Auftragsverarbeitungsvertrag mit Dienstleistern

Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten nicht für sich selbst, sondern nach Weisung eines Unternehmens verarbeitet, und fast jede Nutzung eines Cloud-Dienstes, eines Newsletter-Tools, eines CRM oder eines Hosting-Anbieters fällt unter diese Definition, weshalb ein Auftragsverarbeitungsvertrag fast immer nötig ist.

Mit Hosting, Newsletter-Versand, CRM und einer Agentur mit Zugriff auf Kundendaten ist ein Vertrag praktisch ausnahmslos erforderlich, weil all diese technisch mit personenbezogenen Daten in Berührung kommen, auch wenn sie nicht entscheiden, wozu die Daten überhaupt erhoben werden.

Kein Vertrag ist nötig, wo ein Dienstleister selbst über Zwecke und Mittel der Verarbeitung entscheidet und als eigenständiger oder gemeinsamer Verantwortlicher handelt statt weisungsgebunden auszuführen. Eine Steuerberaterin, die die Buchhaltung nach eigenen berufsrechtlichen Regeln führt, fällt meist in diese Kategorie und nicht in die des Auftragsverarbeiters.

Gegenüber der Website-Besucherin haftet das Unternehmen, nicht der Dienstleister, selbst wenn ein Datenleck beim Hosting oder beim CRM entsteht. Der Auftragsverarbeitungsvertrag verteilt die Verantwortung zwischen Unternehmen und Dienstleister untereinander, entbindet das Unternehmen aber nicht davon, gegenüber der betroffenen Person geradezustehen.

Artikel 28 Absatz 3 DSGVO verlangt, dass der Vertrag Gegenstand und Dauer der Verarbeitung festhält, ihre Art und ihren Zweck, die Art der Daten und die Kategorien der betroffenen Personen, die Pflichten des Dienstleisters gegenüber den Weisungen des Unternehmens, die Bedingungen für die Einbindung von Subunternehmern, das Vorgehen beim Löschen oder Zurückgeben der Daten nach Vertragsende und das Recht des Unternehmens, die tatsächliche Verarbeitung beim Dienstleister zu prüfen.

Übermittelt der Dienstleister Daten außerhalb der Europäischen Union, braucht es im Vertrag oder in einer Anlage dazu eigene Übermittlungsgarantien, meist EU-Standardvertragsklauseln, und nicht nur den Hinweis, dass der Dienst in einem anderen Land sitzt.

In einem bereits unterschriebenen Vertrag lohnt sich die Prüfung von drei Dingen. Stehen dort konkrete Kategorien von Daten und Personen statt einer allgemeinen Formulierung wie personenbezogene Kundendaten. Gibt es ein Prüfrecht des Unternehmens statt nur einer eigenen Zusicherung des Dienstleisters. Und ist beschrieben, was mit den Daten nach Vertragsende passiert.

Ein fehlender oder unvollständiger Auftragsverarbeitungsvertrag taucht in mehr als einem Drittel der deutschen DSGVO-Bußgelder als wesentlicher Sanktionsgrund auf, und die Höchststrafe nach dieser Vorschrift liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Gute Praxis von Seiten des Dienstleisters sieht schlicht aus. Der Auftragsverarbeitungsvertrag wird von sich aus angeboten, ohne dass der Kunde daran erinnern muss, enthält konkrete Formulierungen statt allgemeiner Floskeln und braucht keine gesonderte Verhandlung jedes Mal, wenn der Kunde danach fragt.