergrund: Auch wer auf einen Dienstleister oder ein externes Unternehmen setzt, muss nat\u00fcrlich daf\u00fcr sorgen, dass die Bestimmungen der DSGVO eingehalten werden. In der Auftragsverarbeitungsvereinbarung wird festgelegt, wie das aussehen soll und welche Daten in welchem Rahmen verarbeitet werden d\u00fcrfen.<\/p>\n<h2>Zwischen wem wird der Auftragsverarbeitungsvertrag geschlossen?<\/h2>\n<p>Die Auftragsverarbeitungsvereinbarung wird zwischen zwei Parteien geschlossen: Dem verarbeitenden Dienstleister und dem Auftraggeber. Der Dienstleister kann sich dabei nach der neuen DSGVO auch au\u00dferhalb der EU befinden. Er untersteht der Weisung des Auftraggebers und haftet bei Verst\u00f6\u00dfen, solange sich diese aus einer Handlung entgegen der Weisung des Auftraggebers ergeben. Bei allgemeinen Verst\u00f6\u00dfen haftet im Regelfall der Auftraggeber. Er ist auch der Datenschutzverantwortliche im Sinne der DSGVO, an den sich Betroffene bei Verdacht auf einen Versto\u00df wenden k\u00f6nnen.<\/p>\n<h2>Das geh\u00f6rt in die Auftragsverarbeitungsvereinbarung hinein<\/h2>\n<p>Im Vertrag wird genau definiert, welche Daten der Dienstleister wie verarbeiten darf. Wenn Sie eine Auftragsverarbeitungsvereinbarung aufsetzen, sollten Sie deshalb nach <a href=\"https:\/\/dsgvo-gesetz.de\/art-30-dsgvo\/\" target=\"_blank\" rel=\"noopener\">Art. 30 DSGVO<\/a> folgende Punkte aufnehmen:<\/p>\n<ul>\n<li>Name und Kontaktdaten vom Verantwortlichen und dem Verarbeitenden<\/li>\n<li>Wie lauten die Weisungsbefugnisse und welchen Verpflichtungen m\u00fcssen die an der Verarbeitung beteiligten Personen nachkommen?<\/li>\n<li>Was sind Gegenstand, Dauer, Art und Zweck der Verarbeitung?<\/li>\n<li>Mit welchen technischen und organisatorischen Ma\u00dfnahmen wird der Datenschutz organisiert?<\/li>\n<li>Inwiefern dokumentiert die verarbeitende Partei ihre T\u00e4tigkeiten? Dazu gleich mehr.<\/li>\n<li>D\u00fcrfen Subunternehmen beauftragt werden \u2013 und wenn ja, in welchem Rahmen?<\/li>\n<li>Wie wird mit Anspr\u00fcchen umgegangen, die Betroffene von <a href=\"https:\/\/barth-datenschutz.de\/oeffentlich\/datenschutzanzeige-erhalten\/\" target=\"_blank\" rel=\"noopener\">Verst\u00f6\u00dfen<\/a> stellen k\u00f6nnten?<\/li>\n<li>Wie ist die Meldepflicht von Verst\u00f6\u00dfen geregelt?<\/li>\n<li>Wie hat sich der Verarbeitende zu verhalten, wenn Weisungen des Auftraggebers gegen die DSGVO versto\u00dfen?<\/li>\n<li>Wie wird mit den personenbezogenen Daten umgegangen, sollte die Auftragsverarbeitungsvereinbarung beendet werden?<\/li>\n<li>Wie kann der Auftraggeber kontrollieren, ob der Verarbeitende seinen Pflichten ordnungsgem\u00e4\u00df nachkommt? Und welche Duldungspflichten hat der Auftraggeber?<\/li>\n<li>Inwiefern werden personenbezogene Daten in Drittl\u00e4nder \u00fcbermittelt? Um welche(s) handelt es sich dabei? Wie wird garantiert, dass die Daten\u00fcbermittlung dennoch der europ\u00e4ischen DSGVO entspricht?<\/li>\n<\/ul>\n<h2>Die DSGVO fordert: F\u00fcr die Auftragsverarbeitungsvereinbarung kommen nur verl\u00e4ssliche Auftragsverarbeiter in Frage<\/h2>\n<p>Mit dem Aufsetzen der Auftragsverarbeitungsvereinbarung kommt also einiges an Arbeit auf Sie zu. Unter Umst\u00e4nden kann es jedoch sein, dass die Vereinbarung standardm\u00e4\u00dfig hinterlegt ist. Dieses \u00fcbliche Vorgehen gibt es zum Beispiel bei gro\u00dfen Anbietern wie Microsoft, Zoom oder 1&amp;1. Hier gilt auch: Sie m\u00fcssen den AV-Vertrag des Anbieters akzeptieren oder einen anderen Dienstleister suchen.<\/p>\n<p>Sicher \u2013 in manchen Bereichen haben Sie nicht viel Auswahl, was Ihren Partner angeht. Doch sollten Sie frei entscheiden k\u00f6nnen, m\u00fcssen Sie nat\u00fcrlich darauf achten, dass der Datenschutz an oberster Stelle steht. Das regelt auch <a href=\"https:\/\/dsgvo-gesetz.de\/art-28-dsgvo\/\" target=\"_blank\" rel=\"noopener\">Art. 28 der DSGVO<\/a> ganz klar:<\/p>\n<p><em>\u201eErfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien daf\u00fcr bieten, dass geeignete technische und organisatorische Ma\u00dfnahmen so durchgef\u00fchrt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gew\u00e4hrleistet.\u201c<\/em><\/p>\n<h2>Das macht einen verl\u00e4sslichen Auftragsverarbeiter aus<\/h2>\n<ul>\n<li>Der Auftragsverarbeiter sch\u00fctzt die Daten vor unbefugtem Zugriff \u2013 sowohl elektronisch (durch Firewalls, sichere Passw\u00f6rter etc.) als auch \u201eim echten Leben\u201c (abschlie\u00dfbare T\u00fcren und Schr\u00e4nke). Auch unbefugte Personen aus dem Unternehmen selbst sollten keinen Zugriff erhalten. Schlie\u00dflich gehen sie die Daten Ihrer Kunden\/Mitarbeiter nichts an.<\/li>\n<li>Jeder Zugriff auf Ihre Daten sollte kontrolliert und protokolliert werden. Kommt es zu einer Datenpanne, kann die Ursache dadurch schneller ausfindig gemacht werden.<\/li>\n<li>Datens\u00e4tze d\u00fcrfen nicht ohne Weiteres ge\u00e4ndert, kopiert, weitergeleitet oder gel\u00f6scht werden. Deshalb muss die verarbeitende Partei der Auftragsverarbeitungsvereinbarung Sorge tragen, dass auch Datentr\u00e4ger nicht besch\u00e4digt werden oder verloren gehen.<\/li>\n<li>Weisungen werden eingehalten.<\/li>\n<li>F\u00fcr den Fall einer Datenschutzpanne gibt es Notfallkonzepte, auf die alle Beteiligten direkten Zugriff haben.<\/li>\n<li>Zum Ende der Zusammenarbeit \u00fcbergibt der Verarbeitende je nach Vereinbarung alle Daten oder l\u00f6scht sie vollst\u00e4ndig. Auch daf\u00fcr sollte ein Konzept bereitstehen.<\/li>\n<li>Daten, die nichts miteinander zu tun haben, werden nicht gemeinsam\/gemischt aufbewahrt \u2013 schon gar nicht, wenn es die Daten verschiedener Unternehmen sind.<\/li>\n<\/ul>\n<p>Zertifizierungen nach ISO 9001 und ISO 27001 sind hilfreiche Indikatoren, dass es sich bei einem Unternehmen um einen vertrauensw\u00fcrdigen Partner f\u00fcr die Auftragsverarbeitungsvereinbarung handelt.<\/p>\n<h2>Mein Appell lautet: Halten Sie sich auch bei diesem Thema an die DSGVO<\/h2>\n<p>Die DSGVO behandelt das Thema \u201eAuftragsverarbeitungsvereinbarung\u201c in einem Kapitel mit 19 Artikeln. Das ganze Thema ist also recht komplex und angesichts dessen m\u00f6gen einige Unternehmen zun\u00e4chst zur\u00fcckschrecken. Ich fordere Sie jedoch auf: Setzen Sie sich in Ruhe mit der Auftragsverarbeitung auseinander \u2013 und suchen Sie gezielt einen geeigneten Partner. Auch wenn das unter Umst\u00e4nden mehr Aufwand bedeutet, ist das weitaus angenehmer als ein saftiges Bu\u00dfgeld oder gar ein Strafverfahren!<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Auftragsverarbeitungsvereinbarung. Ein perfektes Wort, um beim Galgenraten garantiert zu gewinnen. Und dar\u00fcber hinaus spielt sie im Datenschutz von fast jedem Unternehmen eine wichtige Rolle.<\/p>\n","protected":false},"author":106,"featured_media":4217,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[150,96],"tags":[202,34,22,82],"class_list":["post-4213","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-datenerhebung","category-datenschutz-fuer-unternehmen","tag-auftragsverarbeitungsvertrag","tag-datenschutz","tag-dsgvo","tag-externe-dienstleister"],"_links":{"self":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts\/4213","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/users\/106"}],"replies":[{"embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/comments?post=4213"}],"version-history":[{"count":0,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts\/4213\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/media\/4217"}],"wp:attachment":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/media?parent=4213"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/categories?post=4213"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/tags?post=4213"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}