„Brauchen wir dafür auch so einen Vertrag?“ Diese Frage hören wir in diesen Wochen fast täglich. Gemeint ist der Auftragsverarbeitungsvertrag, kurz AV-Vertrag. Ab dem 25. Mai 2018 verlangt die DSGVO ihn für jeden Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet. Ganz neu ist das Thema nicht: Bisher hieß es „Auftragsdatenverarbeitung“ und stand in § 11 BDSG. Neu sind aber einige Details, und vor allem schauen jetzt viel mehr Unternehmen genau hin.
Was ist Auftragsverarbeitung überhaupt?
Von Auftragsverarbeitung spricht man, wenn ein Dienstleister personenbezogene Daten nach Ihren Weisungen verarbeitet und nicht für eigene Zwecke. Sie bleiben der Verantwortliche, der Dienstleister ist sozusagen Ihre verlängerte Werkbank. Damit das funktioniert, verlangt Art. 28 DSGVO einen Vertrag, der genau festlegt, was der Dienstleister darf und was nicht.
Abzugrenzen ist das von Fällen, in denen der Dienstleister selbst entscheidet, wie er mit den Daten umgeht, oder eine eigene fachliche Leistung erbringt. Bei Berufsgeheimnisträgern wie Rechtsanwälten oder Steuerberatern wird deshalb häufig keine Auftragsverarbeitung angenommen. Die Abgrenzung ist im Einzelfall nicht immer eindeutig; wenn Sie unsicher sind, fragen Sie den Dienstleister nach seiner Einschätzung und halten Sie diese fest.
Typische Fälle im Mittelstand
Wenn wir mit Kunden die Liste ihrer Dienstleister durchgehen, kommen meist mehr Verträge zusammen als erwartet. Hier eine Übersicht, die Ihnen als Startpunkt dient:
| Dienstleister | AV-Vertrag nötig? | Hinweis |
|---|---|---|
| Webhoster, E-Mail-Hosting | In der Regel ja | Viele Hoster bieten fertige Verträge im Kundenmenü an |
| IT-Dienstleister mit Fernwartung | In der Regel ja | Sobald Zugriff auf personenbezogene Daten nicht ausgeschlossen ist |
| Cloud-Speicher, Online-Office | Ja | Serverstandort und Unterauftragnehmer prüfen |
| Newsletter-Versand | Ja | Bei Anbietern außerhalb der EU zusätzlich Übermittlungsgrundlage prüfen |
| Externe Lohnabrechnung (Rechenzentrum) | Häufig ja | Anders kann es beim Steuerberater liegen |
| Aktenvernichtung, Datenträgerentsorgung | Ja | Auch Papier mit Kundendaten zählt |
| Webanalyse-Dienst | Je nach Dienst | Anbieterangaben und Einstellungen prüfen |
| Rechtsanwalt, Steuerberater | Meist nein | Eigenverantwortliche Berufsausübung |
Was in den Auftragsverarbeitungsvertrag hineingehört
Art. 28 Abs. 3 DSGVO nennt die Mindestinhalte. Ein brauchbarer Auftragsverarbeitungsvertrag regelt mindestens:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung,
- die Art der Daten und die Kategorien betroffener Personen (zum Beispiel Kunden, Mitarbeiter, Interessenten),
- dass der Dienstleister nur auf Ihre dokumentierte Weisung handelt,
- die Verpflichtung seiner Mitarbeiter zur Vertraulichkeit,
- die technischen und organisatorischen Maßnahmen zum Schutz der Daten,
- Regeln für Unterauftragnehmer: Der Dienstleister darf weitere Firmen nur mit Ihrer Genehmigung einschalten,
- Unterstützung bei Betroffenenanfragen und Datenpannen,
- Rückgabe oder Löschung der Daten nach Vertragsende,
- Ihre Kontrollrechte, etwa durch Nachweise oder Prüfungen.
Die Anlage mit den TOM nicht vergessen
Das Herzstück vieler Verträge ist die Anlage zu den technischen und organisatorischen Maßnahmen, kurz TOM. Hier beschreibt der Dienstleister, wie er Zutritt, Zugriff, Verschlüsselung, Backups und Ähnliches regelt. Lesen Sie diese Anlage wenigstens quer. Ein Vertrag mit einer leeren oder nichtssagenden TOM-Anlage ist ein Warnzeichen.
Alte ADV-Verträge: Neu abschließen oder anpassen?
Verträge nach § 11 BDSG sind inhaltlich oft schon nah dran. Trotzdem sollten Sie sie auf die DSGVO umstellen, denn die Verweise auf das alte Recht laufen ins Leere und einige Pflichten sind neu, etwa die Unterstützung bei Datenpannen oder die Regeln zu Unterauftragnehmern. Viele größere Anbieter verschicken gerade von sich aus aktualisierte Fassungen oder stellen sie zum Download bereit. Bei kleineren Dienstleistern lohnt es sich, aktiv nachzufragen.
So gehen Sie vor: in fünf Schritten
- Dienstleister sammeln: Gehen Sie Ihre Eingangsrechnungen der letzten zwölf Monate durch. Dort tauchen erfahrungsgemäß alle auf, auch die vergessenen.
- Einordnen: Für jeden Dienstleister entscheiden, ob Auftragsverarbeitung vorliegt.
- Verträge anfordern: Bei großen Anbietern den Standardvertrag herunterladen, bei kleineren aktiv anfragen oder eine eigene Vorlage anbieten.
- Prüfen und unterschreiben: Mindestinhalte abhaken, TOM-Anlage ansehen, Unterauftragnehmer notieren.
- Ablegen und verknüpfen: Verträge zentral ablegen und im Verzeichnis der Verarbeitungstätigkeiten vermerken, welcher Vertrag zu welcher Verarbeitung gehört.
Kurze Antworten auf häufige Fragen
Muss der Vertrag auf Papier unterschrieben sein?
Die DSGVO lässt neben der Schriftform ausdrücklich auch ein elektronisches Format zu. Viele Anbieter arbeiten deshalb mit einem Online-Abschluss im Kundenkonto. Wichtig ist, dass Sie den Vertrag jederzeit vorlegen können, speichern Sie also eine Kopie.
Was passiert, wenn ein Dienstleister keinen Vertrag anbietet?
Fragen Sie schriftlich nach und setzen Sie eine Frist. Bleibt es dabei, sollten Sie ernsthaft über einen Wechsel nachdenken. Ohne Vertrag tragen Sie das Risiko, denn verantwortlich für die Daten bleiben Sie.
Reicht es, wenn der Dienstleister in Deutschland sitzt?
Der Sitz allein ersetzt keinen Vertrag. Er spielt aber eine Rolle, wenn Daten die EU verlassen: Dann brauchen Sie zusätzlich eine Grundlage für die Übermittlung, etwa eine Zertifizierung des US-Anbieters nach dem Privacy Shield oder die EU-Standardvertragsklauseln.
Und wenn Sie selbst Auftragsverarbeiter sind?
Die Medaille hat eine zweite Seite: Wenn Sie für Ihre Kunden Daten verarbeiten, etwa als Agentur, IT-Betreuer oder Callcenter, werden Ihre Kunden in den nächsten Wochen bei Ihnen anklopfen. Es lohnt sich, einen eigenen Mustervertrag samt TOM-Anlage vorzubereiten. Das spart Zeit und wirkt professionell.
Wir helfen Ihnen gerne
Sie haben einen Stapel Verträge und keine Lust, jeden einzeln zu lesen? Die Mittelstandsoptimierer unterstützen Sie bei der Bestandsaufnahme, prüfen vorhandene Verträge und stellen Vorlagen bereit. Wir sind telefonisch erreichbar unter 06131 144928-0.
Herzliche Grüße aus Mainz
