Auftragsdatenverarbeitung

Transkript

1 Auftragsdatenverarbeitung 27 Auftragsdatenverarbeitung Bei einer Auftragsdatenverarbeitung erhält ein Dritter den Auftrag, personenbezogene Daten nach genauen Weisungen zu erheben, zu verarbeiten oder zu nutzen (etwa in einigen Fällen des Outsourcings). Er muss dabei als verlängerter Arm des Auftraggebers handeln. In diesem Fall greifen die speziellen Vorgaben des 11 BDSG. Gesetze, Vorschriften und Rechtsprechung 11 BDSG (Vorgaben für die Datenverarbeitung im Auftrag), 3 Abs. 7 BDSG (verantwortliche Stelle), 9 BDSG (zu treffende technische und organisatorische Maßnahmen), 43 Abs. 1 Nr. 2b BDSG (Bußgeldvorschriften) Verantwortung für die Daten Die Vorschrift besagt, dass der Auftraggeber während der gesamten Auftragsdauer für den Umgang mit den Daten voll verantwortlich bleibt auch und gerade, solange sich die Daten beim Dienstleister befinden. Das hat einerseits den Vorteil, dass die Daten ohne weitere Rechtsgrundlage, also vereinfacht zwischen den Auftragsparteien hin und her fließen dürfen. Andererseits sieht der Gesetzgeber darin eine besondere Gefahr und will die Daten gründlicher schützen. Deshalb wurde 11 BDSG im Rahmen der Gesetzesnovellierungen 2009 deutlich klarer gefasst und verschärft. Insbesondere muss ein schriftlicher Vertrag geschlossen werden, in dem die jeweiligen Befugnisse für den Umgang mit personenbezogenen Daten schriftlich vereinbart sind. Zudem muss der Auftraggeber den Auftragnehmer kontrollieren. Wann liegt eine Auftragsdatenverarbeitung vor? Eine Auftragsdatenverarbeitung nach 11 BDSG liegt vor, wenn alle der nachfolgenden Voraussetzungen erfüllt sind: 1. Auftraggeber und Auftragnehmer sind zwei unterschiedliche verantwortliche Stellen (im Sinn des 3 Abs. 7 BDSG), also un-

2 28 Auftragsdatenverarbeitung terschiedliche Rechtspersönlichkeiten. Keinerlei Rolle spielt, ob die Unternehmen dem gleichen Konzern oder Unternehmensverbund angehören, da das Datenschutzrecht kein Konzernprivileg kennt. 2. Zwischen Auftragnehmer und Auftraggeber werden personenbezogene Daten ausgetauscht. 3. Der Dienstleister erhebt, verarbeitet oder nutzt personenbezogene Daten im Auftrag des Auftraggebers. Das heißt, er arbeitet nicht aus einem Eigeninteresse mit den Daten, sondern nur, um die Aufgaben zu erfüllen, die ihm übertragen wurden. Er darf insofern nur als verlängerter Arm des Auftraggebers handeln. 4. Der Dienstleister ist weisungsgebunden in Bezug auf die Datenbearbeitung. Der Auftraggeber schreibt dem Dienstleister exakt vor, wie er mit den Daten umzugehen hat. Beispiele für Unternehmen als Auftragsnehmer Callcenter Aktenvernichter Schreibbüro Lettershop Archivierungsdienstleister Externe Systemadministratoren (nach 11 Abs. 5 BDSG) Wartung und Fernwartung von EDV-Geräten durch externe Firmen ( 11 Abs. 5 BDSG) Abgrenzung zur Funktionsübertragung Keine Auftragsdatenverarbeitung liegt dagegen vor, wenn ein Dienstleister nicht weisungsgebunden ist. Wenn er selbst über das Wie der Datenverarbeitung entscheiden kann und er die Daten selbstständig und aus einem eigenen Interesse heraus nutzt, ist 11 BDSG nicht anwendbar.

3 Auftragsdatenverarbeitung 29 Beispiele für eine Funktionsübertragung Steuerberater, dem die Buchführung übertragen wird zur selbstständigen und bestmöglichen Erledigung Rechtsanwalt, der die Interessen des Auftraggebers selbstständig wahrnimmt und nicht für jeden seiner Schritte eine Einwilligung benötigt. Marktanalyse durch eine Marketingfirma unter deren Regie Für eine Funktionsübertragung gelten keine besonderen Vorschriften. Daher muss zur Übermittlung von personenbezogenen Daten zwischen den Vertragsparteien eine allgemeine Rechtsgrundlage vorhanden sein. Folgen bei einer Auftragsdatenverarbeitung Wenn eine Auftragsdatenverarbeitung vorliegt, dürfen die dazu erforderlichen personenbezogenen Daten frei zwischen den Auftragsparteien hin- und herfließen. Folgende Voraussetzungen und Konsequenzen sind zu beachten: Sorgfältige Auswahl des Auftragnehmers: Ob der Dienstleister eine geeignete Datensicherheit bieten kann, soll bereits vor Vertragsschluss geprüft werden. Schriftlicher Auftrag: Der Auftrag muss schriftlich vereinbart werden. Es sind darin auch alle zehn Punkte zu regeln, die 11 Abs. 2 BDSG auflistet. Dies sind: 1. Gegenstand und Dauer des Auftrags 2. Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten, die Art der Daten und der Kreis der Betroffenen 3. Die nach 9 BDSG zu treffenden technischen und organisatorischen Maßnahmen 4. Die Befugnis, die Daten zu berichtigen, zu löschen und zu sperren 5. Die Datenschutz-Pflichten des Auftragnehmers (insbesondere die Verpflichtung der Mitarbeiter auf das Datenge-

4 30 Auftragsdatenverarbeitung heimnis und Bestellung eines Datenschutzbeauftragten) und die von ihm vorzunehmenden Kontrollen 6. Die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen (Einschaltung von Subunternehmern) 7. Die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers 8. Mitzuteilende Verstöße des Auftragnehmers gegen Datenschutz-Vorschriften oder gegen die im Auftrag getroffenen Festlegungen 9. Der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält 10. Die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags Überprüfung des Auftraggebers vom Auftragnehmer: Der Auftraggeber ist verpflichtet, sich von der Einhaltung der vereinbarten Maßnahmen beim Auftragnehmer zu überzeugen. Dies hat er vor Beginn der Datenverarbeitung und sodann regelmäßig zu tun ( 11 Abs. 2 Satz 4 BDSG). Das bedeutet, dass der Auftraggeber seinen Dienstleister vor Beginn der ersten Tätigkeit kontrollieren muss und danach in regelmäßigen Abständen (oft etwa alle ein bis drei Jahre). Es gilt der Grundsatz: je sensibler die Daten, desto öfter sollte kontrolliert werden. Hinweis: Keine Vorschrift für die Vorgehensweise In welcher Weise die Kontrollen zu erfolgen haben, schreibt das Gesetz nicht vor. In Betracht kommen Vor-Ort-Termine beim Auftraggeber, das Heranziehen von Gutachtern oder Zertifikaten, oder, wenn es um weniger sensible Daten geht, auch schriftliche oder telefonische Abfragen. Wichtig ist jedoch, die Kontrolle und deren Ergebnis schriftlich zu dokumentieren ansonsten können Bußgelder drohen.

5 Auftragsdatenverarbeitung 31 Bußgelder Die Datenschutz-Aufsichtsbehörde ( Aufsichtsbehörden) kann Bußgelder verhängen, wenn es sich um eine Auftragsdatenverarbeitung handelt, aber ein fehlerhafter oder nicht schriftlicher Auftrag vorliegt. Ebenso fallen Bußgelder an, wenn nicht vor Beginn der Datenverarbeitung die erstmalige Kontrolle erfolgt ist ( 43 Abs. 1 Nr. 2b BDSG). Das Bußgeld kann bis zu EUR betragen. (Grimme)