Modul 9 · 9.2
Deutsch
Der Auftragsverarbeitungsvertrag und Unterauftragsverarbeiter
Modul 9: Menschen und Regeln · Lesezeit: 11 Minuten
Lernziel: Nach dieser Lektion können Sie einen Auftragsverarbeitungsvertrag lesen und auf die von der DSGVO geforderten Punkte prüfen sowie eine Liste von Unterauftragsverarbeitern beurteilen.
Kernbegriffe: Auftragsverarbeitungsvertrag (AVV, DPA), Art. 28 Abs. 3 DSGVO, schriftliche Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, allgemeine oder spezifische Genehmigung, Widerspruchsrecht, Unterstützung, Rückgabe oder Löschung, Audit, Übermittlung außerhalb des EWR, Meldefrist bei Datenpannen, Standardvertragsklauseln für Auftragsverarbeiter
Warum ein Auftragsverarbeitungsvertrag?
In Lektion 1.2 haben Sie die Rollen kennengelernt: Bakkerij De Korrel ist Verantwortlicher, der Cloud-Dienst ist Auftragsverarbeiter. Artikel 28 Absatz 3 der DSGVO verlangt, dass die Verarbeitung durch einen Auftragsverarbeiter in einem Vertrag (oder einem anderen Rechtsinstrument) geregelt wird, der schriftlich niedergelegt ist. Auch elektronisch ist zulässig. Das ist der Auftragsverarbeitungsvertrag, abgekürzt AVV; auf Englisch Data Processing Agreement (DPA) oder Data Processing Addendum.
Bei großen Cloud-Diensten unterschreiben Sie nicht selbst ein Dokument: Der AVV ist Teil der Bedingungen, denen Sie zustimmen, oder Sie setzen ein Häkchen im Verwaltungsbereich. Bei kleineren Anbietern laden Sie manchmal ein Dokument herunter, tragen Ihre Daten ein und unterschreiben es. So oder so: Als Verantwortlicher müssen Sie nachweisen können, dass ein AVV besteht und was darin steht.
Dies ist eine Erläuterung, keine Rechtsberatung. Bei Zweifeln an Ihren eigenen Verträgen fragen Sie einen Juristen oder Ihren Datenschutzbeauftragten.
Was laut DSGVO enthalten sein muss
Artikel 28 Absatz 3 nennt zunächst die Themen, die der Vertrag beschreiben muss: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen. Danach folgen acht Pflichten des Auftragsverarbeiters (lit. a bis h). Nachfolgend in einfacher Sprache, mit der Frage, die Sie sich beim Lesen stellen:
| Art. 28 Abs. 3 | Was der Auftragsverarbeiter tun muss | Ihre Kontrollfrage |
|---|---|---|
| a | Nur auf Ihre schriftliche Weisung verarbeiten, auch bezüglich der Übermittlung außerhalb des EWR | Steht darin, dass der Anbieter die Daten nicht für eigene Zwecke nutzt? |
| b | Dafür sorgen, dass Mitarbeiter zur Vertraulichkeit verpflichtet sind | Gibt es eine Vertraulichkeitspflicht für das Personal? |
| c | Geeignete Sicherheitsmaßnahmen ergreifen (Art. 32) | Sind die Maßnahmen darin aufgeführt, oder gibt es einen Verweis auf ein aktuelles Dokument? |
| d | Unterauftragsverarbeiter nur mit Ihrer Genehmigung, und mit denselben Pflichten | Gibt es eine Liste, und dürfen Sie widersprechen? |
| e | Bei Anfragen betroffener Personen helfen (Auskunft, Löschung) | Kann der Anbieter die Daten einer einzelnen Person finden und löschen? |
| f | Bei Sicherheit, Datenpannen und DSFA helfen (Art. 32 bis 36) | Wie schnell meldet der Anbieter eine Datenpanne? |
| g | Nach Vertragsende alle Daten zurückgeben oder löschen, nach Ihrer Wahl | Wie lange nach der Kündigung können Sie Ihre Daten abholen, und wann werden sie gelöscht? |
| h | Informationen bereitstellen und Audits ermöglichen | Gibt es Auditberichte oder Zertifikate, und dürfen Sie ein Audit durchführen lassen? |
Die Europäische Kommission hat auch Standardvertragsklauseln für Auftragsverarbeiter veröffentlicht (Durchführungsbeschluss (EU) 2021/915). Diese dürfen Sie als AVV verwenden; sie enthalten alle Pflichtpunkte. Viele kleinere Anbieter verwenden ein eigenes Muster, in den Niederlanden oft auf Grundlage des Musters von Branchenverbänden.
Unterauftragsverarbeiter: Wer steckt hinter Ihrem Anbieter?
Ihr Cloud-Dienst erledigt nicht alles selbst. Ein Unterauftragsverarbeiter ist eine Partei, die der Auftragsverarbeiter hinzuzieht und die auf Ihre Daten zugreifen kann, zum Beispiel:
- das Rechenzentrum (falls es nicht dem Anbieter selbst gehört);
- ein Anbieter von Backup-Speicher;
- ein Unternehmen, das die Mail auf Spam oder Viren filtert;
- ein Support-Dienstleister oder ein Entwickler, der aus der Ferne mitschaut;
- ein KI-Dienst, wenn der Anbieter eine KI-Funktion anbietet.
Artikel 28 Absatz 2 besagt: Ein Auftragsverarbeiter zieht keinen Unterauftragsverarbeiter hinzu ohne vorherige spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen. Bei allgemeiner Genehmigung muss der Auftragsverarbeiter Sie über neue oder ersetzte Unterauftragsverarbeiter informieren, damit Sie widersprechen können. In der Praxis läuft das so ab: Der Anbieter veröffentlicht eine Liste, meldet Änderungen (per E-Mail oder auf einer Seite, die Sie beobachten können), und Sie haben eine Frist, um Widerspruch einzulegen. Widersprechen Sie und kommt keine Lösung zustande, können Sie häufig kündigen.
Nach Absatz 4 muss der Unterauftragsverarbeiter dieselben Pflichten erhalten, und der Auftragsverarbeiter bleibt Ihnen gegenüber vollständig haftbar.
Worauf Sie bei einem Umstieg auf einen europäischen Dienst besonders achten
Beim Umstieg auf einen europäischen Dienst achten Sie in der Liste der Unterauftragsverarbeiter vor allem auf zwei Dinge:
- Wo befinden sich die Unterauftragsverarbeiter? Ein europäischer Anbieter, der seine Mail von einem amerikanischen Dienst filtern lässt oder seine Backups bei einer amerikanischen Cloud ablegt, bringt Ihre Daten dennoch unter den CLOUD Act (Lektion 1.3). Prüfen Sie Land und Muttergesellschaft jedes einzelnen Unterauftragsverarbeiters.
- Was tun sie? Eine Domain-Registry, die nur Ihren Namen und Ihre Adresse als Domaininhaber kennt, ist etwas anderes als eine Partei, die Ihre Postfächer speichert.
Lesen Sie auch den Artikel über Übermittlung. Ein guter europäischer AVV besagt, dass Daten innerhalb der EU oder des EWR verarbeitet werden und dass eine Übermittlung darüber hinaus nur mit Ihrer vorherigen Genehmigung erfolgen darf. Steht dort "wir dürfen Daten weltweit mit geeigneten Garantien verarbeiten", wissen Sie, dass eine Übermittlung möglich ist.
Signale, auf die Sie achten sollten
- Kein AVV verfügbar bei einem Dienst für den geschäftlichen Gebrauch: keine gute Wahl.
- Eine veraltete Liste von Unterauftragsverarbeitern, die nicht mit dem übereinstimmt, was der Anbieter andernorts mitteilt (zum Beispiel ein anderes Rechenzentrum): Fragen Sie nach einer Klärung.
- Eine Meldefrist für Datenpannen, die so lang ist, dass Sie Ihre eigene Frist von 72 Stunden (Art. 33) nicht mehr einhalten können. Viele AVV nennen 24 oder 48 Stunden.
- Haftung, die vollständig ausgeschlossen ist. Das ist bis zu einem gewissen Grad üblich, sagt aber etwas darüber aus, wie sicher sich der Anbieter seiner selbst ist.
- Keine Regelung für das Vertragsende: Was geschieht mit Ihren Daten nach der Kündigung, und erhalten Sie eine Bestätigung der Löschung?
Wer unterschreibt, und wo bewahren Sie ihn auf?
Bei De Korrel unterschreibt Sanne als Inhaberin. Sie bewahrt den AVV beim Verzeichnis von Verarbeitungstätigkeiten auf (Lektion 9.3), mit Datum und Version. Ändert der Anbieter den AVV oder die Unterauftragsverarbeiter, bewahrt sie auch diese Mitteilung auf. Bei einer Kontrolle der Aufsichtsbehörde oder bei einer Frage eines Kunden ("Wie gehen Sie mit meinen Daten um?") kann sie es so vorzeigen.
In der Praxis: So sieht es bei einem Anbieter aus
WebOké hat einen standardmäßigen Auftragsverarbeitungsvertrag mit einer Anlage mit eingeschalteten Dritten, in der festgehalten ist, dass die Verarbeitung innerhalb der EU erfolgt und eine Übermittlung darüber hinaus nur mit schriftlicher Genehmigung zulässig ist. In den häufig gestellten Fragen der Nextcloud-Anleitung steht, wann Sie ihn benötigen. Bei anderen Anbietern heißt das Dokument oft "Data Processing Agreement", und die Liste der Unterauftragsverarbeiter steht auf einer eigenen Seite ("Subprocessors"). Vergleichen Sie diese Liste mit dem, was der Anbieter auf seiner Website über Rechenzentren und Support angibt.
Zusammenfassung
- Artikel 28 Absatz 3 DSGVO verlangt einen schriftlichen Auftragsverarbeitungsvertrag mit festgelegten Themen und acht Pflichten des Auftragsverarbeiters.
- Prüfen Sie vor allem: keine eigenen Zwecke, Sicherheit, Unterauftragsverarbeiter, Hilfe bei Datenpannen, Rückgabe oder Löschung nach Vertragsende, und Audits.
- Unterauftragsverarbeiter nur mit Ihrer Genehmigung; bei allgemeiner Genehmigung müssen Sie über Änderungen informiert werden und widersprechen können.
- Beim Umstieg auf einen europäischen Dienst prüfen Sie in der Liste der Unterauftragsverarbeiter Land und Muttergesellschaft jeder Partei.
- Bewahren Sie den AVV und Änderungsmitteilungen bei Ihrem Verzeichnis von Verarbeitungstätigkeiten auf.
Quiz
Aufgabe
Aufgabe E9.2: Prüfen Sie einen Auftragsverarbeitungsvertrag. Nehmen Sie den Auftragsverarbeitungsvertrag Ihres aktuellen oder neuen Cloud-Dienstes. Gehen Sie die acht Punkte a bis h durch und notieren Sie je Punkt: Steht es darin (ja, nein, unklar) und wo. Beurteilen Sie die Liste der Unterauftragsverarbeiter: Notieren Sie je Unterauftragsverarbeiter Land, Muttergesellschaft und was er tut.
Aufgabe E9.2: Prüfen Sie einen Auftragsverarbeitungsvertrag
Nehmen Sie den Auftragsverarbeitungsvertrag (AVV) Ihres aktuellen oder neuen Anbieters und gehen Sie die Punkte aus der Lektion durch.
Eine Meldefrist von mehr als 72 Stunden erschwert es Ihnen, Ihre eigene Meldepflicht (Art. 33 DSGVO) einzuhalten.
Ein Cloud-Dienst ganz ohne Unterauftragsverarbeiter ist selten: Fordern Sie die Liste an, wenn sie nicht beiliegt.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- Nextcloud-Anleitung 15.13: Häufig gestellte Fragen zu Sicherheit und Datenschutz
- Nextcloud-Anleitung 14.8: KI-Assistent in Ihrer Nextcloud
- Verordnung (EU) 2016/679 (DSGVO), Artikel 28, auf EUR-Lex
- Durchführungsbeschluss (EU) 2021/915 (Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern), auf EUR-Lex
- Niederländische Datenschutz-Aufsichtsbehörde (Autoriteit Persoonsgegevens), Thema "Verwerkersovereenkomst": https://www.autoriteitpersoonsgegevens.nl. Hinweis: Dies betrifft die niederländische Aufsichtsbehörde; für Ihre Situation ist die Datenschutz-Aufsichtsbehörde Ihres Bundeslandes zuständig.