Sobald ein Dienstleister personenbezogene Daten für dich verarbeitet, ohne selbst darüber zu entscheiden, wozu und mit welchen Mitteln das geschieht, ist er dein Auftragsverarbeiter. Die Datenschutz-Grundverordnung verlangt dann einen Vertrag über die Auftragsverarbeitung, meist AVV genannt. Fehlt er, ist das ein Versäumnis auf deiner Seite, nicht auf seiner. Du bleibst der Verantwortliche, auch wenn die Daten längst auf einem fremden Server liegen.
Woran du eine Auftragsverarbeitung erkennst
Das Kennzeichen ist die Weisungsbindung. Der Dienstleister verarbeitet die Daten ausschließlich für deine Zwecke und nur so, wie du es vorgibst. Er wertet sie nicht für eigene Zwecke aus, reichert sie nicht an und gibt sie nicht weiter. Ob er die Daten technisch überhaupt ansieht, spielt keine Rolle. Auch der Wartungstechniker, der sich zur Fehlersuche auf deine Kasse aufschaltet, kann dabei auf Kundendaten stoßen.
Das Gegenstück dazu: Wer aufgrund eigener gesetzlicher Pflichten handelt, ist nicht weisungsgebunden und damit kein Auftragsverarbeiter, sondern selbst verantwortlich. Das trifft typischerweise auf Banken zu, auf Berufsgeheimnisträger wie die Steuerberatung und auf die Abwicklung von Kartenzahlungen. Dort hilft dir kein AVV weiter. Dort gehört ein sauberer Absatz in die Datenschutzerklärung, der beschreibt, welche Daten an wen fließen und warum.
Die Dienstleister, die fast jeder Betrieb hat
Die Liste wird länger, als die meisten vermuten. Typische Fälle in einem kleinen Betrieb sind:
- Webhosting und die Agentur, die deine Website betreut
- der Versand von Newslettern und Terminerinnerungen
- Onlineterminbuchung und Tischreservierung
- Cloudspeicher, in dem Angebote und Kundenlisten liegen
- Software für Warenwirtschaft, Zeiterfassung und Kundenverwaltung
- externe Lohnabrechnung, soweit sie nicht durch die Steuerkanzlei erfolgt
- Fernwartung an Kasse, Terminal, Telefonanlage oder Videoanlage
- Aktenvernichtung und Entsorgung von Datenträgern
Die verlässlichste Methode, nichts zu übersehen: Geh dein Verzeichnis von Verarbeitungstätigkeiten Zeile für Zeile durch und frage bei jeder, wer außer dir Zugriff hat. Wenn dir das Verzeichnis fehlt, fehlt dir auch die Übersicht über die AVV.
Was im Vertrag stehen muss
Ein AVV ist kein Formsatz, sondern eine Beschreibung deines konkreten Falls. Diese Punkte gehören hinein:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- die Arten von Daten und die Kategorien betroffener Personen
- die Bindung an deine Weisungen und die Vertraulichkeit der eingesetzten Personen
- die technischen und organisatorischen Maßnahmen, meist als eigene Anlage
- die Bedingungen für Unterauftragnehmer
- die Unterstützung bei Auskunfts- und Löschbegehren sowie bei Datenpannen
- Löschung oder Rückgabe der Daten am Ende des Vertrags
- dein Recht, die Einhaltung nachzuweisen und zu kontrollieren
Die Stolperstelle: unterschrieben ist nicht geprüft
Die meisten Anbieter halten einen AVV zum Abruf bereit, oft als Häkchen im Kundenkonto. Damit ist die Formalie erledigt, deine Pflicht aber noch nicht. Du darfst nur Dienstleister einsetzen, die ausreichende Garantien bieten, und genau dafür gibt es die Anlage mit den technischen und organisatorischen Maßnahmen. Sie ist der einzige Teil des Vertrags, der etwas über die tatsächliche Sicherheit aussagt, und der Teil, den fast niemand liest.
Zwei weitere Punkte werden regelmäßig übersehen. Erstens die Liste der Unterauftragnehmer: Fast jeder Softwareanbieter hängt selbst an einem Rechenzentrum, einem Mailversender und einem Supportdienstleister. Ändert sich diese Liste, hast du in der Regel ein Widerspruchsrecht, das nur nützt, wenn du die Ankündigungen auch liest. Zweitens der Ort der Verarbeitung: Sitzt ein Beteiligter außerhalb der Europäischen Union, braucht es eine zusätzliche Grundlage für die Übermittlung. Der AVV allein deckt das nicht ab.
Und am Ende steht die unbequemste Frage: Was passiert mit deinen Daten, wenn du kündigst. Ein Vertrag, der die Löschung nur allgemein erwähnt, hilft dir nicht. Halte fest, in welcher Form du deine Daten zurückbekommst und bis wann die Kopien verschwinden.
Wo wir aufhören
Ob ein bestimmter Dienstleister in deinem Fall Auftragsverarbeiter ist oder eigenverantwortlich handelt, ist eine rechtliche Bewertung, und sie fällt nicht immer eindeutig aus. Für die Prüfung deiner Verträge und für die Formulierung eigener Klauseln ist deine Rechtsberatung zuständig, für die steuerlichen Aufbewahrungsfragen deine Steuerberatung. Dieser Beitrag ordnet ein, er ersetzt keine Prüfung deines Einzelfalls.
