Rechtsfrage

Auftragsverarbeitungsverträge prüfen

Ob eine Auftragsverarbeitung vorliegt, entscheidet sich an den Zwecken und Mitteln und nicht am Vertragstyp. Der Europäische Gerichtshof hat das für die gemeinsame Verantwortlichkeit ausdrücklich festgehalten. Ein Vertrag nach Art. 28 DSGVO über eine Verarbeitung, die keine Auftragsverarbeitung ist, ordnet nichts und schützt niemanden.

Der Vertrag des Anbieters liegt vor

Der Anbieter legt seinen Auftragsverarbeitungsvertrag vor, elf Seiten, mit einer Anlage zu den technischen und organisatorischen Maßnahmen. Unterschrieben werden soll er bis Freitag. Ob der Anbieter überhaupt weisungsgebunden verarbeitet, steht in keiner der elf Seiten.

Die Rolle folgt der Sache und nicht dem Vertrag

Ob überhaupt eine Auftragsverarbeitung vorliegt, entscheidet sich vor der Frage nach dem Vertragsinhalt. Nach Art. 4 Nr. 7 DSGVO ist verantwortlich, wer über die Zwecke und Mittel der Verarbeitung entscheidet. Der Europäische Gerichtshof hat am 05.12.2023 für die gemeinsame Verantwortlichkeit entschieden, dass die Einstufung keine Vereinbarung voraussetzt. Sie ergibt sich vielmehr allein daraus, dass mehrere Stellen an dieser Entscheidung mitgewirkt haben.

Drei Rollen, aus denen der Vertrag folgt

Merkmal	Eigene Verantwortlichkeit	Gemeinsame Verantwortlichkeit	Auftragsverarbeitung
Wer über Zweck und Mittel entscheidet	Jede Stelle für sich	Beide gemeinsamAuch durch sich ergänzende Einzelentscheidungen.	Allein der Auftraggeber
Eigener Zweck der Gegenseite	JaEtwa eine Steuerberatung, die eigenen Berufspflichten unterliegt.	Ein gemeinsamer ZweckEtwa eine Reichweitenmessung, die beiden Seiten dient.	NeinVerarbeitung ausschließlich auf Weisung, Art. 29 DSGVO.
Was zu schließen ist	Kein DatenschutzvertragAllenfalls eine Übermittlungsgrundlage nach Art. 6 DSGVO.	Vereinbarung nach Art. 26 DSGVO	Vertrag nach Art. 28 DSGVO
Wer die Betroffenenrechte erfüllt	Jede Stelle selbst	Nach der VereinbarungDie betroffene Person kann sich gleichwohl an jede wenden.	Der AuftraggeberUnterstützt vom Auftragsverarbeiter, Art. 28 Abs. 3 Buchst. e DSGVO.

Ein Vertrag nach Art. 28 DSGVO über eine Verarbeitung, die keine Auftragsverarbeitung ist, ordnet nichts. Er hindert die Aufsichtsbehörde nicht an der zutreffenden Einstufung und liefert der Gegenseite keine Rechtsgrundlage für ihre eigenen Zwecke.

Der Katalog des Absatzes 3 ist die Mindestausstattung

Was im Vertrag stehen muss, zählt Art. 28 Abs. 3 DSGVO auf. Vorangestellt sind Gegenstand und Dauer, Art und Zweck, die Art der Daten und die Kategorien betroffener Personen. Danach folgen acht Pflichten des Auftragsverarbeiters.

Die acht Pflichten, nach ihrer Wirkung im eigenen Betrieb geordnet

Weisungsbindung und Vertraulichkeit

Buchstaben a und b. Die Weisung ist zu dokumentieren, auch für eine Übermittlung in ein Drittland. Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er eine Weisung für rechtswidrig hält.

Sicherheit und Unterauftragsverarbeiter

Buchstaben c und d. Die Maßnahmen nach Art. 32 DSGVO und die Bedingungen für weitere Auftragsverarbeiter. Beide Punkte sind der Ort, an dem ein Vertrag inhaltlich etwas leistet oder nicht.

Unterstützung bei Rechten und Pflichten

Buchstaben e und f. Unterstützung bei Anträgen betroffener Personen und bei den Pflichten aus Art. 32 bis 36 DSGVO. Diese beiden Zusagen entscheiden darüber, ob eine Auskunft oder eine Meldung innerhalb ihrer Frist möglich ist.

Ende der Leistung und Nachweis

Buchstaben g und h. Löschung oder Rückgabe nach Wahl des Verantwortlichen und die Bereitstellung aller Informationen zum Nachweis, einschließlich der Ermöglichung von Überprüfungen. Die Wahl steht dem Verantwortlichen zu. Eine Klausel, die sie dem Anbieter überlässt, weicht vom Wortlaut ab.

Die Kette endet nicht beim ersten Auftragsverarbeiter

Die Kette endet selten beim ersten Auftragsverarbeiter. Gerade größere Dienstleister setzen weitere Auftragsverarbeiter ein. Zwar kann die Zustimmung zu deren Einsatz allgemein erteilt werden, Art. 28 Abs. 2 DSGVO verlangt dann jedoch eine Information über jede beabsichtigte Änderung, damit der Verantwortliche ggf. widersprechen kann.

Verletzt ein Unterauftragsverarbeiter seine Pflichten, haftet nach Art. 28 Abs. 4 Satz 2 DSGVO zunächst der beauftragte Auftragsverarbeiter gegenüber dem Verantwortlichen. Gegenüber der betroffenen Person greift Art. 82 DSGVO, der die Haftung des Auftragsverarbeiters auf Verstöße gegen eigene Pflichten oder gegen Weisungen beschränkt.

Eine Anlage aus Schlagworten weist nichts nach

Was die Anlage zu den Maßnahmen leisten muss, ergibt sich aus zwei Vorschriften zugleich. Art. 28 Abs. 1 DSGVO erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichende Garantien bieten. Art. 32 Abs. 1 DSGVO nennt vier Anforderungen, an denen sich eine Anlage messen lässt.

Vier Fragen an eine TOM-Anlage

Nennt sie Pseudonymisierung und Verschlüsselung, für welche Daten und in welchem Zustand
Beschreibt sie Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit auf Dauer, oder nur den Ist-Zustand
Sagt sie etwas über die rasche Wiederherstellbarkeit nach einem Zwischenfall
Benennt sie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit, das nach Art. 32 Abs. 1 Buchst. d DSGVO verlangt ist

Eine Zertifizierung ersetzt diese Prüfung nicht. Art. 28 Abs. 5 DSGVO nennt genehmigte Verhaltensregeln und Zertifizierungsverfahren als Faktor, um hinreichende Garantien nachzuweisen. Ein Faktor ist kein Nachweis.

So unterstützen wir Sie bei der Prüfung Ihrer Auftragsverarbeitungsverträge

Der Bestand an Verträgen lässt sich aus dem Verzeichnis der Verarbeitungstätigkeiten ableiten, weil dort die Empfängerkategorien stehen. Geprüft wird in zwei Durchgängen, zuerst die Rolle und danach der Inhalt. Ist die datenschutzrechtliche Rolle falsch bestimmt, baut der gesamte Vertrag auf einer unzutreffenden Grundlage auf und ist somit fehlerhaft.

Die Verhandlung des Vertrags selbst liegt außerhalb des Datenschutzrechts. Haftungsbegrenzung, Vertragsstrafe, Kündigungsrechte und die Kontrolle vorformulierter Klauseln nach §§ 305 ff. BGB laufen über die angegliederte Kanzlei.

Häufige Fragen

Woran ist eine Auftragsverarbeitung zu erkennen?

Daran, dass die Gegenseite weisungsgebunden und ohne eigenen Zweck verarbeitet, Art. 4 Nr. 8 und Art. 29 DSGVO. Wer über Zwecke und Mittel mitentscheidet, ist gemeinsam Verantwortlicher. Wer eigene Zwecke verfolgt, ist eigenständig verantwortlich. Der Vertragstyp folgt daraus und nicht umgekehrt.

Muss jeder Unterauftragsverarbeiter genehmigt werden?

Art. 28 Abs. 2 DSGVO lässt eine allgemeine schriftliche Genehmigung zu. Dann muss der Auftragsverarbeiter aber über jede beabsichtigte Änderung informieren, sodass ein Einspruch möglich bleibt. Eine Klausel, die auf eine Liste im Internet verweist, ohne eine Mitteilung vorzusehen, erfüllt das nicht.

Was passiert bei einem Verstoß des Unterauftragsverarbeiters?

Nach Art. 28 Abs. 4 Satz 2 DSGVO haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten von weiteren (Unter-)Auftragsverarbeitern. Gegenüber der betroffenen Person greift daneben Art. 82 DSGVO mit einer eigenen Haftungsverteilung.

Genügt eine Zertifizierung des Anbieters?

Sie ist ein Faktor und kein Nachweis. Art. 28 Abs. 5 DSGVO nennt genehmigte Verhaltensregeln und Zertifizierungsverfahren ausdrücklich als Faktor, um hinreichende Garantien nachzuweisen. Welche Verarbeitung der Prüfbereich einer Zertifizierung erfasst, ist gesondert zu klären.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.