Auftragsverarbeitung nach Art. 28 DSGVO: Dienstleister prüfen, AVV abschließen, Compliance sichern

Eine Auftragsverarbeitung liegt vor, wenn ein Dienstleister (Auftragsverarbeiter) personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Typische Beispiele: Cloud-Hosting, externes Lohn-/Gehaltsabrechnung, Newsletter-Versand, IT-Wartung mit Datenzugriff oder Entsorgung von Datenträgern. Keine Auftragsverarbeitung sind hingegen rein postalische Dienste, Telekommunikation oder Bankdienstleistungen.

Art. 28 Abs. 3 DSGVO definiert Mindestinhalte: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien der Betroffenen, Pflichten und Rechte des Verantwortlichen. Zusätzlich muss der AVV Weisungsbindung, Vertraulichkeit, technisch-organisatorische Maßnahmen (TOMs), Unterauftragsverarbeiter-Regelungen, Unterstützungspflichten bei Betroffenenrechten, Löschung nach Auftragsende und Audit-Rechte regeln.

Der Verantwortliche muss sich von den technischen und organisatorischen Maßnahmen des Auftragsverarbeiters überzeugen. Prüfungsmöglichkeiten: Vor-Ort-Audits, Prüfung von Zertifizierungen (ISO 27001, SOC 2, BSI C5), Einsicht in TOMs-Dokumentation, Referenzen und Datenschutzkonzepte. Die Prüfung muss dokumentiert werden und ist regelmäßig zu wiederholen.

Art. 28 Abs. 2 DSGVO verlangt, dass der Auftragsverarbeiter ohne vorherige Genehmigung des Verantwortlichen keinen weiteren Auftragsverarbeiter hinzuzieht. Der AVV muss regeln, ob eine allgemeine oder spezifische Genehmigung gilt, wie Änderungen mitgeteilt werden und welche vertraglichen Pflichten an Unterauftragsverarbeiter weitergegeben werden müssen. Der Auftragsverarbeiter haftet für seine Unterauftragsverarbeiter.

Nach Art. 82 DSGVO haften Verantwortlicher und Auftragsverarbeiter gemeinsam gegenüber Betroffenen. Der Verantwortliche haftet für die gesamte Verarbeitung, der Auftragsverarbeiter nur für Verstöße gegen seine spezifischen Pflichten oder gegen Weisungen. Bußgelder nach Art. 83 DSGVO können beide treffen, bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes.

Art. 28 Abs. 3 lit. g DSGVO schreibt vor, dass der Auftragsverarbeiter nach Abschluss der Verarbeitung alle personenbezogenen Daten löscht oder zurückgibt, je nach Wahl des Verantwortlichen, und bestehende Kopien vernichtet. Der AVV sollte konkrete Fristen, Rückgabeformate und Löschnachweise festlegen. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

Bei der Auftragsverarbeitung (Art. 28 DSGVO) handelt der Dienstleister weisungsgebunden für den Verantwortlichen. Bei gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) legen zwei oder mehr Verantwortliche gemeinsam Zwecke und Mittel der Verarbeitung fest. Die Abgrenzung ist entscheidend: Bei gemeinsamer Verantwortlichkeit ist statt eines AVV eine Vereinbarung nach Art. 26 DSGVO erforderlich, die Zuständigkeiten und Anlaufstellen für Betroffene regelt.