Muster-Auftragsverarbeitungs-Vertrag für das Gesundheitswesen
Author: Gemeinsame Arbeitsgruppe Auftragsdatenverarbeitung im Gesundheitswesen
Date: 2018-09-14T11:48:04+00:00
Keywords: Datenschutz; Auftragsverarbeitung; EU DS-GVO
Description: Vertrag zur Umsetzung der datenschutzrechtlichen Anforderungen bei der Auftragsverarbeitung

Muster-Auftragsverarbeitungs-Vertrag
für das Gesundheitswesen

Eine Zusammenarbeit von

Berufsverband der Datenschutzbeauftragten Deutschlands e. V.

Arbeitskreis „Medizin“

Bundesverband Gesundheits-IT e. V.

Deutsche Gesellschaft für Medizinische Informatik, Biometrie und

Epidemiologie e. V.

Arbeitskreis „Datenschutz und IT-Sicherheit im Gesundheitswesen“

Deutsche Krankenhausgesellschaft e. V.

Gesellschaft für Datenschutz und Datensicherheit e. V.

Arbeitskreis „Datenschutz und Datensicherheit im Gesundheits-
und Sozialwesen“

Version 2.1

Seite 1 von 111

Stand: 14.09.2018

Version 2.1

Stand der Bearbeitung: 14. 09.2018

Autoren (alphabetisch)

Ina Haag

Deutsche Krankenhausgesel schaft e.V.

Andrea Hauser

Deutsche Krankenhausgesel schaft e.V.

Christoph Isele

Cerner Deutschland GmbH

Pierre Kaufmann

David Koeppe

Vivantes - Netzwerk für Gesundheit GmbH

Christoph

Nuance Communications, Inc.

Nahrstedt

Jan Neuhaus

Deutsche Krankenhausgesel schaft e.V.

Bernd Schütze

Deutsche Telekom Healthcare and Security GmbH

Gerald Spyra

Ratajczak und Partner mbB Rechtsanwälte

Barbara Stöferle
dsm-s GmbH

Version 2.0

Stand der Bearbeitung: 14. 06.2017

Autoren (alphabetisch)

Ina Haag

Deutsche Krankenhausgesel schaft e.V.

Andrea Hauser

Deutsche Krankenhausgesel schaft e.V.

Christoph Isele

Cerner Deutschland GmbH

Pierre Kaufmann

AGFA Healthcare GmbH

David Koeppe

Vivantes - Netzwerk für Gesundheit GmbH

Lukas Mempel

Sana Kliniken AG

Christoph Nahrstedt

Nuance Communications, Inc.

Jan Neuhaus

Deutsche Krankenhausgesel schaft e.V.

Nikolaus Schrenk

Kliniken des Bezirks Oberbayern

Bernd Schütze

Deutsche Telekom Healthcare and Security GmbH

Gerald Spyra

Kanzlei Spyra

Barbara Stöferle
dsm-s GmbH

Version 2.1

Seite 2 von 111

Stand: 14.09.2018

Haftungsausschluss

Das vorliegende Werk ist nach bestem Wissen erstellt, der Inhalt wurde von den Autoren mit
größter Sorgfalt zusammengestellt. Dennoch ist diese Ausarbeitung nur als Standpunkt der

Autoren aufzufassen, eine Haftung für die Angaben übernehmen die Autoren nicht. Die in
diesem Werk gegebenen Hinweise dürfen daher nicht direkt übernommen werden, sondern
müssen vom Leser für die jeweilige Situation anhand der geltenden Vorschriften geprüft und
angepasst werden.

Die Autoren sind bestrebt, in allen Publikationen die Urheberrechte der verwendeten Texte
zu beachten, von ihnen selbst erstellte Texte zu nutzen oder auf lizenzfreie Texte
zurückzugreifen.

Alle innerhalb dieses Dokumentes genannten und ggf. durch Dritte geschützten Marken- und

Warenzeichen unterliegen uneingeschränkt den Bestimmungen des jeweils gültigen

Kennzeichenrechts und den Besitzrechten der jeweiligen eingetragenen Eigentümer. Allein
aufgrund der bloßen Nennung ist nicht der Schluss zu ziehen, dass Markenzeichen nicht
durch Rechte Dritter geschützt sind!

Copyright

Für in diesem Dokument veröffentlichte, von den Autoren selbst erstellte Objekte gilt
hinsichtlich des Copyrights die folgende Regelung:

Dieses Werk ist unter einer Creative Commons-Lizenz (4.0 Deutschland

Lizenzvertrag) lizenziert. D. h. Sie dürfen:

− Teilen: Das Material in jedwedem Format oder Medium vervielfältigen und
weiterverbreiten

− Bearbeiten: Das Material remixen, verändern und darauf aufbauen
und zwar für beliebige Zwecke, sogar kommerziell. Der Lizenzgeber kann diese Freiheiten
nicht widerrufen, solange Sie sich an die Lizenzbedingungen halten.

Die Nutzung ist unter den folgenden Bedingungen möglich:

− Namensnennung: Sie müssen angemessene Urheber- und Rechteangaben machen,
einen Link zur Lizenz beifügen und angeben, ob Änderungen vorgenommen wurden.

Diese Angaben dürfen in jeder angemessenen Art und Weise gemacht werden,
allerdings nicht so, dass der Eindruck entsteht, der Lizenzgeber unterstütze gerade

Sie oder Ihre Nutzung besonders.

− Weitergabe unter gleichen Bedingungen: Wenn Sie das Material remixen, verändern
oder anderweitig direkt darauf aufbauen, dürfen Sie Ihre Beiträge nur unter derselben

Lizenz wie das Original verbreiten.

− Keine weiteren Einschränkungen: Sie dürfen keine zusätzlichen Klauseln oder
technische Verfahren einsetzen, die anderen rechtlich irgendetwas untersagen, was
die Lizenz erlaubt.

Im Weiteren gilt:

− Jede der vorgenannten Bedingungen kann aufgehoben werden, sofern Sie die

Einwilligung des Rechteinhabers dazu erhalten.

− Diese Lizenz lässt die Urheberpersönlichkeitsrechte unberührt.

Um sich die Lizenz anzusehen, gehen Sie bitte ins Internet auf die Webseite:

https://creativecommons.org/licenses/by-sa/4.0/deed.de
bzw. für den vollständigen Lizenztext
https://creativecommons.org/licenses/by-sa/4.0/legalcode

Version 2.1

Seite 3 von 111

Stand: 14.09.2018

Inhaltsverzeichnis

Vorwort zur Aktualisierung der zweiten Auflage................................................................ 8

Vorwort zur zweiten Auflage ............................................................................................. 8

Einführung zum Thema Auftragsverarbeitung ................................................................. 11

1

Allgemeines ................................................................................................................... 11

1.1 Privilegierte Form ............................................................................................................................... 11

1.2 Typische Merkmale einer AV ............................................................................................................. 11

1.3 Typische Beispiele einer AV ............................................................................................................... 12

2

Einordnung des AV-Vertrages in Gesamtregelwerke ........................................................ 13

2.1 Mögliche Vertragsgestaltungen ......................................................................................................... 13

2.2 Inhaltliche Anforderungen an einen AV-Vertrag ............................................................................... 14

3

Abgrenzung der Thematik ............................................................................................... 15

4

Spezielle Fragestellungen ............................................................................................... 16

4.1 Wartung / Fernwartung ..................................................................................................................... 16

4.2 Sozialdatenschutz............................................................................................................................... 16

4.3 Forschung ........................................................................................................................................... 17

4.4 Anonymisierung ................................................................................................................................. 17

4.5 Schweigepflicht und Datenschutz ...................................................................................................... 17

4.5.1 Inhalt der Änderungen bei der Schweigepflicht § 203 StGB .................................................... 18

4.5.2 Wer sind Berufsgeheimnisträger? ............................................................................................ 19

4.5.3 Mitwirkende Personen im Sinne des § 203 StGB ..................................................................... 20

4.5.4 Offenbarungsbefugnis ist an Bedingungen der Verpflichtung geknüpft .................................. 21

4.5.5 Datenschutzrechtliche Verpflichtung nach Art. 28 Abs. 3b DS-GVO ........................................ 22

4.5.6 Muster-Verpflichtungserklärungen .......................................................................................... 22

5

Vorbedingungen für einen AV-Auftrag ............................................................................ 23

5.1 Auswahl des Auftragsverarbeiters/Auftragnehmers ......................................................................... 23

5.2 Erlaubnistatbestände zur Auftragsverarbeitung (Landesebene) ....................................................... 23

5.3 Hinweis für Stellen, die dem Sozialgeheimnis unterliegen ................................................................ 25

5.4 Literatur ............................................................................................................................................. 25

6

Abkürzungsverzeichnis ................................................................................................... 26

Kommentierter Muster-AV-Vertrag ................................................................................. 28

Präambel ............................................................................................................................... 28

Kommentierung Präambel .......................................................................................................................... 29

Literatur ....................................................................................................................................................... 29

§ 1 Definitionen ...................................................................................................................... 30

Kommentierung § 1 ..................................................................................................................................... 31

Literatur ....................................................................................................................................................... 31

§ 2 Gegenstand des Auftrags .................................................................................................. 32

Opt. § 2.1 Leistungen des Auftragnehmers ................................................................................................. 34

Kommentierung § 2 ..................................................................................................................................... 35

Konkretisierung des Auftrags ............................................................................................................. 35

Literatur ....................................................................................................................................................... 35

§ 3 Verantwortlichkeit ............................................................................................................ 37

Kommentierung § 3 ..................................................................................................................................... 38

Verpflichtung Art. 28 DS-GVO ........................................................................................................... 38

Literatur ....................................................................................................................................................... 38

Version 2.1

Seite 4 von 111

Stand: 14.09.2018

§ 4 Dauer des Auftrags ........................................................................................................... 40

Kommentierung § 4 ..................................................................................................................................... 41

Literatur ....................................................................................................................................................... 41

§ 5 Weisungsbefugnis des Auftraggebers ................................................................................ 42

Kommentierung § 5 ..................................................................................................................................... 44

Nachträgliche Änderung der vertraglich vereinbarten Leistungen durch den Auftraggeber ..... 44

Literatur ....................................................................................................................................................... 45

§ 6 Leistungsort ...................................................................................................................... 46

Kommentierung § 6 ..................................................................................................................................... 48

Verarbeitung innerhalb der EU........................................................................................................... 48

Auftragsverarbeitung außerhalb der EU / des EWR ....................................................................... 48

Standardvertragsklauseln der Kommission („EU-Standardvertrag“) ............................................ 49

Auftragsverarbeitung in den USA ...................................................................................................... 50

Literatur ....................................................................................................................................................... 51

§ 7 Pflichten des Auftragnehmers ........................................................................................... 52

Kommentierung § 7 ..................................................................................................................................... 55

Datenschutz-Folgenabschätzung ...................................................................................................... 55

Technisch-organisatorische Maßnahmen ........................................................................................ 55

Datenschutzbeauftragter ..................................................................................................................... 56

Mitteilung bei Verstößen ..................................................................................................................... 57

Hinweis bei Zweifel an der Rechtmäßigkeit einer Beauftragung .................................................. 57

Verpflichtung des vom Auftragnehmer eingesetzten Personals ................................................... 57

Ersuchen eines Betroffenen auf Berichtigung und Löschung von Daten .................................... 58

Gesetzliche Offenbarungspflicht ........................................................................................................ 58

Umgang mit Pfändung ......................................................................................................................... 58

Beschlagnahmeschutz ........................................................................................................................ 59

Datenschutzverstöße beim Auftragnehmer ...................................................................................... 59

Auskunft durch den Auftraggeber ...................................................................................................... 59

Zweitnutzung der Daten durch den Auftragnehmer ........................................................................ 59

Zuständige Aufsichtsbehörde ............................................................................................................. 60

Literatur ....................................................................................................................................................... 60

§ 7.1 Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB .............................. 61

Kommentierung § 7.1 .................................................................................................................................. 63

Zielrichtung der Vertragsklauseln ...................................................................................................... 63

Vorgaben aus gesetzlichen Berufsvorschriften ............................................................................... 63

Verarbeitung im Ausland ..................................................................................................................... 64

Umsetzung der Verpflichtung nach § 203 StGB im AV-Vertrag .................................................... 64

Erfüllung des Tatbestandsmerkmals „dafür Sorge tragen“ ............................................................ 65

Literatur ....................................................................................................................................................... 65

Opt. § 8 Fernzugriff bei Prüfung/Wartung eines Systems oder anderen Dienstleistungen über

Fernzugriffe ............................................................................................................................ 66

Kommentierung § 8 ..................................................................................................................................... 68

Fernwartung/Fernservice .................................................................................................................... 68

Verfügungsgewalt der Krankenhäuser.............................................................................................. 68

Protokollierung ...................................................................................................................................... 68

Angemessene Identifizierungs- und Verschlüsselungsverfahren ................................................. 69

Literatur ....................................................................................................................................................... 69

Version 2.1

Seite 5 von 111

Stand: 14.09.2018

§ 9 Pflichten des Auftraggebers .............................................................................................. 71

Kommentierung § 9 ..................................................................................................................................... 72

Verantwortlicher ................................................................................................................................... 72

Kontrollpflichten des Auftraggebers .................................................................................................. 72

Informationspflichten des Auftraggebers .......................................................................................... 72

Verpflichtung nach §17 UWG ............................................................................................................. 72

Über den Vertrag hinausgehende Anweisungen............................................................................. 72

Literatur ....................................................................................................................................................... 73

§ 10 Kontrol rechte des Auftraggebers .................................................................................... 74

Kommentierung § 10 ................................................................................................................................... 75

Überprüfung des Auftragnehmers ..................................................................................................... 75

Literatur ....................................................................................................................................................... 76

§ 11 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe von Datenträgern 77

Kommentierung § 11 ................................................................................................................................... 80

Literatur ....................................................................................................................................................... 80

§ 12 Unterauftragnehmer ....................................................................................................... 81

Kommentierung § 12 ................................................................................................................................... 83

Ort der Leistungserbringung ............................................................................................................... 84

Literatur ....................................................................................................................................................... 84

§ 13 Zurückbehaltungsrecht .................................................................................................... 86

Kommentierung § 13 ................................................................................................................................... 86

Literatur ....................................................................................................................................................... 86

§ 14 Haftung .......................................................................................................................... 87

Kommentierung § 14 ................................................................................................................................... 88

Literatur ....................................................................................................................................................... 88

§ 15 Schriftformklausel ........................................................................................................... 89

§ 16 Salvatorische Klausel ....................................................................................................... 90

§ 17 Rechtswahl, Gerichtsstand .............................................................................................. 91

Kommentierung § 17 ................................................................................................................................... 91

Rechtswahl ............................................................................................................................................ 91

Literatur ....................................................................................................................................................... 91

Anlage(n) ............................................................................................................................... 92

Anlage 1 zum AV-Vertrag: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der

Auftragsvergabe ..................................................................................................................... 93

Kommentierung Anlage 1 ............................................................................................................................ 94

Anlage 2 zum AV-Vertrag: Nachweis der al gemeinen technischen und organisatorischen

Maßnahmen .......................................................................................................................... 95

1) Zutrittskontrolle ................................................................................................................................ 95

2) Zugangskontrolle ............................................................................................................................. 95

3) Zugriffskontrolle ............................................................................................................................... 95

4) Weitergabekontrolle ........................................................................................................................ 95

5) Eingabekontrolle .............................................................................................................................. 95

6) Auftragskontrolle .............................................................................................................................. 96

7) Verfügbarkeitskontrolle ................................................................................................................... 96

8) Trennungskontrolle.......................................................................................................................... 96

Version 2.1

Seite 6 von 111

Stand: 14.09.2018

Kommentierung Anlage 2 ............................................................................................................................ 97

1) Zutrittskontrolle ................................................................................................................................ 98

2) Zugangskontrolle ............................................................................................................................. 98

3) Zugriffskontrolle ............................................................................................................................... 98

4) Weitergabekontrolle ........................................................................................................................ 99

5) Eingabekontrolle .............................................................................................................................. 99

6) Auftragskontrolle .............................................................................................................................. 99

7) Verfügbarkeitskontrolle ................................................................................................................. 100

8) Trennungskontrolle........................................................................................................................ 100

Anlage 3: Beispiele für die Verpflichtung zur Einhaltung der datenschutzrechtlichen

Anforderungen ...................................................................................................................... 101

1. Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen der DS-GVO (eigene

Beschäftigte, Art. 5 DS-GVO bzw. Auftragnehmer, Art. 28 Abs. 3b DS-GVO) ............................................ 101

2. Verpflichtung zur Wahrung von Geschäftsgeheimnissen ...................................................................... 102

Opt. 3. Verpflichtung auf das Sozialgeheimnis .......................................................................................... 102

Opt. 4. Verpflichtung auf das Fernmeldegeheimnis .................................................................................. 102

Kommentierung Anlage 3 .......................................................................................................................... 103

Literatur ..................................................................................................................................................... 103

Anlage 4: Beispiele für Verpflichtungserklärungen nach § 203 StGB ........................................ 105

1. Verpflichtungserklärung nach § 203 StGB (Einzelperson bzw. Mitarbeiterinnen und Mitarbeiter)...... 105

2. Verpflichtungserklärung nach § 203 StGB (Unternehmen) ................................................................... 107

Kommentierung Anlage 4 .......................................................................................................................... 109

Umsetzungsmöglichkeiten für die Verpflichtung nach § 203 StGB ............................................ 109

Erfüllung des Tatbestandsmerkmals „dafür Sorge tragen“ .......................................................... 110

Version 2.1

Seite 7 von 111

Stand: 14.09.2018

Vorwort zur Aktualisierung der zweiten Auflage

Vorwort zur Aktualisierung der zweiten Auflage

Eine Aktualisierung der zweiten Auflage wurde durch diverse Gesetzesanpassungen
erforderlich. Einerseits erfolgte eine Anpassung weiterer Gesetze an die DS-GVO,
namentlich das

SGB X, anderseits wurden auch die gesetzlichen

Rahmenbedingungen bzgl. des aus § 203 StGB resultierenden Verbots der
unbefugten Offenbarung bei modernen Verarbeitungsvorgängen angepasst.

Im einzelnen wurden bearbeitet:

− Kap. 4.2: Sozialdatenschutz an SGB X angepasst

− Kapitel 4.5: Kapitel zu Schweigepflicht / Datenschutz komplett ausgetauscht

− Präambel: Hinweis bzgl. § 203 StGB gelöscht, da er ja nicht mehr passte

− § 1 Definitionen: Drittland, Hauptvertrag ergänzt

− Kap. 7.1 mit Vertragsklauseln zu § 203 StGB sowie die dazu gehörende

Kommentierung eingefügt

− Anlage 3:

o Vorschlag zur datenschutzrechtlichen Verpflichtungserklärung gegen
das Verbändemuster ausgetauscht
o Verpflichtungserklärung für Sozialgeheimnis/Fernmeldegeheimnis als

„optional“ gekennzeichnet, da nicht für jeden AV-Vertrag zutreffend;
entsprechend wurde die Kommentierung angepasst

− Anlage4: Verpflichtung auf § 203 StGB sowie Kommentierung eingefügt

Vorwort zur zweiten Auflage

Mit dem Inkrafttreten der europäischen Datenschutz-Grundverordnung am 24. Mai

2016 und deren Wirksamwerden am 25. Mai 2018 gelten ab diesem Datum nur noch
die Regelungen der europäischen Datenschutz-Grundverordnung (DS-GVO)

hinsichtlich der Auftragsverarbeitung (AV). Die Auftragsverarbeitung ist zudem in der

DS-GVO abschließend geregelt, sodass kein nationaler Gesetzgeber innerhalb der

Europäischen Union weitere Regelungen hinzufügen oder bestehende Regelungen
ändern bzw. für ungültig erklären darf.

Somit sind ab dem 25. Mai 2018 deutsche Spezial-Regelungen hinsichtlich der

Auftragsverarbeitung, wie sie beispielsweise in § 80 SGB X oder in einzelnen

Landesgesetzen (z. B. Krankenhausgesetzen der Länder) zu finden sind,
grundsätzlich ungültig und stellen keine gültigen rechtlichen Anforderungen dar; der
nationale Gesetzgeber kann bzgl. der Verarbeitung von Gesundheitsdaten zwar
entsprechend den Vorgaben von Art. 9 Abs. 4 DS-GVO die Auftragsverarbeitung
erlauben oder auch verbieten, hat jedoch an den Modalitäten der

Auftragsverarbeitung selbst nichts geändert1.

Auch die Anforderungen an die datenschutzrechtlichen Inhalte eines

Auftragsverarbeitungs-Vertrages (AV-Vertrag) sind in der DS-GVO abschließend
geregelt. Diese Anforderungen entsprechen weitestgehend dem jetzigen deutschen

Recht, jedoch gibt es einige Abweichungen, die bei zukünftigen Vertragsschlüssen

1 Drucksache 110/17: Gesetzentwurf der Bundesregierung Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680

(Datenschutz-Anpassungs- und -Umsetzungsgesetz EU - DSAnpUG-EU). [Online, zitiert am 2017-02-25]; Verfügbar unter http://dipbt.bundestag.de/dip21/brd/2017/0110-17.pdf

Version 2.1

Seite 8 von 111

Stand: 14.09.2018

Vorwort zur zweiten Auflage
zu beachten sind. Die Regelungen der DS-GVO gelten aber auch für alle schon
vorhandenen und noch laufenden Verträge, so dass alle diese Verträge auf

Konformität zu den Anforderungen der DS-GVO geprüft und ggfs. angepasst werden
müssen. Die Arbeitsgruppe veröffentlichte zu diesem Thema eine entsprechende

Ausarbeitung2.

Besonderheiten des Gesundheitswesens

Auch wenn die datenschutzrechtlichen Vorgaben bzgl. einer Auftragsverarbeitung in
der DS-GVO abschließend geregelt werden, bleiben viele Fragestellungen aus dem

Bereich der Gesundheitsversorgung offen, auf die eine Antwort gefunden werden
muss. Hierzu gehören insbesondere Auslegungen und ggf. Regelungen zu Themen
wie

− Umgang mit Zurückbehaltungsrecht

− Schadensersatz- und Haftungsfragen

− Umgang mit den Informationspflichten

− Wünsche bzgl. einer Zweckänderung durch den Auftragnehmer, z. B.

Weitergabe der Daten nach Pseudonymisierung/Anonymisierung

− Fragen zu Sozialdaten

− Umgang mit Datenverarbeitung außerhalb EU/EWR, d. h. auch Umgang mit

EU-Standardvertragsklausen.

Die immer stärker werdende Vernetzung im Gesundheitswesen und der damit
auftauchende verstärkte Einsatz von Gesundheitsportalen – unerheblich ob man sie
elektronische Fallakte oder elektronische Patientenakte nennt – kann zusätzlich die

Betrachtung von Anforderungen aus dem TKG und dem TMG erfordern, d. h.

Themen wie

− Verpflichtung entsprechend TKG/UWG

− Informationspflichten gemäß § 13 TMG
müssen also – je nach vertraglicher Ausgestaltung – ggf. bedacht werden.

Bildung einer Arbeitsgruppe

Um diese Fragen zu bearbeiten, fand sich eine Arbeitsgruppe bestehend aus

Vertretern der Verbände

− Berufsverband der Datenschutzbeauftragten Deutschlands e. V. (BvD)

− Bundesverband Gesundheits-IT e. V. (bvitg)

− Deutsche Gesellschaft für Medizinische Informatik, Biometrie und

Epidemiologie e. V. (GMDS)

− Deutsche Krankenhausgesellschaft e.V. (DKG)

− Gesellschaft für Datenschutz und Datensicherheit e. V. (GDD)

zusammen, die sich des Themas annahm und einen kommentierten Muster-Vertrag
für die Auftragsverarbeitung erstellte. Allen Beteiligten war bewusst, dass es nicht

„den“ AV-Vertrag geben kann. Der erarbeitete AV-Vertrag stellt ein Muster dar, das
die wesentlichen Vertragsinhalte abhandelt, aber keinen Anspruch auf Vollständigkeit
erhebt.

2 Siehe http://ds-gvo.gesundheitsdatenschutz.org/html/adv_altvertraege.php

Version 2.1

Seite 9 von 111

Stand: 14.09.2018

Vorwort zur zweiten Auflage

Da momentan noch nicht absehbar ist, wann die Gesetzgeber die Spezial-

Regelungen an die DS-GVO anpassen werden, stellt diese Auflage eine Version dar,
die der DS-GVO entspricht.

Es bleibt den jeweiligen Nutzern des Vertrages vorbehalten, die

Regelungsgegenstände den spezifischen Anforderungen anzupassen. Daher finden
sich für verschiedene Anforderungen optionale Ergänzungen oder auch alternative

Formulierungen im Text.

Alternative Textpassagen werden durch die Abkürzung „Alt.“, optionale Textteile
durch die Abkürzung „Opt.“ hervorgehoben.

Version 2.1

Seite 10 von 111

Stand: 14.09.2018

Allgemeines

Einführung zum Thema Auftragsverarbeitung

1 Allgemeines

1.1 Privilegierte Form

Die Auftragsverarbeitung ist auch unter der DS-GVO weiterhin eine „privilegierte“

Form der Verarbeitung, für die der europäische Gesetzgeber vertragsrechtliche

Anforderungen (Art. 28 DS-GVO) aufstellt3. Aufgrund der gesetzlich
vorgeschriebenen vertragsrechtlichen Gestaltung bleibt der Auftraggeber
datenschutzrechtlich verantwortlich4 (in der DS-GVO entsprechend auch als

„Verantwortlicher“ bezeichnet). Als "privilegiert" wird diese Form der

Datenverarbeitung deswegen angesehen, weil es sich hierbei nicht um eine
datenschutzrechtliche Übermittlung der Daten handelt und weder eine gesetzliche

Erlaubnis noch eine Einwilligung durch die Betroffenen zur Verarbeitung der Daten
durch einen externen Dienstleister (Auftragnehmer, in der DS-GVO als

Auftragsverarbeiter bezeichnet) benötigt werden.

1.2 Typische Merkmale einer AV

Eine Auftragsverarbeitung kann nur stattfinden, wenn der Auftragnehmer
ausschließlich auf Anweisung des Auftraggebers tätig wird und der Auftraggeber die

Art und Weise festlegt, in welcher der Auftragnehmer die Daten bearbeitet. Typische

Erkennungsmerkmale für Auftragsverarbeitungen sind:

− Es fehlt eine Entscheidungsbefugnis des Auftragnehmers hinsichtlich der

Zwecke und Mittel der Verarbeitung.

− Es wurde vertraglich ausgeschlossen, dass der Auftragnehmer Daten zu
eigenen Zwecken verarbeitet oder nutzt.

− Der Auftragnehmer ist weisungsgebunden bezüglich der Datenverarbeitung.

− Es dürfen nur Daten verarbeitet werden, die der Auftraggeber zur Verfügung
stellt, es sei denn, der Auftrag umfasst auch die Erhebung von
personenbezogenen Daten.

− Es existiert keine (vertragliche) Beziehung des Auftragnehmers zu den

Betroffenen.

− Der Auftragnehmer tritt (gegenüber den Betroffenen) nicht im eigenen Namen
auf.

Basierend auf dem Grundsatz von Treu und Glauben (§ 242 BGB) haben die

Parteien alles zu unterlassen, was den Vertragszweck und den Leistungserfolg
beeinträchtigen oder gefährden könnte. Daraus ergeben sich insbesondere

Obliegenheiten und Pflichten zur Mitwirkung und gegenseitigen Information, so dass

3 siehe hierzu auch die begleitende Ausarbeitung „Umgang mit Altverträgen bzgl. Auftragsverarbeitung („ADV-Verträge“)“. Online, zitiert am 2017-06-14; Verfügbar unter http://ds-gvo.gesundheitsdatenschutz.org/html/adv_
altvertraege.php

4 siehe hierzu bspw. auch Martini M. Art. 28. Rn. 20 in Paal/Pauly (Hrsg.) Datenschutz-Grundverordnung. C. H.

Beck Verlag 1. Auflage. ISBN 978-3-406-69570-4

Version 2.1

Seite 11 von 111

Stand: 14.09.2018

Allgemeines
sowohl Auftragnehmer als auch Auftraggeber dafür Sorge tragen müssen, dass ein

AV-Vertrag abgeschlossen wird, wenn eine Auftragsverarbeitung vorliegt.

1.3 Typische Beispiele einer AV

Typische Beispiele für eine Auftragsverarbeitung durch externe Dienstleister sind
etwa folgende:

− Auslagerung von IT-Systemen und/oder Daten in ein externes Rechenzentrum

(Outsourcing)

− Papier-/Aktenvernichtung sowie die Vernichtung von Datenträgern

− Archivierungsdienstleistungen

− Prüfung oder Wartung automatisierter Verfahren oder

Datenverarbeitungsanlagen, wenn dabei ein Zugriff auf personenbezogene
oder personenbeziehbare Daten nicht ausgeschlossen werden kann.

Version 2.1

Seite 12 von 111

Stand: 14.09.2018

Einordnung des AV-Vertrages in Gesamtregelwerke

2 Einordnung des AV-Vertrages in Gesamtregelwerke

2.1 Mögliche Vertragsgestaltungen

Grundsätzlich gelten für den AV-Vertrag die gleichen Voraussetzungen wie für

Verträge allgemein. Demnach muss ein entsprechender Vertrag auch die

Vertragsbestandteile enthalten, welche die Leistungsbeziehung zwischen den

Parteien generell regelt. Hierbei handelt es sich etwa um

− die genaue Definition der zu erbringenden Leistung/(en)/Tätigkeiten,

− Vergütung/Preis,

− Haftungsfragen, usw.

Zusätzlich sind jedoch im Falle einer Verarbeitung personenbezogener Daten im

Auftrag zwingend weitere Regelungen zu treffen. In welcher Form die genannten

Vertragsbestandteile geregelt werden, ist frei gestaltbar. Dies kann sowohl als

Einzelvereinbarung geschehen als auch im Rahmen einer grundsätzlichen

Vereinbarung („Rahmenvertrag“ zur Auftragsverarbeitung) begleitet von
konkretisierenden Einzel-Verträgen, welche die auftragsspezifischen Vertragsinhalte
darstellen, als auch durch einen umfassenden Gesamtvertrag, in dem alle

Regelungen enthalten sind. Ob sinnvollerweise ein Rahmenvertrag mit ergänzenden

Einzelverträgen oder ein einzelner Gesamtvertrag abgeschlossen wird, kann nur im
jeweiligen Einzelfall entschieden werden.

Das vorliegende Werk befasst sich grundsätzlich nur mit den speziellen

Anforderungen an den AV-Vertrag, allgemeine Regelungen bleiben hierbei im

Wesentlichen unberücksichtigt.

Lässt ein Verantwortlicher mehrere Verarbeitungen von ein und demselben

Auftragsverarbeiter durchführen, so empfiehlt sich die Ausgestaltung des Vertrages
in einem Auftragsverarbeitungs-Rahmenvertrag und ergänzenden Einzelverträgen,
welche die jeweiligen auftragsspezifischen Details ergänzen.

Im Rahmenvertrag werden die allen Verarbeitungen zugrundeliegenden

Vertragsinhalte geregelt. Hierzu können beispielsweise gehören:

− Umgang mit den Betroffenenrechten,

− die Rechte und Pflichten des Auftraggebers,

− der Umfang der Weisungsbefugnisse, die der Auftraggeber gegenüber dem

Auftragnehmer hat,

− die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und

Mitwirkungspflichten des Auftragnehmers,

− die bestehenden Pflichten des Auftragnehmers (Art. 28 DS-GVO),

− die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen,

− Umgang mit Verstößen.

Evtl. können im Rahmenvertrag auch die Art der Daten wie auch die Kategorien
betroffener Personen geregelt werden, sofern es sich in sämtlichen zu regelnden

Verarbeitungsvorgängen um dieselben handelt.

Die Einzelverträge beinhalten die für die jeweilige spezifische Verarbeitung zu
regelnden Vertragsinhalte. Typischerweise gehören hierzu

- Gegenstand und Dauer des Auftrags,

- Umfang, Art und Zweck der vorgesehenen Verarbeitung von Daten,

Version 2.1

Seite 13 von 111

Stand: 14.09.2018

Einordnung des AV-Vertrages in Gesamtregelwerke

- zu treffende Schutzmaßnahmen.

2.2 Inhaltliche Anforderungen an einen AV-Vertrag

Unter Beachtung von Art. 28 DS-GVO und ErwGr. 81 ergeben sich die in den
folgenden Abschnitten dargestellten Anforderungen, die im AV-Vertrag mindestens
geregelt werden müssen.

Zu regelnde Vertragsbestandteile

1) Gegenstand und Dauer des Auftrags (Art. 28 Abs. 3 S. 1 DS-GVO)

2) Umfang, Art und Zweck (Art. 28 Abs. 3 S. 1 DS-GVO) der vorgesehenen

Verarbeitung von Daten

3) Die Art der Daten (Art. 28 Abs. 3 S. 1 DS-GVO)

4) Die Kategorien betroffener Personen (Art. 28 Abs. 3 S. 1 DS-GVO)

5) Die Gewährleistung der Betroffenenrechte (Art. 28 Abs. 3 S. 2 lit. e DS-GVO)

6) Rechte und Pflichten des Auftraggebers (Art. 28 Abs. 3 S. 1 DS-GVO)

7) Der Umfang der Weisungsbefugnisse, die der Auftraggeber gegenüber dem

Auftragnehmer hat (Art. 28 Abs. 3 S. 1 sowie Art. 29 DS-GVO).

8) Die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und

Mitwirkungspflichten des Auftragnehmers (Art. 28 Abs. 3 S. 2 lit. h DS-GVO)

9) Die bestehenden Pflichten des Auftragnehmers (Art. 28 DS-GVO)

10) Die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen

(Art. 28 Abs. 2, Art. 28. Abs. 3 S. 2 lit. d DS-GVO)

11) Mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten

Personen gegen datenschutzrechtliche Vorschriften oder gegen die im Auftrag
getroffenen Festlegungen (Art. 28 Abs. 3 S. 2 lit. f sowie Art. 33 Abs. 2 DS-

GVO)

12) Die Rückgabe überlassener Datenträger und die Löschung beim

Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags (Art. 28

Abs. 3 S. 2 lit g DS-GVO)

Version 2.1

Seite 14 von 111

Stand: 14.09.2018

Abgrenzung der Thematik

3 Abgrenzung der Thematik

Diese Ausarbeitung befasst sich ausschließlich mit den datenschutzrechtlichen

Anforderungen. Nicht Bestandteil dieser Ausarbeitung sind andere Anforderungen an

Vorhaben, welche eine externe Verarbeitung beinhalten, seien sie rechtlicher Natur

(wie z. B. Wirtschaftlichkeitsnachweise bzgl. einer Auftragsverarbeitung, wie sie in
einigen Landesgesetzen gefordert werden oder auch Vertragsstrafen) oder

Empfehlungen der entsprechenden Fachorgane (wie beispielsweise einer Freigabe
durch die entsprechende Ethikkommission bei Forschungsvorhaben). Hier wird auf
die gängige Literatur verwiesen.

Version 2.1

Seite 15 von 111

Stand: 14.09.2018

Spezielle Fragestellungen

4 Spezielle Fragestellungen

4.1 Wartung / Fernwartung

Auch wenn Art. 28 DS-GVO im Gegensatz zu § 11 BDSG die Wartung/Fernwartung
nicht per Gesetz als eine Auftragsverarbeitung qualifiziert, sind diese Tätigkeiten
weiterhin im Rahmen einer Auftragsverarbeitung abbildbar, da die bekannten

Gründe, warum eine Wartung/Fernwartung einer Auftragsverarbeitung zuzurechnen
ist, bestehen bleiben3. Insbesondere gilt, dass im Rahmen einer

Wartung/Fernwartung der Dienstleister nicht über Mittel und Zwecke der

Verarbeitung von personenbezogenen Daten entscheiden darf und der Dienstleister
somit kein Verantwortlicher im Sinne der DS-GVO ist, sondern ein

Auftragsverarbeiter.

4.2 Sozialdatenschutz

Im „Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer

Vorschriften“ wurde sowohl § 35 SGB I als auch § 80 SGB X an die Vorgaben der

DS-GVO angepasst5. Auch nach der neuen Rechtslage ist es möglich, Sozialdaten durch einen Auftragsverarbeiter verarbeiten zu lassen.

§ 35 Abs. 6 SGB I erweitert das Sozialgeheimnis auf Auftragsverarbeiter, unabhängig
davon, ob diese im Inland oder im Ausland agieren. D. h. das deutsche

Sozialdatenschutzrecht findet auch Anwendung, wenn Sozialdaten im Ausland
verarbeitet werden6. § 80 Abs. 2 SGB X beschränkt die Zulässigkeit der Verarbeitung von Sozialdaten in einem Drittland jedoch auf Länder,
für die ein

Angemessenheitsbeschluss gemäß Art. 45 DS-GVO vorliegt.

§ 80 Abs. 1 SGB X verweist für die Vertragsgestaltung auf Art. 28 Abs. 3 DS-GVO,
d. h. es gelten die inhaltlichen vertraglichen Anforderungen der DS-GVO.

Damit ergibt sich hinsichtlich der bis zum 24. Mai 2018 geltenden Regelungen auch
eine inhaltliche Veränderung bei den zu ergreifenden technisch-organisatorischen

Maßnahmen: Diese richten sich nicht mehr nach den Vorgaben des SGB X (früher

§ 78a SGB X bzw. die dazugehörige Anlage), sondern es gelten die Anforderungen
von Art. 32 DS-GVO. Auch die Speicherbegrenzung i. S. v. § 80 Abs. 5 SGB X a. F.,
nach welchem der überwiegende Teil der Daten beim Auftraggeber verbleiben
musste, wurde nicht aufrechterhalten, so dass jetzt auch eine vollständige externe

Speicherung bei einem Auftragsverarbeiter möglich ist7.

Wichtig ist, dass Auftragsverarbeiter im Rahmen ihrer Tätigkeit bei der Verarbeitung
i.d.R. einen Datenschutzbeauftragten benennen müssen. Gemäß Art. 37 Abs. 1 lit. a

DS-GVO müssen öffentliche Stellen einen Datenschutzbeauftragten benennen

(ausgenommen sind Gerichte im Rahmen ihrer justiziellen Tätigkeit). Nach Art. 37

5 Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften. Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften. [Online, zitiert am 2018-05-31]; Verfügbar unter
http://www.bgbl.de/xaver/bgbl/start.xav?startbk=Bundesanzeiger_BGBl&jumpTo=bgbl117s2541.pdf

6 Bieresborn D. (2017) Sozialdatenschutz nach Inkrafttreten der EU-Datenschutzgrundverordnung - Anpassungen des nationalen Sozialdatenschutzes an das europäische Recht. NZS: 887-892

7 Bieresborn D. (2017) Sozialdatenschutz nach Inkrafttreten der EU-Datenschutzgrundverordnung - Verarbeiten von Sozialdaten, Reichweite von Einwilligungen, grenzüberschreitende Datenübermittlung und

Auftragsverarbeitung. NZS: 926-933

Version 2.1

Seite 16 von 111

Stand: 14.09.2018

Spezielle Fragestellungen

Abs. 1 lit. c DS-GVO gilt diese Pflicht auch für Auftragsverarbeiter. Entsprechend
verweist § 81 Abs. 4 SGB X auf die entsprechenden Pflichten der §§ 5-7 BDSG.

4.3 Forschung

Auch im Rahmen von Forschungsvorhaben gelten bzgl. einer Auftragsverarbeitung
die aus Art. 28 DS-GVO resultierenden Anforderungen. Erfolgt eine Verarbeitung
personenbezogener oder personenbeziehbarer Daten8 im Auftrag, muss ein den Anforderungen der DS-GVO genügender AV-Vertrag abgeschlossen werden.

4.4 Anonymisierung

Der Verordnungsgeber definiert unter Art. 4 DS-GVO zahlreiche Begriffe, trifft jedoch
für die „Anonymisierung“ an keiner Stelle eine Aussage. Der Aufhebung des

Personenbezugs könnte man sich wie folgt nähern:

Entsprechend dem Verständnis der Artikel-29-Datenschutzgruppe ist

„Anonymisierung als ein auf personenbezogene Daten angewandtes technisches

Verfahren nach dem aktuellen Stand der Technik“ anzusehen, d. h. das Ergebnis
einer Anonymisierung muss „so dauerhaft sein wie eine Löschung“9. Dabei ist ein Anonymisierungsverfahren „als eine Form der Weiterverarbeitung“
personenbezogener Daten mit dem Ziel ihrer Anonymisierung anzusehen9. Insofern muss bei einer Anonymisierung „geprüft werden, ob sie das Kriterium der

Vereinbarkeit im Sinne der Leitlinien erfüllt, die von der Datenschutzgruppe in ihrer

Stellungnahme 03/2013 zur Zweckbindung vorgelegt wurden“10. Dementsprechend ist eine Anonymisierung nur erlaubt, wenn ein Erlaubnistatbestand gemäß Art. 6 DSGVO bzw. im Fall von besonderen Arten von Daten ein Erlaubnistatbestand nach

Art. 9 DS-GVO vorliegt.

4.5 Schweigepflicht und Datenschutz

Vom Grundsatz her ist bei jeglichen Datenverarbeitungsvorgängen zwischen der rein
datenschutzrechtlichen Ebene auf der einen Seite sowie dem strafrechtlichen

Berufsgeheimnisschutz (bzw. der Schweigepflicht) auf der anderen Seite zu
differenzieren. Während die datenschutzrechtliche Ebene sich an die Institution,
beispielsweise einen Krankenhausträger, richtet, betrifft der Berufsgeheimnisschutz
direkt den einzelnen Schweigepflichtigen, der mit den personenbezogenen Daten
arbeitet.

Gemäß § 203 Abs. 1 Ziff. 1 StGB unterliegen Ärzte, Zahnärzte, Apotheker oder

Angehörige eines anderen Heilberufs, für dessen Berufsausübung oder die Führung
der Berufsbezeichnung eine staatlich geregelte Ausbildung erforderlich ist, der
beruflichen Schweigepflicht und machen sich strafbar, wenn sie unbefugt ein fremdes

Geheimnis offenbaren, das ihnen im Rahmen ihrer Tätigkeit anvertraut worden oder
sonst bekannt geworden ist. Da bislang in die berufliche Schweigepflicht lediglich die

8 Die DS-GVO definiert in Art. 4 Begrifflichkeiten, die z.T. mit den in Deutschland bekannten Begriffsdefinitionen übereinstimmen, z.T. aber auch abweichen.

9 Artikel-29-Datenschutzgruppe (2014) Stellungnahme 5/2014 zu Anonymisierungstechniken. [Online, zitiert am 2014-10-21]; Verfügbar unter http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp216_de.pdf

10 Article 29 Data Protection Working Party. (2013) Opinion 03/2013 on purpose limitation. [Online, zitiert am 2017-02-25]; Verfügbar unter http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2013/wp203_en.pdf

Version 2.1

Seite 17 von 111

Stand: 14.09.2018

Spezielle Fragestellungen
berufsmäßigen Gehilfen dieser Berufsgeheimnisträger und die Personen, die bei
ihnen zur Vorbereitung auf den Beruf tätig sind, einbezogen waren, hat der

Gesetzgeber durch eine Änderung des § 203 StGB auch Dritte, die in anderer Form
an der Berufsausübung eines Berufsgeheimnisträgers mitwirken, in den

Straftatbestand des § 203 StGB einbezogen. Diese Gesetzesänderung ist am

09.11.2017 in Kraft getreten. 11

4.5.1 Inhalt der Änderungen bei der Schweigepflicht § 203 StGB

Die Neuregelungen sind insbesondere in § 203 Abs. 3 und 4 StGB zu verzeichnen
und sehen im Einzelnen Folgendes vor:

− Berufsgeheimnisträger sind künftig berechtigt, fremde Geheimnisse
gegenüber sonstigen Personen zu offenbaren, die an ihrer beruflichen oder
dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der

Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist. Das Gleiche
gilt für die sonstigen mitwirkenden Personen11, wenn diese sich weiterer

Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der

Berufsgeheimnisträger mitwirken.

− Die sonstige mitwirkende Person macht sich strafbar, wenn sie ein ihr im

Rahmen ihrer Tätigkeit bekannt gewordenes Geheimnis unbefugt an Dritte
weitergibt.

− Der Berufsgeheimnisträger macht sich selbst strafbar, wenn er nicht dafür

Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein
ihr im Rahmen ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur

Geheimhaltung verpflichtet wurde, es sei denn, es handelt sich bei der
mitwirkenden Person selbst um einen Berufsgeheimnisträger (z. B.

Rechtsanwalt).

− Die sonstige mitwirkende Person macht sich strafbar, wenn sie sich einer
weiteren mitwirkenden Person, die unbefugt ein ihr im Rahmen ihrer Tätigkeit
bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge
getragen hat, dass diese zur Geheimhaltung verpflichtet wurde.

− Zusammen mit der Erweiterung des Anwendungskreises der Schweigepflicht
auf mitwirkende Personen wurde außerdem das Zeugnisverweigerungsrecht
in § 53a StPO und das Beschlagnahmeverbot nach § 97 StPO entsprechend
ausgeweitet. 12 Ist § 203 StGB erfüllt (also die Beschäftigten der „sonstigen mitwirkenden Person“ verpflichtet), existiert ein Schweigerecht nach § 53a

StPO (also ein „Aussageverweigerungsrecht“) auch für die externen

„sonstigen Mitwirkenden“. Ob das Schweigerecht ausgeübt wird oder nicht,
entscheidet dabei der jeweilige Berufsgeheimnisträger. Sind die

Voraussetzungen von § 53a StPO erfüllt, existiert auch ein

Beschlagnahmeverbot nach § 97 StPO, d.h. bei Outsourcing-Projekten für

Berufsgeheimnisträger bleibt der Beschlagnahmeschutz bestehen, wenn

§ 203 StGB erfüllt ist.

11 Die Änderung ist erfolgt durch „Das Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen“ vom 30.10.2017, BGBl. I, Seite 3618,  http://www.bgbl.de/xaver/bgbl/start.xav?startbk=Bundesanzeiger_BGBl&jumpTo=bgbl117s3618.pdf

12 Vgl. Bundestags-Drucksache 18/12940 vom 27.06.2017 [Online, zitiert am 2018-07-14]; Verfügbar unter
http://dipbt.bundestag.de/dip21/btd/18/129/1812940.pdf

Version 2.1

Seite 18 von 111

Stand: 14.09.2018

Spezielle Fragestellungen

Damit enthält § 203 StGB eine Offenbarungsbefugnis von Berufsgeheimnisträgern
gegenüber

− berufsmäßig tätigen Gehilfen

− den bei Berufsgeheimnisträgern zur Vorbereitung auf den Beruf tätigen

Personen (bspw. in der Ausbildung befindliche Krankenpfleger/innen oder in
der klinischen Ausbildung befindliche Medizinstudenten, nicht aber

Berufsfindungspraktikanten13)

− sonstigen Personen, die an der beruflichen oder dienstlichen Tätigkeit von

Berufsgeheimnisträgern mitwirken

− sonstigen mitwirkenden Personen, wenn diese sich weiterer Personen
bedienen, die an der beruflichen oder dienstlichen Tätigkeit der

Berufsgeheimnisträger mitwirken.

Grundsätzlich existiert keine Beschränkung hinsichtlich der extern erbringbaren

Tätigkeiten. Das heißt, es liegt in der Entscheidung des Berufsgeheimnisträgers,
welche Tätigkeiten er extern beauftragen will. Es dürfen aber nur die Informationen
offenbart werden, die für die Inanspruchnahme der Tätigkeit der mitwirkenden

Person erforderlich sind.

4.5.2 Wer sind Berufsgeheimnisträger?

Berufsgeheimnisträger sind die in § 203 Abs. 1,2 StGB14 genannten Berufsgruppen, Abs. 1 adressiert den nicht-öffentlichen Bereich, Abs. 2 den öffentlichen.

Der Begriff „Gesundheitswesen“ wird in § 203 Abs. 1 Ziff. 1 StGB definiert: „Arzt,

Zahnarzt, Tierarzt, Apotheker oder Angehörige eines anderen Heilberufs, der für die

Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte

Ausbildung erfordert“. Somit fallen neben den explizit genannten Berufsgruppen auch
alle staatlich geregelten Ausbildungsberufe unter den Begriff

„Berufsgeheimnisträger“. Zu diesen anderen Heilberufen zählen beispielsweise15

- Altenpflegerinnen/Altenpfleger18,

- Diätassistentinnen/Diätassistenten18, 19,

- Ergotherapeutinnen/Ergotherapeuten17, 18, 19,

- Gesundheits- und Kinderkrankenpfleginnen/Kinderkrankenpfleger17, 18, 19, ,

- Gesundheits- und Krankenpflegehelferinnen/Krankenpflegehelfer19,

- Gesundheits- und Krankenpfleginnen/Krankenpfleger16, 17, 18,19,

13 Weidemann M. § 203 StGB Rn. 28 in Heintschel-Heinegg (Hrsg.) Beck'scher Online-Kommentar StGB, 37.

Auflage. 1. Februar 2018

14 Strafgesetzbuch (StGB): § 203 Verletzung von Privatgeheimnissen [Online, zitiert am 2018-07-14]; Verfügbar unter https://www.gesetze-im-internet.de/stgb/__203.html

15 Grundsätzlich ist zu beachten, dass die Heilberufe, welche eine staatlich geregelte Ausbildung erfordern,.

Schon 1953 in § 300 StGB (Hinweis: Schweigepflicht wurde in § 300 StGB geregelt, erst ab 1.1.1975 in § 203

StGB) genannt wurden. Entsprechend muss bei der Interpretation des Begriffs „Heilberuf“ im Sinne der Schweigepflicht auch eine historisch Auslegung immer mit erfolgen.

Eine Darstellung zu Gesundheitsberufen inklusive einer Darstellung, was aus Sicht des Gesetzgebers zu den Heilberufen zählt, findet sich z.B. beim Bundesministerium für Gesundheit (BMG). [Online, zitiert am 2018-08-27]; Verfügbar unter https://www.bundesgesundheitsministerium.de/themen/gesundheitswesen/gesundheitsberufe/
gesundheitsberufe-allgemein.html

Auch die Bundesärztekammer verweist in ihren „Hinweise und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis“ (Stand März 2018) in Kap. 2.3 „Adressaten der Schweigepflicht“ auf die entsprechende Adressierung. [Online, zitiert am 2018-08-27]; Verfügbar unter
https://www.bpm-ev.de/images/Hinweise_und_Empfehlungen_aerztliche_Schweigepflicht_Datenschutz_

Datenverarbeitung_09.03.2018.pdf

16 So z.B. genannt: Weidemann § 203 Rn. 16 in Heintschel-Heinegg (Hrsg.) BeckOK StGB 38. Ed. vom 1. Mai 2018

Version 2.1

Seite 19 von 111

Stand: 14.09.2018

Spezielle Fragestellungen

- Hebammen/Entbindungspfleger16, 17, 18, 19, ,

- Kinder- und Jugendlichenpsychotherapeutinnen/-psychotherapeuten18, 19,

- Krankengymnastinnen/Krankengymnasten17,

- Logopädinnen/Logopäden17, 18, 19,

- Masseurinnen/Masseure16, 17, 18, 19,

- Medizinische Bademeistinnen/Bademeister16, 17, 19,

- Medizinisch-technische Assistentinnen/Assistenten17, 18, 19,

- Notfallsanitäterinnen/Notfallsanitäter17, 18, 19,

- Orthoptistinnen/Orthoptisten19,

- Pharmazeutisch-technische Assistentinnen/Assistenten17, 19,

- Physiotherapeutinnen/Physiotherapeuten16, 18, 19,

- Podologinnen/Podologen19,

- Psychologische Psychotherapeutinnen/Psychotherapeuten18, 19.

Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlussprüfung
gehören gemäß § 203 Abs. 1 Ziff. 2 StGB zu den Berufsgeheimnisträgern,
desgleichen privatärztliche Verrechnungsstellen (§ 203 Abs. 1 Ziff. 7 StGB). Private

Krankenkassen fallen unter § 203 Abs. 1 Ziff. 7 StGB, gesetzliche Krankenkassen als
öffentliche Einrichtungen unter Abs. 2 (Amtsträger, für den öffentlichen Dienst
besonders Verpflichtete).

Heilpraktiker fallen nicht unter diese Regelung, da deren Ausbildung nicht staatlich
geregelt ist. Gleiches gilt für Rettungsassistenten. Darüber hinaus gibt es
medizinische Berufsgruppen die nicht unter den Begriff „Heilberuf“ fallen wie z.B.

medizinische Handwerksberufe und dementsprechend keine „Berufsgeheimnisträger“
im Sinne des § 203 Abs. 1,2 StGB sind.

4.5.3 Mitwirkende Personen im Sinne des § 203 StGB

In Abgrenzung zu den berufsmäßig tätigen Gehilfen und den in Vorbereitung auf den

Beruf tätigen Personen werden vom Begriff der „sonstigen mitwirkenden Personen“
diejenigen erfasst, die zwar an der beruflichen oder dienstlichen Tätigkeit der
schweigepflichtigen Person mitwirken, also in diese Tätigkeit in irgendeiner Weise
eingebunden werden und Beiträge dazu leisten, allerdings ohne in die Sphäre des

Berufsgeheimnisträgers eingegliedert zu sein. Eine Mitwirkung an der beruflichen

Tätigkeit ist nur dann gegeben, wenn die mitwirkende Person unmittelbar mit der
beruflichen Tätigkeit der schweigepflichtigen Person, ihrer Vorbereitung,

Durchführung, Auswertung und Verwaltung befasst ist. 20 Von entscheidender Bedeutung ist die berufliche Mitwirkung, nicht jedoch ob diese Mitwirkung als
berufliche Haupterwerbsquelle, als Nebentätigkeit oder ehrenamtliche Aktivität
erfolgt21.

17 So z.B. genannt: Kargl § 203 Rn. 30 in Kindhäuser / Neumann / Paeffgen (Hrsg.) Strafgesetzbuch. 5. Auflage 2017. ISBN 978-3-8487-3106-0

18 So z.B. genannt: Lenckner/Eisele § 203 Rn. 35 in Schönke / Schröder (Hrsg.) Strafgesetzbuch: StGB. 29.

Auflage 2014. ISBN 978-3-406-65226-4

19 So z.B. genannt: Cierniak/Niehaus § 203 Rn. 34 in Münchener Kommentar zum Strafgesetzbuch Band 4: §§

185-262, 3. Aufl. 2017, ISBN 978-3-406-68554-5

20 Bundestags-Drucksache 18/11936 vom 12.04.2017, Seite 22 [Online, zitiert am 2018-07-14]; Verfügbar unter
https://dip21.bundestag.de/dip21/btd/18/119/1811936.pdf

21 Weidemann M. § 203 StGB Rn. 27.1 in Heintschel-Heinegg (Hrsg.) Beck'scher Online-Kommentar StGB, 37.

Auflage. 1. Februar 2018

Version 2.1

Seite 20 von 111

Stand: 14.09.2018

Spezielle Fragestellungen

Grundlage der sonstigen Mitwirkung einer nicht in den Betrieb des Geheimnisträgers
eingegliederten Person kann insbesondere ein Vertragsverhältnis sein. Darunter
fallen nicht nur der unmittelbare Vertrag zwischen Berufsgeheimnisträger und dem
selbständig tätigen Vertragspartner, sondern in mehrstufigen Auftragsverhältnissen
auch vertragliche Verbindungen des Auftragnehmers mit seinen Angestellten oder
den – im Einvernehmen mit dem Berufsgeheimnisträger – beauftragten weiteren

Unterauftragnehmern. 22

In der Gesetzesbegründung finden sich Beispiele, welche Dienstleistungen mit den

„sonstigen Personen“ adressiert werden können:

- Schreibarbeiten,

- Rechnungswesen,

- Annahme von Telefonanrufen,

- Aktenarchivierung und -vernichtung,

- Einrichtung, Betrieb, Wartung – einschließlich Fernwartung – und Anpassung
informationstechnischer Anlagen, Anwendungen und Systeme aller Art,

- Mitwirkung an der Erfüllung von Buchführungs- und steuerrechtlichen Pflichten
des Berufsgeheimnisträgers. 23

Durch die Regelung des § 203 Abs. 4 StGB werden auch Datenschutzbeauftragte in
den Kreis der Schweigeverpflichteten einbezogen, unabhängig davon, ob es sich um
interne oder externe tätige Datenschutzbeauftragte handelt.

4.5.4 Offenbarungsbefugnis ist an Bedingungen der Verpflichtung geknüpft

Durch die Neuregelung in § 203 Abs. 4 StGB wurden neue Straftatbestände
geschaffen, da sich der Berufsgeheimnisträger selbst strafbar macht, wenn er einer
anderen Person die Mitwirkung an seiner beruflichen Tätigkeit ermöglicht hat, ohne
dafür Sorge zu tragen, dass die mitwirkende Person über die Pflicht zur

Geheimhaltung belehrt wurde. Darüber hinaus macht sich die sonstige mitwirkende

Person strafbar, wenn sie sich einer weiteren mitwirkenden Person, die unbefugt ein
ihr im Rahmen ihrer Tätigkeit bekanntgewordenes Geheimnis offenbart, bedient und
nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde. Die
neu geschaffene Offenbarungsbefugnis ist demnach an die Bedingung der

Verpflichtung zur Geheimhaltung nach § 203 StGB geknüpft.

Der Berufsgeheimnisträger kann entweder die mitwirkende Person selbst zur

Geheimhaltung verpflichten oder dies auf andere übertragen. In mehrstufigen

Auftragsverhältnissen kann dies bedeuten, dass der Berufsgeheimnisträger die von
ihm beauftragte mitwirkende Person selbst verpflichtet und sie gleichzeitig –
beispielsweise durch eine entsprechende vertragliche Vereinbarung – verpflichtet,
ihre ausführenden Mitarbeiter oder auch weitere Unterauftragnehmer, soweit der

Berufsgeheimnisträger eine Unterbeauftragung gestattet, auf gleiche Weise zur

Geheimhaltung zu verpflichten. 24

In Krankenhäusern kann der

Berufsgeheimnisträger bzw. können die Berufsgeheimnisträger die Vornahme der

22 Bundestags-Drucksache 18/11936 vom 12.04.2017, Seite 22 [Online, zitiert am 2018-07-14]; Verfügbar unter
https://dip21.bundestag.de/dip21/btd/18/119/1811936.pdf

23 Bundestags-Drucksache 18/11936 vom 12.04.2017, Seite 22 [Online, zitiert am 2018-07-14]; Verfügbar unter
https://dip21.bundestag.de/dip21/btd/18/119/1811936.pdf

24 Bundestags-Drucksache 18/11936 vom 12.04.2017, Seite 29 [Online, zitiert am 2018-07-14]; Verfügbar unter
https://dip21.bundestag.de/dip21/btd/18/119/1811936.pdf

Version 2.1

Seite 21 von 111

Stand: 14.09.2018

Spezielle Fragestellungen

Verpflichtung beispielsweise auch auf den Krankenhausträger delegieren. Dies kann
sinnvoll sein, da in der Regel die vertragliche Abrede mit einem Dienstleister im

Rahmen einer AV nicht durch einzelne Ärzte, sondern durch den Krankenhausträger
getroffen wird. Im Sinne einer einheitlichen Umsetzung könnte hierzu beispielsweise
eine Delegation der Durchführung der Verpflichtung auf den Krankenhausträger in

Arbeits- oder Dienstverträge betroffener Berufsgeheimnisträger aufgenommen
werden. Als weitere Möglichkeit zur Umsetzung einer Delegation wäre auch eine
entsprechende Betriebsvereinbarung denkbar.

Einer Verpflichtung zur Geheimhaltung bedarf es jedoch nicht, wenn es sich bei der
mitwirkenden Person selbst um einen Berufsgeheimnisträger nach § 203 Abs. 1 oder

2 StGB handelt. So müssen z. B. in einem Krankenhaus die in § 203 Abs. 1 StGB
aufgeführten Berufsgruppen, aber auch z.B. ein für den Berufsgeheimnisträger
tätiger Rechtsanwalt oder Steuerberater nicht verpflichtet werden.

4.5.5 Datenschutzrechtliche Verpflichtung nach Art. 28 Abs. 3b DS-GVO

Bei der Durchführung einer Auftragsverarbeitung (AV) im Sinne von Art. 28 DS-GVO
ist darüber hinaus zu beachten, dass neben der strafrechtlichen Verpflichtung gemäß

§ 203 Abs. 4 StGB auch eine datenschutzrechtliche Verpflichtung gemäß Art. 28

Abs. 3b DS-GVO erfolgen muss.

4.5.6 Muster-Verpflichtungserklärungen

Eine mögliche vertragliche Klausel zur Umsetzung der Anforderungen von § 203

StGB im Rahmen einer Auftragsverarbeitung nebst Erläuterungen findet sich in § 7.1.

Ein Muster zur Umsetzung der datenschutzrechtlichen Verpflichtung nach Art. 28

Abs. 3b DS-GVO nebst Erläuterungen findet sich in Anlage 3 zum Mustervertrag.

Entsprechende Muster zur Umsetzung der Verpflichtung nach § 203 StGB nebst

Erläuterungen finden sich in Anlage 4 zum Mustervertrag.

Version 2.1

Seite 22 von 111

Stand: 14.09.2018

Vorbedingungen für einen AV-Auftrag

5 Vorbedingungen für einen AV-Auftrag

5.1 Auswahl des Auftragsverarbeiters/Auftragnehmers

Generell gilt, dass nur Auftragnehmer beauftragt werden dürfen, die hinreichende

Garantien dafür bieten, dass technische und organisatorische Maßnahmen getroffen
werden, welche den Anforderungen der DS-GVO genügen und den Schutz der

Daten und der Rechte betroffener Personen gewährleisten. Ferner sind auch

Aspekte wie „Fachwissen“, „Zuverlässigkeit“ sowie „Ressourcen“ des

Auftragsverarbeiters mit zu berücksichtigen. Diese Anforderungen ergeben sich,
unabhängig davon, dass sie in der Verordnung (Art. 28 Abs. 1 sowie ErwGr. 81 DS-

GVO) stehen, bereits aus der Tatsache, dass es sich bei Gesundheitsdaten um

„besondere Kategorien personenbezogener Daten“ handelt, für die ein entsprechend
hoher Schutzbedarf gilt.

Eine Auswahl kann im Ergebnis nur als „geeignet“ getroffen angesehen werden,
sofern sie mit dem Zweck erfolgt ist, einen Dienstleister mit einem angemessenen

Datenschutzniveau auszuwählen25. Dies gilt auch dann, wenn nur ein einziger Anbieter zur Verfügung steht.

5.2 Erlaubnistatbestände zur Auftragsverarbeitung

(Landesebene)26

In einigen Gesetzen werden Anforderungen gestellt, an deren Erfüllung die Vergabe
eines Auftrags an eine Stelle außerhalb der Einrichtung geknüpft ist. D. h., die

Verarbeitung von Patientendaten im Auftrag ist z. B. zulässig, wenn:

a) sonst Störungen im Betriebsablauf nicht vermieden werden können,
b) Teilvorgänge der automatischen Datenverarbeitung hierdurch erheblich
kostengünstiger vorgenommen werden können,
c) die für den Auftraggeber zuständige Aufsichtsbehörde vor Auftragsvergabe
informiert wurde oder
d) die für den Auftraggeber zuständige Aufsichtsbehörde vor Auftragsvergabe
um Erlaubnis gebeten wurde.

Diese Regelungen beinhalten keine Anforderungen an die Vertragsgestaltung selbst,
sondern stellen vielmehr zusätzliche Bedingungen im Sinne von Art. 9 Abs. 4 DS-

GVO dar. D. h. diese Regelungen würden auch nach dem 25. Mai 2018 gelten,
sofern die Landesgesetzgeber hier keine Änderung vornehmen. Die Entwicklungen
bleiben hier abzuwarten.

Allerdings spricht Einiges dafür, dass Art. 9 DS-GVO für die Art der Daten, nicht für
den Ort, an dem die Daten verarbeitet werden, gilt. Regelungen, wie beispielsweise

25 Petri T. (2014) in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Rn 55, 56 zu §11

26 Auch das jeweilige Landesrecht (Landesdatenschutzgesetze, datenschutzrechtliche Bestimmungen in Landeskrankenhausgesetzen usw.) muss entsprechend den Vorgaben der EU DS-GVO überarbeitet werden.

D. h. hier werden sich Änderungen ergeben. Daher muss hier die diesbezügliche Entwicklung genau betrachtet werden. Gleiches gilt für Bundesgesetze, wie z. B. dem Sozialdatenschutz in SGB X.

Version 2.1

Seite 23 von 111

Stand: 14.09.2018

Vorbedingungen für einen AV-Auftrag
in Baden-Württemberg27 wären somit unwirksam. Hier eine Auflistung, in welchem Bundesland welche Anforderungen gelten:

)

2

G

§1
n

H

K
g
ay
mmer

)

.m.

)

G
po

S
i.V
or
mber

4 B

G
tz

)

D

)

-V

-V)

tte

)

a
g

H

SG

G
g

K

G

M
ür

G
bs

H

. 7 LK
ur

D

S

G

H

A
s
g

g

D
bur

H

-W

K
bK
n

b
n
rem

H

)

K

Ab
enb
ur
m
en
len
en
er

. 27
lin
s
k

HG
ad
ay
rt
er
rand
reme
amb
es

B

(§48 L

B

(A

B

(§24

B

(§11 B

B

(§10 B

H

(§9 H

H

(§4

HK

Mec

(§39 L

Vermeidung Störungen

-

-

-

-

-

-

-

X

Betriebsablauf

Kostengünstigere

-

-

-

-

-

-

-

X

Abwicklung DV

Vorab Genehmigung

-

-

-

-

-

-

-

-

Behörde

Vorab Information

X1)

-

X2)

-

-

-

-

X

Aufsichtsbehörde

Schweigepflicht entspr.

X

-

-

X

-

-

X

-

§ 203 StGB

1) Gilt für Rechenzentren

2) Gilt für alle öffentlichen Krankenhäuser Berlins, jedoch gelten für andere Gesundheitseinrichtungen die Vorgaben des Landesdatenschutzgesetzes nur für öffentliche Auftraggeber

) G

HK

len

)

)

hs
in

tfa

te

)

lz

G

G
äc
t

ls

G
en
es

W)

al
fa

0 S
o

H

)

hs

)

N
nh

K

-W

-P

SA)

-H

. 9 LK

. 7 LK

. 1

G
ac

G
in

SG
s
d
s

s

-A

-L
ig

S
hür
s

S

D
and
en
en

G
w
gen
er

D
he

Ab
lan

Ab

Ab

S
s
dr

G
nl
hs
hs
le
in
ied
or

7
hei
h
aar
ac
ac
c
hür

N

(§6 N

N

(§

R

(§36

S

(§13

S

(§33

S

(§8 D

S

(§17 LD

T

(§27b T

Vermeidung Störungen

-

X

-

X

-

-

-

X

Betriebsablauf

Kostengünstigere

-

X

-

X

-

-

-

X

Abwicklung DV

Vorab Genehmigung

-

-

X

-

X

-

-

-

Behörde

Vorab Information

(X)

-

-

-

-

-

-

X

Aufsichtsbehörde

Schweigepflicht entspr.

-

X

X

-

X

-

-

X

§ 203 StGB

27 § 48 Landeskrankenhausgesetz Baden-Württemberg beschränkt in Abs. 1 die Datenverarbeitung auf ein Krankenhaus, in Abs. 2 auf „automatisierte Verarbeitung in Rechenzentren“; beides sind als unzulässige Einschränkungen der Regelungen der DS-GVO anzusehen und nach Wirkeintritt der DS-GVO wahrscheinlich als ungültig anzusehen

Version 2.1

Seite 24 von 111

Stand: 14.09.2018

Vorbedingungen für einen AV-Auftrag

5.3 Hinweis für Stellen, die dem Sozialgeheimnis unterliegen

Bzgl. der Informationspflicht der Aufsichtsbehörde ist anzumerken, dass
entsprechend § 80 Abs. 3 SGB X der Auftraggeber vor der Erteilung einer

Verarbeitung von Sozialdaten im Auftrag dies schriftlich der für ihn zuständigen

Aufsichtsbehörde anzuzeigen hat (siehe hierzu auch Kapitel 4.2). § 80 Abs. 5 SGB X
lautet: „ Erhebung, Verarbeitung oder Nutzung von Sozialdaten im Auftrag durch nicht
öffentliche Stellen ist nur zulässig, wenn

1) beim Auftraggeber sonst Störungen im Betriebsablauf auftreten können oder

2) die übertragenen Arbeiten beim Auftragnehmer erheblich kostengünstiger
besorgt werden können und der Auftrag nicht die Speicherung des gesamten

Datenbestandes des Auftraggebers umfasst. Der überwiegende Teil der

Speicherung des gesamten Datenbestandes muss beim Auftraggeber oder
beim Auftragnehmer, der eine öffentliche Stelle ist und die Daten zur weiteren

Datenverarbeitung im Auftrag an nichtöffentliche Auftragnehmer weitergibt,
verbleiben.“

Somit sind – abgesehen von der Forderung bzgl. einer Anzeige28 gegenüber der für den Auftraggeber zuständigen Aufsichtsbehörde –
alle landesrechtlichen

Anforderungen auch zu erfüllen, wenn Sozialdaten verarbeitet werden. Ein

Auftraggeber muss diese Anforderungen des SGB X nur dann nicht beachten, wenn
mit absoluter Sicherheit ausgeschlossen werden kann, dass Sozialdaten verarbeitet
werden.

5.4 Literatur

1) Eckhardt J, Kramer R. (2016) Auftragsdatenverarbeitung beim Einsatz von

Persönlichkeitsanalysetools. DuD: 144-149

2) Härting N. (2016) Auftragsverarbeitung nach der DSGVO. ITRB: 137-140

3) Müthlein T. (2016) ADV 5.0 - Neugestaltung der Auftragsdatenverarbeitung in

Deutschland. RDV: 74-87

4) Schmitz B, von Dall’Armi J. (2016) Auftragsdatenverarbeitung in der DS-GVO –
das Ende der Privilegierung? Wie Daten künftig von Dienstleistern verarbeitet
werden müssen. ZD: 427-432

28 Eine solche Anzeige beinhaltet i.d.R. auch eine entsprechende Prüfung durch die Aufsichtsbehörde Version 2.1

Seite 25 von 111

Stand: 14.09.2018

Abkürzungsverzeichnis

6 Abkürzungsverzeichnis

AEUV

Vertrag über die Arbeitsweise der Europäischen Union (ebenfalls
gebräuchlich: AEU-Vertrag)

AV

Auftragsverarbeitung

Alt.

Alternative

Art.

Artikel

Artt.

Artikel (Mehrzahl)

BayKHG

Bayerisches Krankenhausgesetz

BbgDSG

Brandenburgisches Datenschutzgesetz

BDSG

Bundesdatenschutzgesetz

BGB

Bürgerliches Gesetzbuch

BITKOM

Bundesverband Informationswirtschaft, Telekommunikation und
neue Medien e.V.

BO

Berufsordnung

BremKHDSG

Bremisches Krankenhausdatenschutzgesetz

BvD

Berufsverband der Datenschutzbeauftragten Deutschlands e.V.

bvitg

Bundesverband Gesundheits-IT e.V.

DKG

Deutsche Krankenhausgesellschaft e.V.

DS-GVO

Datenschutz-Grundverordnung

DSG-LSA

Datenschutzgesetz Sachsen-Anhalt

EG

Europäische Gemeinschaft

ErwGr.

Erwägungsgrund/Erwägungsgründe

EU

Europäische Union

EWR

Europäischer Wirtschaftsraum

GDD

Gesellschaft für Datenschutz und Datensicherheit e.V.

GDSG

Gesundheitsdatenschutzgesetz

GMDS

Deutsche Gesellschaft für Medizinische Informatik, Biometrie und

Epidemiologie e.V.

HDSG

Hessisches Datenschutzgesetz

HKHG

Hessisches Krankenhausgesetz

HmbKHG

Hamburgisches Krankenhausgesetz
lit
littera (= Buchstabe).

LKG

Landeskrankenhausgesetz

LKHG

Landeskrankenhausgesetz

Opt.

Optional

ProdHaftG

Gesetz über die Haftung für fehlerhafte Produkte

SächsKHG

Sächsisches Krankenhausgesetz

SGB

Sozialgesetzbuch

StGB

Strafgesetzbuch

StPO

Strafprozessordnung

ThürKHG

Thüringer Krankenhausgesetz

TKG

Telekommunikationsgesetz

Version 2.1

Seite 26 von 111

Stand: 14.09.2018

Abkürzungsverzeichnis

TMG

Telemediengesetz

TOMs
technisch-organisatorische Maßnahmen

UWG

Gesetz gegen den unlauteren Wettbewerb

Version 2.1

Seite 27 von 111

Stand: 14.09.2018

Präambel28F

1

Kommentierter Muster-AV-Vertrag

2

Auftragsverarbeitungsvertrag zwischen

3

Name

4

Anschrift, vertreten durch

5

(Verantwortlicher im Sinne der DS-GVO, nachfolgend „Auftraggeber“ genannt)

6

7
und

8

9

Name

10

Anschrift, vertreten durch

11

(Auftragsverarbeiter im Sinne der DS-GVO, nachfolgend „Auftragnehmer“ genannt)

12

13

Präambel29

14

Alt. 1: Existierender Hauptvertrag

15

Dieser Auftragsverarbeitungs-Vertrag (AV-Vertrag) konkretisiert die

16
datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der im

17

Vertrag

18

19

………………………………………………………………………………

20

(im Folgenden Hauptvertrag genannt) beschriebenen Auftragsverarbeitung ergeben.

21

Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf

22
alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen

23

Mitarbeiterinnen und Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer

24
beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung

25
kommen bzw. kommen können.

26

27

Alt. 2: Hauptvertrag liegt nicht vor

28

Dieser Auftragsverarbeitungs-Vertrag (AV-Vertrag) konkretisiert die

29
datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus den in § 2

30

Gegenstand des Auftrags“ dargestellten Leistungen ergeben.

31

Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf

32
alle Tätigkeiten, die mit der Auftragserfüllung in Zusammenhang stehen und bei

33
denen Mitarbeiterinnen und Mitarbeiter des Auftragnehmers oder durch den

34

Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers

35
in Berührung kommen bzw. kommen können.

36

37

29 Präambel ist je nach Vertragsart ggfs. anzupassen, siehe Kapitel 2 „Einordnung des AV-Vertrages in

Gesamtregelwerke“ auf Seite 12

Version 2.1

Seite 28 von 111

Stand: 14.09.2018

Kommentierung Präambel

Kommentierung Präambel

Gegenstand dieses Vertragsmusters ist in Alternative 1 die Konstellation, dass neben
einem bereits existierenden gesonderten, die eigentliche Leistung beschreibenden

Hauptvertrag nunmehr in dem AV-Vertrag nur die datenschutzrechtlichen

Anforderungen an die in dem Hauptvertrag beschriebene AV geregelt werden.

Insofern stellt der AV-Vertrag lediglich eine datenschutzrechtliche Konkretisierung
dar.

In der dafür vorgesehenen Zeile ist der Name des Hauptvertrages nebst Datum
genau zu benennen.

Literatur

1) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

2) Siebenhüner R. (2013) Wartung technischer Systeme im Krankenhaus durch
externe Dienstleister - Datenschutzrechtliche Aspekte. 1. Auflage. Deutsche

Krankenhaus Verlagsgesellschaft mbH

3) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

4) Vander S. (2013) Möglichkeiten und Grenzen weisungsgebundener

Datenweitergabe - Beauftragung von IT-Leistungen in geheimnisschutzrelevanten

Geschäftsfeldern nach der EuGH-Rechtsprechung. ZD: 492-497

5) Martini M. (2016) Art. 28 DS-GVO, Rn. 43 „Verpflichtung zur Vertraulichkeit bzw.

Verschwiegenheit“ in Paal/Paul (Hrsg.) Datenschutz-Grundverordnung. C.H.Beck

Verlag. ISBN 978-3-406-69570-4

Version 2.1

Seite 29 von 111

Stand: 14.09.2018

§ 1 Definitionen

1

§ 1 Definitionen

2

Es gelten die Begriffsbestimmungen entsprechend Art. 4 DS-GVO, § 2 UWG und § 2

3

TMG sowie Landesdatenschutzgesetz/Landeskrankenhausgesetz [hier bitte das

4
jeweils geltende Rechtswerk benennen]. Sollten in den Artikeln bzw. Paragraphen

5
sich widersprechende Darstellungen zu finden sein, gelten die Definitionen in der

6

Rangfolge DS-GVO, Landesrecht, UWG und TMG. Weiterhin gelten folgende

7

Begriffsbestimmungen:

8

9

(1) Anonymisierung

10

Prozess, bei dem personenbezogene Daten entweder vom für die Verarbeitung

11
der Daten Verantwortlichen allein oder in Zusammenarbeit mit einer anderen

12

Partei unumkehrbar so verändert werden, dass sich die betroffene Person danach

13
weder direkt noch indirekt identifizieren lässt. (Quelle: DIN EN ISO 25237)

14

(2) Drittland

15

Ein Land, welches sich außerhalb der EU/EWR befindet.

16

(3) Hauptvertrag

17

Vertrag (i.d.R. ein Dienst- oder Werkvertrag), in welchem alle Einzelheiten der

18

Verarbeitung beschrieben sind.

19

(4) Unterauftragnehmer

20

Vom Auftragnehmer beauftragter Leistungserbringer, dessen Dienstleistung

21
und/oder Werk der Auftragnehmer zur Erbringung der in diesem Vertrag

22
beschriebenen Leistungen gegenüber dem Auftraggeber benötigt.

23

(5) Verarbeitung im Auftrag

24

Verarbeitung im Auftrag ist die Verarbeitung personenbezogener Daten durch

25
einen Auftragnehmer im Auftrag des Auftraggebers.

26

(6) Weisung

27

Weisung ist die auf einen bestimmten datenschutzmäßigen Umgang (zum

28

Beispiel Anonymisierung, Sperrung, Löschung, Herausgabe) des

29

Auftragnehmers mit personenbezogenen Daten gerichtete schriftliche Anordnung

30
des Auftraggebers. Die Weisungen werden anfänglich durch einen Hauptvertrag

31
festgelegt und können vom Auftraggeber danach in schriftlicher Form durch

32
einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).

33

Version 2.1

Seite 30 von 111

Stand: 14.09.2018

Kommentierung § 1

Kommentierung § 1

Generell sollte auf Rechtsnormen verwiesen werden, wenn dort die benötigten

Definitionen zu finden sind. Ergänzend werden in diesem Abschnitt die

Begrifflichkeiten definiert, welche einerseits für den Vertrag relevant sind,
andererseits an anderer Stelle nicht definiert wurden.

In § 1 des Muster-AV-Vertrages wird in den Zeilen 2-6 daher auf die in DS-GVO,

UWG und TMG enthaltenen Definitionen verwiesen, in den Zeilen 9 - 27 werden die
dort nicht enthaltenen Begriffe „Anonymisierung“, „Unterauftragnehmer“,

„Verarbeitung im Auftrag“ sowie „Weisung“ definiert.

Literatur

1) Artikel-29-Datenschutzgruppe. (2007) Stellungnahme 4/2007 zum Begriff

„personenbezogene Daten“. [Online, zitiert am 2017-02-23]; Verfügbar unter
http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_de.pdf

2) Artikel-29-Datenschutzgruppe. (2010) Stellungnahme 1/2010 zu den Begriffen „für
die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“. [Online, zitiert am

2017-02-23]; Verfügbar unter http://ec.europa.eu/justice/policies/privacy/
docs/wpdocs/2010/wp169_de.pdf

3) Artikel-29-Datenschutzgruppe. (2011) Stellungnahme 15/2011 zur Definition von

Einwilligung. [Online, zitiert am 2017-02-23]; Verfügbar unter
http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-
recommendation/files/2011/wp187_de.pdf

Version 2.1

Seite 31 von 111

Stand: 14.09.2018

§ 2 Gegenstand des Auftrags

1

§ 2 Gegenstand des Auftrags

2

Alt. 1

3

Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten

4

(nachstehend „Daten“ genannt) durch den Auftragnehmer für den Auftraggeber in

5
dessen Auftrag und nach dessen Weisung im Zusammenhang mit … in

6

Ergänzung des … Vertrags der Parteien vom …, (nachstehend „Hauptvertrag“

7
genannt“). Die Vereinbarung gilt entsprechend für (Fern-) Prüfung und Wartung

8
automatisierter Verfahren oder von Datenverarbeitungsanlagen, wenn dabei ein

9

Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

10

Der Auftragnehmer erhält Zugriff auf folgende personenbezogene Daten

11

(dadurch, dass der Auftraggeber ihm die Daten bereitstellt oder ihm einen Zugriff

12
auf die Daten ermöglicht), bzw. der Auftraggeber erlaubt dem Auftragnehmer,

13
folgende personenbezogene Daten zu erheben:

14
a. Bezeichnung der Daten

15

− Personalstammdaten

16

− Besondere Kategorien von Daten(arten), insbesondere

17

• rassische oder ethnische Herkunft,

18

• religiöse Überzeugung

19

• weltanschauliche (philosophische) Überzeugung

20

• politische Überzeugungen/Meinungen

21

• Gesundheit (inkl. genetischer Daten)

22

• Biometrischen Daten zur (eindeutigen) Identifizierung einer

23

Person

24

• Gewerkschaftszugehörigkeit

25

• Sexualleben oder der sexuellen Orientierung

26

Bei den Betroffenen der oben aufgelisteten Daten handelt es sich um:

27

− Patienten

28

− Kunden

29

− Interessenten

30

− Abonnenten

31

− Beschäftigte

32

− Lieferanten

33

− Handelsvertreter

34

− Ansprechpartner

35

− ……………………………….

36
b. Der Zugriff auf die Daten bzw. die Datenerhebung erfolgt wie folgt:

37

Alt. 1.1

38

− Übermittlung durch den Auftraggeber über:

39

……………………………….

40

Alt. 1.2

41

− Beauftragung durch den Auftraggeber: ……………………………….

Version 2.1

Seite 32 von 111

Stand: 14.09.2018

§ 2 Gegenstand des Auftrags

42
c. Der Auftragnehmer erbringt für den Auftraggeber folgende Prüf- bzw.

43

Wartungstätigkeiten, bei denen eine Zugriffsmöglichkeit auf

44
personenbezogene Daten nicht ausgeschlossen werden kann:

45

− Prüfung/Wartung vor Ort, bei denen eine Zugriffsmöglichkeit auf

46
personenbezogene Daten nicht ausgeschlossen werden kann:

47

……………………………….

48

− Hardware-Diagnose per Fernzugriff für folgende

49

Hardwareprodukt(e), bei denen eine Zugriffsmöglichkeit auf

50
personenbezogene Daten nicht ausgeschlossen werden kann:

51

……………………………….

52

− Software-Prüfung/Wartung per Fernzugriff für folgend(e)

53

Softwareprodukt(e), bei denen eine Zugriffsmöglichkeit auf

54
personenbezogene Daten nicht ausgeschlossen werden kann:

55

……………………………….

56

− ……………………………….

57

Alt. 2

58

Gegenstand der Erhebung, Verarbeitung und / oder Nutzung

59
personenbezogener Daten sind folgende Datenarten / -kategorien

60

 Personenstammdaten (z. B Mitarbeiter, Kooperationspartner, nicht med.

61

Patientendaten)

62

 Medizinische Patientendaten (Befunde, Diagnosen, …)

63

 Kontaktdaten/Kommunikationsdaten (z. B. IP-Adressen, Telefon, E-Mail)

64

 Vertragsstammdaten (Vertragsbeziehung, Produkt-
bzw.

65

Vertragsinteresse)

66

 Kundenhistorie

67

 Vertragsabrechnungs- und Zahlungsdaten

68

 Planungs- und Steuerungsdaten

69

 Auskunftsangaben (von Dritten, z. B. Auskunfteien, oder aus öffentlichen

70

Verzeichnissen)

71

 ...

72

Alt. 3

73

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des

74

Auftraggebers. Dies umfasst Tätigkeiten, die im … Vertrag der Parteien vom

75

… (nachstehend „Hauptvertrag“ genannt“) und in der darin enthaltenen

76

Leistungsbeschreibung konkretisiert sind. Im Einzelnen sind insbesondere

77
folgende Daten Bestandteil der Datenverarbeitung:

78

Zweck der

Art der Daten

Kreis der Betroffenen

Datenverarbeitung

79

Version 2.1

Seite 33 von 111

Stand: 14.09.2018

§ 2 Gegenstand des Auftrags

80

Opt. § 2.1 Leistungen des Auftragnehmers

81

Der Auftragnehmer erbringt für den Auftraggeber bezogen auf die in § 2 genannten

82

Daten folgende Leistungen:

83

− … [Aufzählung der vom Auftragnehmer zu erbringenden Leistungen]

84

85

Version 2.1

Seite 34 von 111

Stand: 14.09.2018

Kommentierung § 2

Kommentierung § 2

§ 2 besteht aus genau einem Absatz, zu dem jedoch 3 alternative Formulierungen
angeboten werden. D. h. für einen konkreten Vertrag muss genau eine Alternative
ausgewählt werden. Welche der drei Alternativen zu wählen ist, ist dabei nicht über
die Aufgabe bestimmt, sondern spiegelt eher den Stil der Vereinbarung. Alternative 1
ist die längste und erläutert viele Aspekte an Hand von Aufzählungen, Alternative 2
erlaubt es, mit einer Ankreuzliste schnell aus einer Vorlage einen konkreten Vertrag
zu formen, während Alternative 3 die genaue Beschreibung der einzelnen

Zugriffsszenarien ermöglicht und damit die größte Flexibilität und Genauigkeit aber
auch den größten Aufwand bietet.

Meistens wird der genaue Gegenstand des Auftrags in einem Hauptvertrag
dargestellt sein, sodass an dieser Stelle auf den entsprechenden Vertrag verwiesen
werden kann. Dies ist exemplarisch bei § 2 Alt. 1 und Alt. 3 dargestellt. Gleiches gilt
für die Dauer der Beauftragung (§ 4).

Allerdings muss man hierbei bedenken, dass prüfungsberechtigten Dritten Einblick in
datenschutzrechtlich relevante Vereinbarungen zu gewähren ist. Werden AV- und

Hauptvertrag nicht strukturell getrennt, entsteht ggf. im Fall eines Audits
entsprechender Aufwand für das Unkenntlichmachen des Inhalts, welcher der

Prüfung des jeweiligen (datenschutzrechtlich) Berechtigten nicht unterliegt.

Der Kreis der Betroffenen ist dabei so konkret wie möglich zu erfassen, pauschale

Angaben wie „Kundendaten“ verbieten sich30. Dabei müssen der Zweck, der
betroffene Personenkreis und der beabsichtigte Umgang der Daten einander
zuordenbar angegeben werden25. D. h. erfolgt der Datenumgang zu
unterschiedlichen Zwecken, müssen die Art der Daten und der Kreis der betroffenen

Personen jeweils gesondert dem oder den Verwendungszweck(en) zugeordnet
werden. Dies kann in einer tabellarischen Aufzählung geschehen, wie in § 2 Alt. 3
dargestellt.

Konkretisierung des Auftrags

Meistens wird im eigentlichen Vertrag nicht auf die datenschutzrechtlichen Aspekte
wie die Art der Unterstützung (z. B. Administration der Patientenverwaltung) oder die

Nennung der betroffenen Personenkategorien (Patienten, Angestellte, Zulieferer
usw.) eingegangen, sondern lediglich die technische Funktionalität (beispielsweise
durch die Worte „... Gewährleistung der Funktionsfähigkeit der Software XY“)

beschrieben. Daher müssen diese Angaben in diesem Abschnitt des AV-Vertrags

(§ 2 und in § 2.1) beschrieben werden.

Literatur

1) Hoeren T. (2010) Das neue BDSG und die Auftragsverarbeitung. DuD: 688-691

2) Müthlein T. (2016) ADV 5.0 – Neugestaltung der Auftragsdatenverarbeitung in

Deutschland. RDV: 74-87

30 Petri T. (2014) in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Rn 71 zu §11

Version 2.1

Seite 35 von 111

Stand: 14.09.2018

Kommentierung § 2

3) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

4) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

Version 2.1

Seite 36 von 111

Stand: 14.09.2018

§ 3 Verantwortlichkeit

1

§ 3 Verantwortlichkeit

2

(1) Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der

3
gesetzlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der

4

Datenverarbeitung verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Ziff. 7

5

DS-GVO).

6

Opt. (2) Die Inhalte dieses AV-Vertrages gelten entsprechend, wenn die Prüfung

7
oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen im

8

Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten

9
nicht ausgeschlossen werden kann.

10

(3) Auftraggeber sowie Auftragnehmer müssen gewährleisten, dass sich die zur

11

Verarbeitung der personenbezogenen Daten befugten Personen zur

12

Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen

13

Verschwiegenheitspflicht unterliegen. Dazu müssen alle Personen, die

14
auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen

15
können, auf das Datengeheimnis verpflichtet und über ihre Datenschutzpflichten

16
belehrt werden. Dabei ist jede Partei für die Verpflichtung des eigenen Personals

17
zuständig. Ferner müssen die eingesetzten Personen darauf hingewiesen

18
werden, dass das Datengeheimnis auch nach Beendigung der Tätigkeit

19
fortbesteht.

20

(4) Der Auftraggeber und der Auftragnehmer sind bzgl. der zu verarbeitenden Daten

21
für die Einhaltung der jeweils für sie einschlägigen Datenschutzgesetze

22
verantwortlich.

23

Version 2.1

Seite 37 von 111

Stand: 14.09.2018

Kommentierung § 3

Kommentierung § 3

Verpflichtung Art. 28 DS-GVO

Mit der Anpassung/Änderung des Bundesdatenschutzgesetzes entfällt auch die

Verpflichtung auf das Datengeheimnis entsprechend § 5 BDSG. Die DS-GVO enthält
dem BDSG ähnelnde Regelungen, aber keine identischen.

Ein § 5 S. 1 BDSG entsprechendes Verbot zur unbefugten Verarbeitung
personenbezogener Daten ergibt sich aus Art. 6 Abs. 1 bzw. Art. 9 Abs. 1 DS-GVO,
wodurch das Datengeheimnis nach wie vor begründet ist.

Eine vertragliche Verpflichtung, dass die zur Verarbeitung der personenbezogenen

Daten befugten Personen zur Vertraulichkeit verpflichtet werden oder einer
gesetzlichen Verschwiegenheitspflicht unterliegen, findet sich im Rahmen der

Auftragsverarbeitung in Art. 28 Abs. 3 lit. b DS-GVO. Dies gilt sowohl für die beim

Auftraggeber als auch die beim Auftragnehmer eingesetzten Personen. Außerhalb
der Auftragsverarbeitung kennt die DS-GVO jedoch keine entsprechende

Verpflichtung.

Eine § 5 S. 3 BDSG entsprechende Regelung, dass das Datengeheimnis auch nach

Beendigung der Tätigkeit fortbesteht, findet sich in dieser Form in der DS-GVO
nicht. 31 Grundsätzlich ergibt sich ein Verbot der Weitergabe von während einer Tätigkeit erhaltener Informationen nach Beendigung der Tätigkeit aber bereits aus

Art. 6 Abs. 1 bzw. Art. 9 Abs. 1 DS-GVO, da ein Erlaubnistatbestand zur

Verarbeitung der Daten nur während der Tätigkeit besteht und eine Weitergabe von

Daten nach Beendigung der Tätigkeit mangels Verarbeitungserlaubnis demnach
verboten ist.

Im Rahmen der Auftragsverarbeitung sollten sich die Vertragspartner auf die Inhalte
der Verpflichtungserklärung einigen. Grundsätzlich ist hierbei auch ein mögliches

Mitbestimmungsrecht von Mitarbeitervertretungen zu beachten.

Da derzeit noch keine Musterformulare bzgl. einer Verpflichtung nach § 28 DS-GVO
existieren, befindet sich in Anlage 3 auf Seite 101 ein Formulierungsvorschlag.

Literatur

(1) Eckhardt J, Kramer R. (2016) Auftragsdatenverarbeitung beim Einsatz von

Persönlichkeitsanalysetools. DuD: 144-149

(2) Härting N. (2016) Auftragsverarbeitung nach der DSGVO. ITRB: 137-140

(3) Holländer C. (2014) Auftragsdatenverarbeitung: Aus der Praxis der

Aufsichtsbehörden. ITRB: 115-116

(4) Koós C, Englisch B. (2014) Eine "neue" Auftragsdatenverarbeitung? -

Gegenüberstellung der aktuellen Rechtslage und der DS-GVO in der Fassung
des LIBE-Entwurfs. ZD: 276-285

(5) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

(6) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

31 Die derzeit auf Grundlage von § 5 BDSG verwendeten Verpflichtungserklärungen müssen daher
gegebenenfalls angepasst werden, es sei denn der Gesetzgeber trifft im Zuge der notwendigen

Gesetzesanpassungen eine vergleichbare Regelung. Die diesbezüglichen Entwicklungen bleiben abzuwarten.

Version 2.1

Seite 38 von 111

Stand: 14.09.2018

Kommentierung § 3

Version 2.1

Seite 39 von 111

Stand: 14.09.2018

1

§ 4 Dauer des Auftrags

2

Alt. 1 zu Abs. 1

3

(1) Die Dauer des Auftrags ist in § … des Hauptvertrags zwischen Auftraggeber und

4

Auftragnehmer geregelt, sofern sich aus den Bestimmungen dieses AV-Vertrages

5
nicht etwas anderes ergibt.

6

Alt. 2 zu Abs. 1

7

(1) Die Laufzeit dieses AV-Vertrages richtet sich nach der Laufzeit des

8

Hauptvertrags, sofern sich aus den Bestimmungen dieses AV-Vertrages nicht

9
etwas anderes ergibt.

10

Alt. 3 zu Abs. 1

11

(1) Die Laufzeit dieses AV-Vertrages endet am …, sofern sich aus den

12

Bestimmungen dieses AV-Vertrages nicht etwas anderes ergibt.

13

Alt. 4 zu Abs. 1

14

(1) Der Vertrag wird mit der Unterzeichnung wirksam und läuft auf unbestimmte Zeit.

15

Jede Partei ist berechtigt, den Vertrag mit einer Frist von … Wochen zum

16

Monatsende/Quartalsende/Jahresende (nicht Zutreffendes streichen) zu

17
kündigen.

18

(2) Es ist den Vertragspartnern bewusst, dass ohne Vorliegen eines gültigen AV-

19

Vertrages z. B. bei Beendigung des vorliegenden Vertragsverhältnisses, keine

20

(weitere) Auftragsverarbeitung durchgeführt werden darf.

21

(3) Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt.

22

(4) Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform.

23

Version 2.1

Seite 40 von 111

Stand: 14.09.2018

Kommentierung § 4

Kommentierung § 4

Gesetzlich vorgeschrieben ist, dass die Dauer und damit auch die Beendigung der

AV-Dienstleistung vertraglich geregelt werden (Art. 28 Abs. 3 S.1 DS-GVO). Damit
kann die Dauer des Auftrags befristet werden, jedoch kann der Auftrag auch
unbefristet erteilt werden. In letzterem Fall müssen jedoch die Art und Weise der

Beendigung des Vertrages – durch entsprechende Kündigungsregelungen –
vereinbart werden.

In Alt. 3 zu Abs. 1 ist vorgesehen, dass die Laufzeit des AV-Vertrages zu einem
bestimmten Zeitpunkt endet, sofern sich aus den Bestimmungen des AV-Vertrages
nicht etwas anderes ergibt. Diese Regelung hat den Hintergrund, dass in einem AV-

Vertrag regelmäßig auch Bestimmungen enthalten sein können, die Verpflichtungen
beinhalten, welche eine Beendigung der Auftragsverarbeitung ggf. nicht erlauben.

Z. B. ist „Löschen“ eine Form der Verarbeitung. Löscht ein Auftragnehmer Daten
nach Beendigung des Vertrages, wird er bei wörtlicher Auslegung des Gesetzes zum

Verantwortlichen (Art. 28 Abs. 10 DS-GVO) und darf die Löschung - aber auch die
weiter fortdauernde Speicherung - nur mit einem Erlaubnistatbestand durchführen.

Zudem gab der Auftragnehmer die personenbezogenen Daten in diesem Fall ggf.

ohne Rechtsgrundlage an den Auftragnehmer (bzw. den „neuen“ Verantwortlichen)

weiter und verstößt damit gegen das geltende Recht. Daher ist in Alt. 3 eine
entsprechende Regelung enthalten, entsprechend welcher der AV-Vertrag ggf.

verlängert wird, bis alle sich aus dem AV-Vertrag ergebenden Leistungen erbracht
wurden.

Kündigungsbestimmungen sind in einem AV-Vertrag für den Fall überflüssig, dass
der Hauptvertrag auch für den AV-Vertrag bereits entsprechende Regelungen
enthält.

Literatur

1) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

2) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

3) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

Version 2.1

Seite 41 von 111

Stand: 14.09.2018

§ 5 Weisungsbefugnis des Auftraggebers

1

§ 5 Weisungsbefugnis des Auftraggebers

2

(1) Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen

3

Vereinbarungen und nach dokumentierter Weisung des Auftraggebers.

4

Ausgenommen hiervon sind Sachverhalte, in denen dem Auftragnehmer eine

5

Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird. Der

6

Auftragnehmer unterrichtet soweit ihm möglich in derartigen Situationen den

7

Auftraggeber vor Beginn der Verarbeitung über die entsprechenden rechtlichen

8

Anforderungen. Der Auftraggeber behält sich im Rahmen der in dieser

9

Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht

10
über Art, Umfang und Verfahren der Datenverarbeitung vor, das er durch

11

Einzelweisungen konkretisieren kann.

12

Alt. 1 zu Abs. 2:

13

(2) Die Weisungen des Auftraggebers werden vom Auftragnehmer dokumentiert und

14
dem Auftraggeber unmittelbar nach erfolgter Dokumentation als unterschriebene

15

Kopie zur Verfügung gestellt.

16

Alt. 2 zu Abs. 2:

17

(2) Die Weisungen des Auftraggebers werden vom Auftraggeber dokumentiert und

18
dem Auftragnehmer unmittelbar nach erfolgter Dokumentation als

19
unterschriebene Kopie zur Verfügung gestellt.

20

Alt. 1 zu Opt. Abs. 3:

21

(3) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind

22
von der Weisungsbefugnis des Auftraggebers gedeckt und entsprechend zu

23
dokumentieren. Bei einer vom Auftragnehmer als wesentlich angesehenen

24

Änderung des Auftrags steht dem Auftragnehmer ein Widerspruchsrecht zu.

25

Besteht der Auftraggeber trotz des Widerspruchs des Auftragnehmers auf der

26

Änderung, so ist diese Änderung als wichtiger Grund anzusehen und erlaubt eine

27
fristlose Kündigung des von der Weisung betroffenen AV-Vertrages sowie der von

28
der AV-Vereinbarung betroffenen Bestandteile des entsprechenden

29

Hauptvertrages.

30

Alt. 2 zu Opt. Abs. 3:

31

(3) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind

32
von der Weisungsbefugnis des Auftraggebers gedeckt und entsprechend zu

33
dokumentieren. Bei einer wesentlichen Änderung des Auftrags steht dem

34

Auftragnehmer ein Widerspruchsrecht zu. Besteht der Auftraggeber trotz des

35

Widerspruchs des Auftragnehmers auf der Änderung, so ist diese Änderung als

36
wichtiger Grund anzusehen und erlaubt eine fristlose Kündigung des von der

37

Weisung betroffenen AV-Vertrages sowie der von der AV-Vereinbarung

38
betroffenen Bestandteile des entsprechenden Hauptvertrages.

39

Alt. 3 zu Opt. Abs. 3:

40

(3) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind

41
von der Weisungsbefugnis des Auftraggebers gedeckt und entsprechend zu

42
dokumentieren. Bei einer wesentlichen Änderung des Auftrags steht dem

Version 2.1

Seite 42 von 111

Stand: 14.09.2018

§ 5 Weisungsbefugnis des Auftraggebers

43

Auftragnehmer ein Widerspruchsrecht zu. Besteht der Auftraggeber trotz des

44

Widerspruchs des Auftragnehmers auf der Änderung, steht dem Auftragnehmer

45
ein ordentliches Kündigungsrecht bezüglich des von der Weisung betroffenen AV-

46

Vertrages sowie der von der AV-Vereinbarung betroffenen Bestandteile des

47
entsprechenden Hauptvertrages zu. Verweigert der Auftragnehmer, die Änderung

48
durchzuführen, steht auch dem Auftraggeber ein ordentliches Kündigungsrecht

49
zu. Erfolgt eine Kündigung, so ist für die restliche Vertragslaufzeit weiterhin die

50
vertraglich vereinbarte Leistung durch den Auftragnehmer zu erbringen.

51

(4) Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-

52

Mail (in Textform) bestätigen. Der Auftragnehmer notiert sich Datum, Uhrzeit und

53

Person, welche die mündliche Weisung erteilte sowie den Grund, warum keine

54
schriftliche Beauftragung erfolgen konnte.

55

Opt. (5) Ansprechpartner (weisungsberechtigte Personen) des Auftraggebers sind

Nicht Zutreffende
bitte ausschließen

Geschäftsführung, Verwaltungsleitung

Nein θ

IT-Leitung

Nein θ

Ärzte

Nein θ

Pflegekräfte, Arzthelferinnen

Nein θ

Weitere vom Auftraggeber mit der

Betreuung seiner Daten beauftragte

Nein θ

Personen, z. B. regionale Systembetreuer

56

57

Version 2.1

Seite 43 von 111

Stand: 14.09.2018

Kommentierung § 5

Kommentierung § 5

Die gesetzlichen Vorschriften schreiben dem Auftraggeber vor, dass in einem AV-

Vertrag der Umgang mit den Daten durch den Auftragnehmer beschrieben werden
muss. Insbesondere ist in der DS-GVO vorgeschrieben, dass der Auftragnehmer nur
auf Weisung des Auftraggebers tätig werden darf und dies im Vertrag festgehalten
werden muss (§ 5). Es sollte daher vertraglich geregelt werden, wer diese

Dokumentation vornimmt. Zugleich sollte der nicht-dokumentierende Vertragspartner
immer eine Kopie der Dokumentation erhalten, damit er die Richtigkeit der

Dokumentation zeitnah überprüfen kann.

Es kann gerade im Gesundheitswesen vorkommen, dass eine schnelle Reaktion des

Auftragnehmers erforderlich ist, welche eine vorherige schriftliche Beauftragung nicht
ermöglicht, z. B. weil im Nachtdienst keine unterschriftsberechtigte Person eine
schriftliche Weisung erteilen kann. Reagiert der Auftragnehmer hier auf eine
mündliche Beauftragung seitens des Auftraggebers, um Schaden von Patienten
abzuwenden, so muss der Auftraggeber unverzüglich eine schriftliche Beauftragung
nachreichen. Ohne entsprechende Weisung ist der Auftragnehmer nicht befugt,

Daten in anderer Form zu verarbeiten. Daher ist es aus Sicht des Auftragnehmers
wichtig, dass jede Weisung schriftlich erfolgt und er so den Nachweis des

Tätigwerdens auf Weisung des Auftraggebers auch gegenüber der Aufsichtsbehörde
erbringen kann.

Nachträgliche Änderung der vertraglich vereinbarten Leistungen durch den

Auftraggeber

Gemäß § 5 Abs. 3 sind nach Vertragsabschluss erfolgende Änderungen des
vertraglich vereinbarten Verarbeitungsgegenstandes und Verfahrensänderungen von
der Weisungsbefugnis des Auftraggebers gedeckt („einseitige Möglichkeit der

Änderung der vertraglichen vereinbarten Leistungen") und entsprechend zu
dokumentieren. Dies ist erforderlich, wenn z. B. auf Änderungen der gesetzlichen

Regelungen bzgl. der Verarbeitung der Daten reagiert werden soll, ohne dass eine

Neuverhandlung des Vertrages notwendig ist.

Für die Rechtsfolgen einer wesentlichen Änderung des Auftrags durch den

Auftraggeber sind sodann drei unterschiedliche Regelungsalternativen vorgesehen,
von denen je nach Vertragsausgestaltung eine Variante auszuwählen ist. Nach

Alternative 1 steht dem Auftragnehmer bereits dann ein außerordentliches

Kündigungsrecht zu, wenn er die Änderung persönlich als wesentlich einstuft32.

Demgegenüber ist in den Alternativen 2 und 3 die wesentliche Änderung des

Auftrags Voraussetzung für ein Kündigungsrecht des Auftragnehmers. Der

Unterschied der Alternativen 2 und 3 besteht darin, dass der Auftragnehmer nach

Alternative 2 bei Vorliegen einer wesentlichen Änderung ein außerordentliches

Kündigungsrecht hat, während ihm nach Alternative 3 bei Vorliegen einer

32 Dem EuGH-Urteil vom 19. Juni 2008 (AZ C-454/06, Rn 36,37 [Online, zitiert am 2017-01-27] Verfügbar unter http://curia.europa.eu/juris/document/document.jsf?text=&docid=69189&pageIndex=0&doclang=DE&mode=req&d ir=&occ=first&part=1) folgend ist „wesentliche Änderung“ wie folgt auszulegen: Änderung des ursprünglichen Auftrags sind als wesentlich anzusehen, wenn sie den Auftrag in großem Umfang auf ursprünglich nicht vorgesehene Dienstleistungen erweitern oder das wirtschaftliche Gleichgewicht des Vertrags in einer im ursprünglichen Auftrag nicht vorgesehenen Weise verändern

Version 2.1

Seite 44 von 111

Stand: 14.09.2018

Kommentierung § 5

wesentlichen Änderung ein ordentliches

Kündigungsrecht zusteht. Der

Auftragnehmer hat bei allen Alternativen zunächst ein Widerspruchsrecht und kann
erst dann kündigen, wenn der Auftraggeber trotz des Widerspruchs des

Auftragsnehmers auf der Änderung des Auftrags besteht. Bei der Auswahl einer

Regelungsalternative ist zu berücksichtigen, dass die Möglichkeit einer
außerordentlichen Kündigung durch den Auftragnehmer im Falle einer wesentlichen

Änderung des Auftrags zu einer sofortigen Beendigung des von der Weisung
betroffenen AV-Vertrages führen kann. Bei einer ordentlichen Kündigung läuft das

Vertragsverhältnis bis zum Eintritt der Kündigung (Kündigungsfristen regeln!)

unverändert weiter und der Auftragnehmer muss die vertraglich vereinbarte Leistung
erbringen.

Literatur

(1) Bergt M. (2013) Rechtskonforme Auftragsdatenverarbeitung im Massengeschäft.

DuD: 796-801

(2) Eckhardt J, Kramer R. (2016) Auftragsdatenverarbeitung beim Einsatz von

Persönlichkeitsanalysetools. DuD: 144-149

(3) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

(4) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

(5) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

Version 2.1

Seite 45 von 111

Stand: 14.09.2018

§ 6 Leistungsort32F

1

§ 6 Leistungsort33

2

Alt. 1 zu Abs. 1:

3

(1) Der Auftragnehmer wird die vertraglichen Leistungen in Deutschland erbringen,

4
etwaige Unterauftragnehmer an den mit dem Auftraggeber in Anhang 1

5
vereinbarten Leistungsstandorten in der Europäischen Union (EU) oder im

6

Europäischen Wirtschaftsraum (EWR).

7

Alt. 2 zu Abs. 1:

8

(1) Der Auftragnehmer wird die vertraglichen Leistungen in der Europäischen Union

9

(EU) oder im Europäischen Wirtschaftsraum (EWR) erbringen, etwaige

10

Unterauftragnehmer an den mit dem Auftraggeber in Anhang 1 vereinbarten

11

Leistungsstandorten der Unterauftragnehmer in der Europäischen Union (EU)

12
oder im Europäischen Wirtschaftsraum (EWR).

13

Alt. 3 zu Abs. 1:

14

(1) Der Auftragnehmer wird die vertraglichen Leistungen in Deutschland erbringen.

15

Etwaige Unterauftragnehmer erbringen die sie betreffenden Leistungen in der

16

Europäischen Union (EU) oder im Europäischen Wirtschaftsraum (EWR) oder in

17
einem Drittland. Erfolgt eine Leistungserbringung durch einen

18

Unterauftragnehmer in einem Drittland, garantiert der Auftragnehmer die

19

Einhaltung der diesbezüglichen Vorgaben der DS-GVO und weist dies auf

20

Verlangen nach.

21

Alt. 4 zu Abs. 1:

22

(1) Der Auftragnehmer wird die vertraglichen Leistungen in der Europäischen Union

23

(EU) oder im Europäischen Wirtschaftsraum (EWR) oder in einem Drittland

24
erbringen. Dies gilt in gleicher Weise für etwaige Unterauftragnehmer. Die zum

25

Zeitpunkt der Auftragserteilung vereinbarten Leistungsstandorte sind in Anhang I

26
dargestellt. Erfolgt eine Leistungserbringung in einem Drittland, garantiert der

27

Auftragnehmer die Einhaltung der diesbezüglichen Vorgaben der DS-GVO und

28
weist dies auf Verlangen nach.

29

(2) Der Auftraggeber stimmt einer Verlagerung eines Ortes der Leistungserbringung

30
innerhalb des Leistungslandes, für das eine Zustimmung besteht, zu, wenn dort

31
nachweislich ein gleiches Sicherheitsniveau gegeben ist und keine für den

32

Auftraggeber geltenden gesetzlichen Bestimmungen gegen diese Verlagerung

33
sprechen. Die Nachweispflicht hierzu liegt bei dem Auftragnehmer.

34

(3) Bei einer Verlagerung des Ortes der Leistungserbringung in Länder, die Mitglied

35
der EU / EWR sind und über ein diesem Vertrag genügendes und verifiziertes

36

Datenschutzniveau verfügen, wird der Auftraggeber schriftlich informiert.

37

(4) Sofern der Auftragnehmer vom Auftraggeber nicht innerhalb einer Frist von vier

38

Wochen nach Zugang der Mitteilung gemäß Abs. 3 über die Verlagerung über

33 Für den Fall der Notwendigkeit eines spezifischen Leistungsorts (etwaige Vorgaben aus anderen rechtlichen Regelungen) ist dieses vertraglich verbindlich zu regeln.

Version 2.1

Seite 46 von 111

Stand: 14.09.2018

§ 6 Leistungsort32F

39

Gründe informiert wird, die eine Verlagerung nicht zulassen, gilt die Zustimmung

40
zu dieser Verlagerung seitens des Auftraggebers als erteilt.

41

(5) Wenn der Auftragnehmer die geschuldeten Leistungen ganz oder teilweise von

42
einem Standort außerhalb der EU/EWR in einem sog. sicheren „Drittstaat“

43
erbringen möchte bzw. die Leistungserbringung dorthin zu verlagern plant, wird

44
der Auftragnehmer zuvor die schriftliche Zustimmung durch den Auftraggeber

45
einholen.

46

Opt (6) Bei einer Leistungserbringung in einem sicheren Drittstaat wird der

47

Auftraggeber seine Zustimmung zur Verlagerung nicht unbillig verweigern. Die

48

Einhaltung der diesbezüglichen Vorgaben der DS-GVO wird durch den

49

Auftragnehmer gewährleistet.

50

(7) Sofern die Leistungsverlagerung in ein anderes Land nach den vorstehenden

51

Regelungen möglich ist, gilt dies entsprechend für jeglichen Zugriff bzw. jegliche

52

Sicht auf die Daten durch den Auftragnehmer, z. B. im Rahmen von internen

53

Kontrollen oder zu Zwecken der Entwicklung, der Durchführung von Tests, der

54

Administration oder der Wartung.

55

(8) Sofern die Datenverarbeitung nach dieser Vereinbarung und den gesetzlichen

56

Vorgaben zur Verarbeitung personenbezogener Daten im Auftrag bzw. zur

57

Übermittlung personenbezogener Daten in das Ausland zulässig außerhalb

58

Deutschlands erbracht werden darf, wird der Auftragnehmer für die Einhaltung

59
und Umsetzung der gesetzlichen Erfordernisse zur Sicherstellung eines

60
adäquaten Datenschutzniveaus bei Standortverlagerungen und bei

61
grenzüberschreitendem Datenverkehr Sorge tragen.

62

63

Version 2.1

Seite 47 von 111

Stand: 14.09.2018

Kommentierung § 6

Kommentierung § 6

Im Gegensatz zum BDSG erlaubt die DS-GVO eine Auftragsverarbeitung überall auf
der Welt. Es geht ausschließlich darum, dass das von der DS-GVO definierte

Schutzniveau am Ort der Verarbeitung gewährleistet wird.

Verarbeitung innerhalb der EU

Der freie Verkehr personenbezogener Daten, zu denen auch die vom Landesrecht
adressierten Patientendaten gehören, darf aus Gründen des Schutzes betroffener

Personen bei der Verarbeitung ihrer Daten weder eingeschränkt noch verboten
werden (Art. 1 Abs. 3 DS-GVO34). Somit dürfen auch datenschutzrechtliche

Bestimmungen keine Grundlage für innereuropäische Verkehrsbeschränkungen
sein35.

Unter dem Aspekt, dass die DS-GVO das Datenschutzniveau innerhalb ihres

Geltungsbereichs auf ein einheitlich hohes Niveau hebt, ist diese Regelung auch
nachvollziehbar. ErwGr. 6 der DS-GVO stellt fest, dass „private Unternehmen und

Behörden im Rahmen ihrer Tätigkeiten in einem noch nie dagewesenen Umfang auf
personenbezogene Daten zurückgreifen“ und „auch natürliche Personen

Informationen öffentlich weltweit zugänglich“ machen. Diese Entwicklungen

„erfordern einen soliden, kohärenteren und klar durchsetzbaren Rechtsrahmen im

Bereich des Datenschutzes in der Union“ (ErwGr. 7). Wird dieser Rechtsrahmen
innerhalb der EU jedoch gewährleistet, ist eine Beschränkung der (legitimen)

Verarbeitung personenbezogener Daten auf bestimmte Örtlichkeiten aus Gründen
des Datenschutzes nicht notwendig; alle weisen ja dasselbe Datenschutzniveau,
zumindest aber ein vergleichbares auf. Entsprechend führt ErwGr. 13 aus, dass „der
freie Verkehr personenbezogener Daten in der Union nicht aus Gründen des

Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten
eingeschränkt oder verboten“ werden darf.

Unter Berücksichtigung von Art. 26 Abs. 2 AEUV36 ist auch offensichtlich, dass aus Sicht des europäischen Gedankens eine (unnötige) Beschränkung innerhalb der
europäischen Binnengrenzen nicht mit dem Vertrag über die Arbeitsweise der

Europäischen Union vereinbar ist: der „freie Verkehr von Waren, Personen,

Dienstleistungen und Kapital“ muss gewährleistet sein.

Auftragsverarbeitung außerhalb der EU / des EWR

Gerade im Bereich der medizinischen Informationssysteme existieren neben einigen

Konzernen auch viele kleine mittelständische Unternehmen mit einer Mitarbeiterzahl,
welche einen 24-Stunden-Support in einer 7-Tage-Woche, wie es im Krankenhaus
mitunter notwendig ist, nur anbieten können, indem Mitarbeiter in anderen Ländern
eingesetzt werden. Hierbei ist zu beachten, dass – je nachdem in welchem Land die
mit dem Support oder der Fernwartung beauftragten Mitarbeiter sitzen – eine

Auftragsverarbeitung mit einem deutschen Standardvertrag alleine nicht zulässig ist.

34 EUR-Lex: Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) [Online, zitiert am 2017-01-02] Verfügbar unter http://eur-lex.europa.eu/legal-content/DE/TXT/?qid=1483339883994&uri=CELEX:32016R0679

35 Paal B, Pauly D. (2017) Datenschutz-Grundverordnung: DS-GVO. Art. 1 Rn. 13 C.H.Beck Verlag, 1. Auflage.

ISBN 978-3-406-69570-4

36 Vertrag über die Arbeitsweise der Europäischen Union: Art. 26 [Online, zitiert am 2017-01-02] Verfügbar unter https://dejure.org/gesetze/AEUV/26.html

Version 2.1

Seite 48 von 111

Stand: 14.09.2018

Kommentierung § 6

Innerhalb der Europäischen Union oder des EWR (die Länder der EU sowie Island,

Liechtenstein und Norwegen) existiert ein vergleichbar hohes Datenschutzniveau,
sodass ein AV-Vertrag entsprechend deutschem Recht abgeschlossen werden kann.

Außerhalb der EU / des EWR ist eine Beauftragung unter folgenden

Voraussetzungen möglich:

Eine Beauftragung von Auftragnehmern in Ländern, denen die Europäische

Kommission bereits ein angemessenes Datenschutzniveau attestiert hat, sog.

sichere Drittstaaten, ist rechtlich zulässig; die Liste der Länder steht online zur

Verfügung37.

Bei sog. Drittländern (= Land ohne ein als hinreichend anerkanntes

Datenschutzniveau) ist gemäß Art. 44 DS-GVO ebenfalls die Sicherstellung eines
angemessenen Datenschutzniveaus beim Datenempfänger zu gewährleisten. Um
dies zu bewerkstelligen, hat die Europäische Kommission sogenannte

„Standardvertragsklauseln“ bereitgestellt, welche beim Einsatz eines

Auftragsverarbeiters in einem solchen Drittland verwendet werden müssen, wenn
unter dem Aspekt der Auftragsverarbeitung ein Auftragnehmer eines derartigen

Landes von einem Auftraggeber mit Sitz in der EU beauftragt werden soll. Diese

Vertragsvorgaben ergänzen und präzisieren die Vertragsbedingungen über die
eigentliche Leistungserbringung hinsichtlich der datenschutzrechtlich geforderten

Mindeststandards. 38 Die Rechte und Pflichten der Parteien werden geregelt und müssen unverändert übernommen werden. Seit dem 15.5.2010 müssen die neuen

EU-Standardvertragsklauseln genutzt werden. Die zuvor veröffentlichten Klauseln
dürfen nicht mehr verwendet werden, jedoch behalten bereits bestehende

Vereinbarungen ihre Gültigkeit, solange weiterhin in diesem Verhältnis Daten
übermittelt werden und die Übermittlung und Verarbeitung keiner Änderung
unterliegt.

Entsprechend Art. 49 DS-GVO sind auch Ausnahmen möglich, in denen
personenbezogene Daten in ein Drittland ohne angemessenes Datenschutzniveau
transportiert werden dürfen.

Standardvertragsklauseln der Kommission („EU-Standardvertrag“)

Die derzeit geltenden Standardvertragsklauseln39 behalten entsprechend ErwGr. 171
ihre Gültigkeit, bis sie entweder von der Kommission oder dem EuGH für ungültig
erklärt werden.

Bei Nutzung der Standardvertragsklauseln muss beachtet werden, dass dieser

Vertrag immer zwischen Datenexporteur (dem eigentlichen Auftraggeber) und

Datenimporteur (also die Stelle im Drittland) geschlossen werden. Dies gilt auch,
wenn der Datenimporteur als Unterauftragnehmer eines innerhalb der EU tätigen

Auftragnehmers auftritt. D.h. die „klassische“ Vertragskonstellation bei Einschaltung
eines Unterauftragnehmers ist in diesem Fall nicht gegeben, vielmehr existiert dann
eine direkte Vertragsbeziehung zwischen Auftraggeber und Unterauftragnehmer. In

37 Commission decisions on the adequacy of the protection of personal data in third countries. [Online, zitiert am 2017-02-11] Verfügbar unter http://ec.europa.eu/justice/data-protection/international-transfers/adequacy/
index_en.htm

38 Bzgl. Möglichkeiten der Verarbeitung von Daten in einem Drittland siehe Artt. 44-50 EU DS-GVO sowie entsprechende Kommentierungen

39 EU-Kommission: Beschluss der Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern. [Online, zitiert am 2016-05-26]; Verfügbar unter http://eur-lex.europa.eu/legal-content/DE/TXT/?qid=1445851652852&uri=CELEX:32010D0087

Version 2.1

Seite 49 von 111

Stand: 14.09.2018

Kommentierung § 6
der Praxis findet sich oftmals die Gestaltung, dass sich der Auftragnehmer vom

Auftraggeber die Befugnis geben lässt, dass der Auftragnehmer im Namen des

Auftraggebers einen EU-Standardvertrag mit einer in einem Drittland ansässigen
datenverarbeitenden Stelle abschließt.

Weiterhin ist bei Nutzung der Standardvertragsklauseln zu beachten, dass in Klausel

4 die Pflichten des Datenexporteurs (= Auftraggeber) beschrieben werden, in Klausel

5 die des Datenimporteurs (= Stelle im Drittland).

Der Datenexporteur verpflichtet sich bei Vertragsabschluss u.a. dazu, dass

− er den Datenimporteur auswählte, weil dieser hinreichende Garantien bzgl.

der Sicherheit der personenbezogenen Daten gewährleistet,

− er für die Einhaltung der Sicherheitsmaßnahmen beim Datenimporteur sorgt,

− er die betroffene Person bei der Übermittlung besonderer Datenkategorien vor
oder sobald wie möglich nach der Übermittlung davon in Kenntnis setzt, dass
ihre Daten in ein Drittland übermittelt werden könnten, das kein
angemessenes Schutzniveau bietet

− er der betroffenen Person auf Anfrage eine Kopie des Vertrags mit Ausnahme
sowie eine allgemeine Beschreibung der Sicherheitsmaßnahmen zur

Verfügung stellt

Bei Anwendung der vorliegenden Standardvertragsklausen garantiert der

Datenimporteur insbesondere, dass

− er die personenbezogenen Daten nur im Auftrag des Datenexporteurs und in

Übereinstimmung mit dessen Anweisungen und den vorliegenden Klauseln
verarbeitet; dass er sich, falls er dies aus irgendwelchen Gründen nicht
einhalten kann, bereit erklärt, den Datenexporteur unverzüglich davon in

Kenntnis zu setzen,

− er seines Wissens keinen Gesetzen unterliegt, die ihm die Befolgung der

Anweisungen des Datenexporteurs und die Einhaltung seiner vertraglichen

Pflichten unmöglich machen.

Auftragsverarbeitung in den USA

Die EU-Kommission veröffentlichte am 29. Februar 2016 die Unterlagen bzgl. des

„Privacy Shield“ genannten bilateralen Abkommens zwischen den USA und der

EU40. Am 08. Juli 2016 einigten sich die EU-Mitgliedsstaaten im Rahmen der

Beratungen des sog. Art.-31-Ausschusses mehrheitlich auf die Annahme des

Textes41. Damit soll ein rechtssicherer Ersatz für das vom EuGH für ungültig erklärte Safe Harbor Abkommen zur Verfügung gestellt werden.

Es gibt schon heute eine Vielzahl von Stimmen, welche die Meinung vertreten, dass
das Privacy-Shield-Abkommen den aus dem EuGH-Safe-Harbor-Urteil resultierenden

Anforderungen auch nicht gerecht wird. Die Kommission hat dennoch die

Möglichkeit, das Privacy-Shield-Abkommen als Rechtsmittel anzuerkennen, was am

08. Juli 2016 ja auch geschah. Entsprechend dem Safe-Harbor-Urteil kann
abgesehen von der EU-Kommission selbst nur der EuGH diese Anerkennung
aufheben. D. h. solange dies nicht geschieht, ist das Privacy-Shield-Abkommen als
legales Mittel anzusehen. Es gibt auch einen offiziellen Leitfaden zum Umgang mit

40 Europäische Kommission - Pressemitteilung zur Veröffentlichung (inkl. Link zu Texten) [Online, zitiert am 2017-01-27] Verfügbar unter http://europa.eu/rapid/press-release_IP-16-433_de.htm

41 European Commission: The EU-U.S. Privacy Shield. [Online, zitiert am 2017-01-27] Verfügbar unter http://ec.europa.eu/justice/data-protection/international-transfers/eu-us-privacy-shield/index_en.htm Version 2.1

Seite 50 von 111

Stand: 14.09.2018

Kommentierung § 6
dem Privacy-Shield-Abkommen, der in allen Sprachen der EU Mitgliedsländer
verfügbar ist42.

Die US-Regierung richtete eine eigene Webseite43 zum Privacy-Shield-Abkommen ein, auf welcher u. a. auch die Unternehmen gelistet sind, die sich zur Einhaltung der

Regelungen des Privacy Shields verpflichteten.

Literatur

(1) Eckhardt J, Kramer R. (2016) Auftragsdatenverarbeitung beim Einsatz von

Persönlichkeitsanalysetools. DuD: 144-149

(2) Koós C, Englisch B. (2014) Eine "neue" Auftragsdatenverarbeitung? -

Gegenüberstellung der aktuellen Rechtslage und der DS-GVO in der Fassung
des LIBE-Entwurfs. ZD: 276-285

(3) Müthlein T. (2016) ADV 5.0 – Neugestaltung der Auftragsdatenverarbeitung in

Deutschland. RDV: 74-87

(4) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

(5) Schmitz B, von Dall’Armi J. (2016) Auftragsdatenverarbeitung in der DS-GVO –
das Ende der Privilegierung? - Wie Daten künftig von Dienstleistern verarbeitet
werden müssen. ZD: 427432

(6) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

42 Leitfaden zum EU-US-Datenschutzschild, deutsche Fassung. [Online, zitiert am 2017-01-27] Verfügbar unter http://ec.europa.eu/justice/data-protection/files/eu-us_privacy_shield_guide_de.pdf

43 U.S. Department of Commerce: Privacy Shield Overview. ) [Online, zitiert am 2017-01-27] Verfügbar unter https://www.privacyshield.gov

Version 2.1

Seite 51 von 111

Stand: 14.09.2018

§ 7 Pflichten des Auftragnehmers

1

§ 7 Pflichten des Auftragnehmers

2

(1) Der Auftragnehmer darf Daten nur im Rahmen des Auftrages und der Weisungen

3
des Auftraggebers verarbeiten.

4

(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche

5

Organisation so gestalten, dass sie den besonderen Anforderungen des

6

Datenschutzes gerecht wird. Er wird technische und organisatorische

7

Maßnahmen zur angemessenen Sicherung der Daten des Auftraggebers vor

8

Missbrauch und Verlust treffen, die den Anforderungen der entsprechenden

9
datenschutzrechtlichen Bestimmungen entsprechen; diese Maßnahmen muss

10
der Auftragnehmer auf Anfrage dem Auftraggeber und ggfs. Aufsichtsbehörden

11
gegenüber nachweisen. Dieser Nachweis beinhaltet insbesondere die

12

Umsetzung der aus Art. 32 DS-GVO resultierenden Maßnahmen.

13

Die technischen und organisatorischen Maßnahmen unterliegen dem

14
technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem

15

Auftragnehmer gestattet, alternative, nachweislich adäquate Maßnahmen

16
umzusetzen. Dabei muss sichergestellt sein, dass das vertraglich vereinbarte

17

Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu

18
dokumentieren.

19

Opt. Eine Darstellung dieser technischen und organisatorischen Maßnahmen

20
erfolgt im Anlage 2 zu diesem Vertrag.

21

Opt (3) Der Auftragnehmer stellt dem Auftraggeber auf dessen Wunsch ein

22
aussagekräftiges und aktuelles Datenschutz- und Sicherheitskonzept für diese

23

Auftragsverarbeitung zur Verfügung.

24

(4) Der Auftragnehmer selbst führt für die Verarbeitung ein Verzeichnis der bei ihm

25
stattfindenden Verarbeitungstätigkeiten im Sinne des Art. 30 DS-GVO. Er stellt

26
auf Anforderung dem Auftraggeber die für die Übersicht nach Art. 30 DS-GVO

27
notwendigen Angaben zur Verfügung. Des Weiteren stellt er das Verzeichnis auf

28

Anfrage der Aufsichtsbehörde zur Verfügung.

29

(5) Der Auftragnehmer unterstützt den Auftraggeber bei der

30

Datenschutzfolgenabschätzung mit allen ihm zur Verfügung stehenden

31

Informationen. Im Falle der Notwendigkeit einer vorherigen Konsultation der

32
zuständigen Aufsichtsbehörde unterstützt der Auftragnehmer den Auftraggeber

33
auch hierbei.

34

Opt. (6) Die Wahrung des Fernmeldegeheimnisses entsprechend §88 TKG muss

35
vom Auftragnehmer gewährleistet werden. Dazu muss der Auftragnehmer alle

36

Personen, die auftragsgemäß auf Daten des Auftraggebers mittels Mittel der

37

Telekommunikation wie Telefon oder E-Mail zugreifen können, auf das

38

Fernmeldegeheimnis verpflichten und über die sich daraus ergebenden

39
besonderen Geheimhaltungspflichten belehren.

Version 2.1

Seite 52 von 111

Stand: 14.09.2018

§ 7 Pflichten des Auftragnehmers

40

(7) Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses

41
erlangten Kenntnisse von Betriebsgeheimnissen und

42

Datensicherheitsmaßnahmen des Auftraggebers vertraulich zu behandeln.

43

Opt. (8) Weiterhin sind alle Personen des Auftragnehmers bzgl. der Pflichten zur

44

Wahrung von Geschäfts- und Betriebsgeheimnissen des Auftraggebers zu

45
verpflichten und müssen auf §17 UWG hingewiesen werden.

46

(9) Als Datenschutzbeauftragter ist beim Auftragnehmer derzeit

47

____________________ [ Name, Kontaktdaten] benannt. Ein Wechsel des

48

Datenschutzbeauftragten ist dem Auftraggeber unverzüglich schriftlich

49
mitzuteilen. Der Auftragnehmer gewährleistet, dass die Anforderungen an den

50

Datenschutzbeauftragten und seine Tätigkeit gemäß Art. 38 DS-GVO erfüllt

51
werden. Sofern kein Datenschutzbeauftragter beim Auftragnehmer benannt ist,

52
benennt der Auftragnehmer dem Auftraggeber einen Ansprechpartner.

53

(10) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei Verstößen

54
des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten

55

Personen gegen Vorschriften zum Schutz personenbezogener Daten des

56

Auftraggebers oder der im Vertrag getroffenen Festlegungen. Er trifft die

57
erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung

58
möglicher nachteiliger Folgen für die Betroffenen und spricht sich hierzu

59
unverzüglich mit dem Auftraggeber ab. Der Auftragnehmer unterstützt den

60

Auftraggeber bei der Erfüllung der Informationspflichten gegenüber der jeweils

61
zuständigen Aufsichtsbehörde bzw. den von einer Verletzung des Schutzes

62
personenbezogener Daten Betroffenen nach Artt. 33, 34 DS-GVO.

63

(11) Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks

64

Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer

65
dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

66

(12) Überlassene Datenträger sowie sämtliche hiervon gefertigten Kopien oder

67

Reproduktionen verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer

68
hat diese sorgfältig zu verwahren, sodass sie Dritten nicht zugänglich sind. Der

69

Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen,

70
soweit seine Daten und Unterlagen betroffen sind.

71

(13) Ist der Auftraggeber aufgrund geltender Datenschutzgesetze gegenüber einer

72
betroffenen Person verpflichtet, Auskünfte zur Verarbeitung von Daten dieser

73

Person zu geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen,

74
diese Informationen bereitzustellen, vorausgesetzt der Auftraggeber hat den

75

Auftragnehmer hierzu schriftlich aufgefordert.

76

(14) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen

77
und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde

78
bei dem Auftragnehmer ermittelt.

79

(15) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam

80
machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach

81
gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die

Version 2.1

Seite 53 von 111

Stand: 14.09.2018

§ 7 Pflichten des Auftragnehmers

82

Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch

83
den Auftraggeber bestätigt oder geändert wird.

84

(16) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung

85
oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch

86
sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der

87

Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der

88

Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich

89
darüber informieren, dass die Hoheit und das Eigentum an den Daten

90
ausschließlich beim Auftraggeber als Verantwortlichen im Sinne der DS-GVO

91
liegen.

92

(17) Der Auftragnehmer verwendet die überlassenen Daten für keine anderen

93

Zwecke als die der Vertragserfüllung und setzt auch keine Mittel zur Verarbeitung

94
ein, die nicht vom Auftraggeber zuvor genehmigt wurden.

95

Alt. 1 zu Opt. Abs. 18

96

(18) Der Auftragnehmer speichert keine Patientendaten auf Systemen, die

97
außerhalb der Verfügungsgewalt des Auftraggebers liegen.

98

Alt. 2 zu Opt. Abs. 18

99

(18) Der Auftragnehmer speichert keine Patientendaten auf Systemen, die

100
außerhalb der Verfügungsgewalt des Auftraggebers liegen bzw. die nicht dem

101

Beschlagnahmeschutz unterliegen.

102

(19) Sofern der Auftragnehmer durch das Recht der Union oder Mitgliedstaaten

103
verpflichtet ist, die Daten auch auf andere Weise zu verarbeiten, so teilt der

104

Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der

105

Verarbeitung mit. Die Mitteilung hat zu unterbleiben, wenn das einschlägige

106
nationale Recht eine solche Mitteilung aufgrund eines wichtigen öffentlichen

107

Interesses verbietet.

108

(20) Die Erfüllung der vorgenannten Pflichten ist vom Auftragnehmer zu

109
kontrollieren, zu dokumentieren und in geeigneter Weise gegenüber dem

110

Auftraggeber auf Anforderung nachzuweisen.

Version 2.1

Seite 54 von 111

Stand: 14.09.2018

Kommentierung § 7

Kommentierung § 7

Artt. 28 bis 33 DS-GVO schreiben einige Pflichten des Auftragnehmers vor, andere
ergeben sich aus dem allgemeinen Datenschutzrecht, den landesrechtlichen

Bestimmungen wie auch aus dem Haftungsrecht.

Datenschutz-Folgenabschätzung

Die Verarbeitung von besonderen Kategorien von Daten entsprechend Art. 9 DS-

GVO beinhaltet i. d. R. ein vergleichsweise hohes Risiko für die Rechte und

Freiheiten natürlicher Personen, sodass bei Verarbeitungsvorgängen eine

Datenschutz-Folgenabschätzung entsprechend Art. 35 DS-GVO vorzunehmen ist.

Ggf. resultiert daraus, dass vor der Verarbeitung eine Konsultation der zuständigen

Aufsichtsbehörde entsprechend Art. 36 DS-GVO erforderlich wird. Bei beiden

Pflichten des Auftraggebers ist der Auftragnehmer zur Unterstützung dahingehend
verpflichtet, dass der Auftragnehmer dem Auftraggeber alle ihm selbst zur Verfügung
stehenden Informationen zur Verfügung stellt.

Technisch-organisatorische Maßnahmen

Die eigentlichen technisch-organisatorischen Maßnahmen (TOMs), welche der

Auftragnehmer zum Schutz der ihm anvertrauten Daten trifft, können in einem

Anhang (Opt. unter Abs. 2) dargestellt werden. Hier wird vertraglich festgehalten,
dass der Auftragnehmer die Vorschriften der DS-GVO berücksichtigt und einhält
sowie dem Auftraggeber nachweist (§ 3 Ziff. (2)).

Der Gesetzgeber schreibt vor, dass der Auftragnehmer hinreichende Garantien dafür
bieten muss, dass geeignete technische und organisatorische Maßnahmen so
durchgeführt werden, dass die Verarbeitung im Einklang mit der DS-GVO erfolgt und
den Schutz der Rechte der betroffenen Person gewährleistet, nicht jedoch, wie dies
genau zu geschehen hat. Art. 32

Abs. 1 DS-GVO gibt allerdings

Rahmenbedingungen vor, die einzuhalten sind. Insbesondere muss der Stand der

Technik berücksichtigt werden, aber auch die Implementierungskosten sowie die

Eintrittswahrscheinlichkeit einer Datenpanne und das Risiko für die betroffene(n)

Person(en).

Der Auftraggeber muss ggf. der Aufsichtsbehörde gegenüber den Auswahlprozess
und die diesbezüglich zugrundeliegenden Beurteilungskriterien nachweisen. Daher
darf bzgl. des Nachweises, wieso der Auftragnehmer aus Sicht des Auftraggebers für
die Verarbeitung geeignet ist, keine Beschränkung durch den Auftragnehmer
erfolgen. Eine Beschränkung von Seiten des Auftragnehmers auf eine
ausschließliche Beurteilung auf der Grundlage von Zertifikaten wäre beispielsweise
unzulässig. (Abgesehen davon hätte speziell diese Regelung den Nachteil, dass der

Auftragsverarbeitungsprozess sofort beendet werden müsste, wenn das Zertifikat
einmal nicht verlängert würde.)

Verweigert der Auftragnehmer die Umsetzung bzw. Anpassung der aus Sicht des

Auftraggebers mindestens zur Gewährleistung des Schutzbedarfs der

Patientendaten erforderlichen Maßnahmen, so kann dies die Datenverarbeitung
durch den Auftragnehmer rechtswidrig machen. Daher müssen die TOMs
entsprechend den sich wandelnden Gegebenheiten angepasst werden können, ohne

Version 2.1

Seite 55 von 111

Stand: 14.09.2018

Kommentierung § 7
dass damit der Vertrag als solches geändert werden müsste. Daher wird in § 3 Zeilen

13-18 des Muster-AV-Vertrages genau auf diesem Umstand hingewiesen.

Datenschutzbeauftragter

Der Auftrag darf nur erteilt werden, wenn bei Vorliegen einer gesetzlichen

Benennungspflicht beim Auftragnehmer ein ordentlich benannter

Datenschutzbeauftragter vorhanden ist, welcher dem Auftraggeber namentlich
mitgeteilt werden muss (§ 7 Ziff. 8).

Als fachliche Voraussetzungen verweist die DS-GVO in Art. 37 Abs. 5 insbesondere
auf das Fachwissen, das der Datenschutzbeauftragte auf dem Gebiet des

Datenschutzrechts und der Datenschutzpraxis besitzt, sowie die Fähigkeit, seine

Aufgaben gemäß Art. 39 DS-GVO zu erfüllen.

Die Artikel-29-Datenschutzgruppe veröffentlichte am 13.12.2016 eine Leitlinie sowie
ein FAQ bzgl. des Themas „Datenschutzbeauftragter“44. Die Artikel-29-

Datenschutzgruppe geht in dieser Leitlinie u. a. auf die Bestellpflicht ein, Da in
sämtlichen bisher bekannt gewordenen Entwürfen für das Nachfolgegesetz des

BDSG an der aktuell in Deutschland geltenden Bestellpflicht festgehalten wird, greift
die deutsche Bestellpflicht früher als die DS-GVO, so dass diese Empfehlungen für

Deutschland wohl nicht anwendbar sind; abgesehen vielleicht von der Empfehlung,
die Überlegungen zur Benennungspflicht bzw. Nicht-Benennung bei der jeweiligen

Stelle zu dokumentieren. Bzgl. der fachlichen Qualifikation werden einerseits
ausgewiesene Kenntnisse im nationalen und europäischen Datenschutzrecht sowie
insbesondere der DS-GVO verlangt, andererseits bzgl. des Wissens in technischen

Angelegenheiten ein ausreichendes Verständnis der Verarbeitungstätigkeiten
vorausgesetzt; die Artikel-29-Datenschutzgruppe stellt zugleich klar, dass sich die

Anforderungen an den Datenschutzbeauftragten je nach Unternehmen und Branche
unterscheiden können.

Der Düsseldorfer Kreis veröffentlichte die Mindestanforderungen an Fachkunde und

Unabhängigkeit eines Datenschutzbeauftragten45. Dies sind, wie es der Titel schon besagt, die Mindestanforderungen, die für eine ordnungsgemäße Bestellung
unabdingbar sind. Die Erfüllung dieser Bedingungen muss dem Auftraggeber im

Rahmen seiner Überzeugungsbildung nachgewiesen werden.

Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) veröffentlichte
ein berufliches Leitbild des Datenschutzbeauftragten46. Darin werden z. T.

Anforderungen beschrieben, die über die Ansprüche des Düsseldorfer Kreises
hinausgehen. Es orientiert sich sowohl an den verpflichtenden Aufgaben gemäß DS-

GVO, beschreibt aber auch Aufgaben, bei denen der Datenschutzbeauftragte die

Verantwortlichen unterstützen kann. Es ist wünschenswert, dass der

Datenschutzbeauftragte des Auftragnehmers dem beruflichen Leitbild des BvD
genügt; für die Auftragsvergabe ist dies jedoch keine zwingende Voraussetzung.

44 Article 29 Working Party: Guidelines and FAQs on Data Protection Officers (DPO). [Online] 2016 [Zitiert 2017-02-11] Verfügbar unter http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083

45 Beschluss der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich (Düsseldorfer Kreis am 24./25. November 2010). [Online] 2010 [Zitiert 2014-03-31] Verfügbar unter
http://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/DuesseldorferKreis/24112010-MindestanforderungenAnFachkunde.pdf?__blob=publicationFile

46 Berufsverband der Datenschutzbeauftragten Deutschlands: Berufliches Leitbild der Datenschutzbeauftragten).

[Online] 2016 [Zitiert 2016-12-02] Verfügbar unter https://www.bvdnet.de/berufsbild.html

Version 2.1

Seite 56 von 111

Stand: 14.09.2018

Kommentierung § 7

Sofern keine gesetzliche Benennungspflicht besteht, ist die freiwillige Benennung
eines Datenschutzbeauftragten in Anbetracht der Sensibilität der Daten, der
gesetzlichen Kontroll-, Prüf- und Dokumentationspflichten sowie der evtl.

durchzuführenden Datenschutzfolgeabschätzung empfehlenswert. Zwingend muss
aber dem Auftraggeber ein kompetenter Ansprechpartner benannt werden.

Mitteilung bei Verstößen

Der Auftragnehmer muss den Auftraggeber über Missachtungen bzgl. der vertraglich
vereinbarten Leistungen bzw. über datenschutzrechtliche Verstöße informieren (§ 7

Ziff. 9), damit der Auftraggeber seiner gesetzlichen Verpflichtung bzgl.

Benachrichtigung des Betroffenen bzw. Mitteilung an die Aufsichtsbehörde
nachkommen kann.

Hinweis bei Zweifel an der Rechtmäßigkeit einer Beauftragung

Der Auftragnehmer ist zwar nicht verpflichtet, die Rechtmäßigkeit des
auftragsgemäßen Umgangs sorgfältig zu prüfen, denn dies ist die Aufgabe des

Auftraggebers. Existieren jedoch Zweifel an der Rechtmäßigkeit, so ist der

Auftragnehmer unverzüglich zu einem Hinweis gegenüber dem Auftraggeber
verpflichtet. Eine Informationspflicht des Auftragnehmers bei Zweifeln ergibt sich
auch aus den nebenvertraglichen Pflichten (z. B. BGH, Urt. v. 19. Mai 2011, AZ: VII

ZR 24/08). Unter der Maßgabe, dass unter der DS-GVO ähnliche Regelungen
vorhanden sind und die Rechtsprechung bestehen bleibt, gilt auch weiterhin: Für
einen entsprechenden Hinweis darf der Auftragnehmer daher nicht warten, bis er
sichere Kenntnis von der Rechtswidrigkeit hat. Betrifft der Auftrag besonders sensible

Daten wie Gesundheitsdaten, so ist der Auftragnehmer zudem zu einer erhöhten

Aufmerksamkeit verpflichtet.

Die Verantwortlichkeit des Auftraggebers bedingt, dass er bei unsicherer Rechtslage
grundsätzlich die Erfüllung seiner Weisung durch den Auftragnehmer verlangen
kann. Der Auftragnehmer hat nur das Recht, die Durchführung einer Weisung zu
verweigern, wenn

− die Rechtslage eindeutig ist,

− schwere Persönlichkeitsverletzungen im Raum stehen oder

− der Auftragnehmer bei einer Durchführung das Risiko einer strafbaren

Handlung auf sich nehmen würde.

§ 7 Abs. (15) bietet daher dem Auftragnehmer die Möglichkeit, aus seiner Sicht rechtswidrige Verarbeitungen bis zu einer Bestätigung oder Änderung des Auftrags
durch den Auftraggeber auszusetzen, da allein der hinweispflichtige Zweifel an der
rechtskonformen Verarbeitung den Auftragnehmer ansonsten nicht berechtigen
würde, eine ggf. rechtswidrige Verarbeitung durchzuführen.

Verpflichtung des vom Auftragnehmer eingesetzten Personals

Im Rahmen der Wartung wird des Öfteren auch das Fernmeldegeheimnis betroffen
sein, sodass eine Verpflichtung der Mitarbeiter nach § 88 TKG sinnvoll erscheint,
auch wenn der Auftragnehmer nicht zwingend ein Dienstanbieter entsprechend der

Definition von § 7 Ziff. 6 TKG ist.

Das Gesetz gegen den unlauteren Wettbewerb (UWG) setzt in § 17 den Verrat von

Geschäfts- und Betriebsgeheimnissen unter Strafe. Neben den üblichen Geschäfts-

Version 2.1

Seite 57 von 111

Stand: 14.09.2018

Kommentierung § 7
und Betriebsgeheimnissen sind auch die während der Tätigkeit für den Auftraggeber
vom Auftragnehmer erlangten Patientendaten als derartige Geheimnisse zu werten,
deren Weitergabe strafrechtlich verfolgt werden kann. Durch eine Verpflichtung des
vom Auftragnehmer eingesetzten Personals auf § 17 UWG wird der Verrat von

Geheimnissen strafrechtlich verfolgbar. Daher wird im Muster AV-Vertrag die

Verpflichtung zur Wahrung von Geschäfts- und Betriebsgeheimnissen gefordert (§ 7

Ziff. 7).

Ersuchen eines Betroffenen auf Berichtigung und Löschung von Daten

Betroffene haben grundsätzlich das Recht auf Berichtigung, Einschränkung der

Verarbeitung (bisherige Begrifflichkeit „Sperrung“) und Löschung der Daten. Im

Rahmen einer Auftragsverarbeitung bleibt jedoch der Auftraggeber dem jeweiligen

Betroffenen gegenüber verantwortlich, sodass nur der Auftraggeber den

Auftragnehmer mit der Einleitung entsprechender Maßnahmen beauftragen kann

(§ 7 Ziff. 12).

Für den Fall, dass sich ein Betroffener direkt an den Auftragnehmer wendet, wird
vertraglich festgehalten, wie damit umzugehen ist (§ 7 Ziff. 10). Da der

Auftragnehmer nicht „Herr der Daten“ ist, darf er an Betroffene oder gar Dritte von
sich aus keine Auskünfte geben, sondern dies muss immer vom Auftraggeber im

Einzelfall entschieden und ggf. der Auftragnehmer mit der Auskunftserteilung seitens
des Auftraggebers beauftragt werden (§ 7 Ziff. 12).

Gesetzliche Offenbarungspflicht

Gesetzliche Offenbarungspflichten können für den Auftragnehmer beispielsweise aus

− Nichtanzeige geplanter (besonders schwerer) Straftaten wie Mord oder

Totschlag, erpresserischen Menschenraub oder Geiselnahme (§ 138 StGB
bzw. § 139 StGB)

− § 34 StGB rechtfertigendem Notstand
resultieren. Weiterhin kann eine Weitergabe der Daten im Rahmen einer

− Pfändung,

− Beschlagnahme,

− Zwangsvollstreckung oder

− Insolvenz
des Auftragnehmers erfolgen. Dem Auftragnehmer ist diesbezüglich die Pflicht
aufzuerlegen, dass im Falle einer drohenden, rechtlich nicht zu verhindernden

Weitergabe der Daten des Auftraggebers letzterer unverzüglich zu informieren ist.

Umgang mit Pfändung

Prinzipiell sollten beim Auftragnehmer keine Patientendaten gespeichert werden,
sondern die Datenverarbeitung sollte ausschließlich beim Auftraggeber stattfinden. In
einem (zu begründenden) Einzelfall kann es entsprechend den landesrechtlichen

Bestimmungen dennoch notwendig sein, dass Daten nur beim Auftragnehmer
gespeichert und verarbeitet werden.

Für diesen Fall müssen bzgl. des Umgangs bei Gefahr einer Beschlagnahme oder

Pfändung der Daten des Auftragnehmers vertragliche Regelungen getroffen werden

(§ 7 Ziff. 15).

Version 2.1

Seite 58 von 111

Stand: 14.09.2018

Kommentierung § 7

Beschlagnahmeschutz

Der Beschlagnahmeschutz für Patientendaten gilt entsprechend § 97 StPO, wenn
sich die Gegenstände bzw. Dokumente im Gewahrsam
a) des Arztes oder
b) einer Krankenanstalt, d. h. in deren Räumlichkeiten befinden oder
c) eines Dienstleisters, der für den Arzt bzw. die Institution personenbezogene

Daten erhebt, verarbeitet oder nutzt (§ 97 Abs. 2 S. 2 StPO).

Ohne einen rechtswirksamen AV-Vertrag wird man wohl davon ausgehen müssen,
dass bei einem Dienstleister kein Beschlagnahmeverbot gilt. Bzgl. der

Rechtskonformität eines AV-Vertrages muss ggfs. auch die Diskussion bzgl. der
gesetzlich vorgeschriebenen Schweigepflicht (siehe Kapitel 4.5) berücksichtigt werden.

§ 7 sieht in Abs. 17 als optionale Regelung vor, dass der Auftragnehmer keine

Patientendaten auf Systemen speichert, die außerhalb der Verfügungsgewalt des

Auftraggebers liegen und als weitere Alternative, dass der Auftragnehmer keine

Patientendaten auf Systemen speichert, die außerhalb der Verfügungsgewalt des

Auftraggebers liegen bzw. die nicht dem Beschlagnahmeschutz unterliegen. Durch
eine solche Regelung soll sichergestellt werden, dass eine Datenverarbeitung
außerhalb der Verfügungsgewalt des Auftraggebers bzw. in Ländern, in denen kein

Beschlagnahmeschutz beim Auftragnehmer besteht, ausgeschlossen ist. Diese

Regelung ist zu streichen, sofern dies je nach Fallgestaltung technisch nicht möglich
sein sollte.

Datenschutzverstöße beim Auftragnehmer

Der Auftraggeber ist und bleibt im Rahmen einer Auftragsverarbeitung „Herr der

Daten“. Dementsprechend muss er auch jederzeit über Vorkommnisse in Bezug auf
den Umgang mit seinen Daten informiert werden, damit er entsprechend den
gesetzlichen Bestimmungen den Betroffenen oder die für ihn zuständige

Aufsichtsbehörde informieren kann. Damit er diese gesetzliche Verpflichtung
einhalten kann, muss der Auftragnehmer vertraglich zur Weitergabe entsprechender

Informationen verpflichtet werden (§ 7 Ziff. 9 und 13), dies gilt sowohl für auftretende

Datenschutzverstöße wie auch für beim Auftragnehmer stattfindende Kontrollen
durch Aufsichtsbehörden.

Auskunft durch den Auftraggeber

Der Auftraggeber muss auf Nachfrage den betroffenen Personen über Art und

Umfang der Verarbeitung seiner Daten informieren. Dabei ist der Auftraggeber ggf.

darauf angewiesen, dass der Auftragnehmer ihm Informationen bzgl. der von ihm
durchgeführten Datenverarbeitung gibt. Um der gesetzlichen Auskunftspflicht
nachzukommen, muss der Auftraggeber diese Pflicht des Auftragnehmers daher im

AV-Vertrag verankern (§ 3 Ziff. 12).

Zweitnutzung der Daten durch den Auftragnehmer

Die DS-GVO stellt ausdrücklich fest, dass Daten nur auf dokumentierte Weisung des

Auftraggebers verarbeitet werden dürfen. Dies schließt jegliche eigenständige

Verarbeitung der Daten zu Zwecken des Auftragnehmers aus.

Version 2.1

Seite 59 von 111

Stand: 14.09.2018

Kommentierung § 7

Verarbeitet ein Auftragnehmer Daten des Auftraggebers zu eigenen Zwecken oder
bestimmt eigenständig und unabhängig vom Auftraggeber die Mittel der

Verarbeitung, so wird er dadurch entsprechend Art. 28 Abs. 10 DS-GVO in Bezug auf
diese Verarbeitung selbst Verantwortlicher. Dies beinhaltet eine Datenweitergabe
vom Auftraggeber an den Auftragnehmer, welche einen Erlaubnistatbestand im

Sinne von Art. 9 DS-GVO benötigt. Um dies zu vermeiden, muss dem Auftragnehmer
eine entsprechende eigenständige Verarbeitung vertraglich untersagt werden.

Zuständige Aufsichtsbehörde

Grundsätzlich können sowohl Auftragnehmer als auch Auftraggeber durch die
zuständige Aufsichtsbehörde kontrolliert werden, obwohl bzgl. des konkreten

Umgangs mit personenbezogenen Daten zunächst der Auftraggeber Adressat
aufsichtsbehördlicher Maßnahmen sein dürfte. Maßnahmen beim Auftragnehmer
sind jedoch auch immer möglich.

Literatur

1) Bergt M. (2013) Rechtskonforme Auftragsdatenverarbeitung im Massengeschäft.

DuD: 796-801

2) Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (2010)

Kontrollzuständigkeiten bei Datenverarbeitung im Auftrag. [Online, zitiert am

2017-02-23]; Verfügbar unter
http://www.bfdi.bund.de/SharedDocs/Publikationen/Arbeitshilfen/Kontrollzustaendi
gkeitAufragsdatenverarbeitung.pdf?__blob=publicationFile

3) Gaulke M. (2011) Prüfung der Einhaltung der technischen und organisatorischen

Maßnahmen bei Auftragsdatenverarbeitungen. DuD: 417-420

4) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

5) Münch P. (2010) Technisch-organisatorischer Datenschutz: - Leitfaden für

Praktiker. 4. Auflage. Datakontext Verlag

6) Müthlein T. (2016) ADV 5.0 – Neugestaltung der Auftragsdatenverarbeitung in

Deutschland. RDV: 74-87

7) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

8) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

Version 2.1

Seite 60 von 111

Stand: 14.09.2018

§ 7.1 Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB

1

§ 7.1 Vereinbarung zur Wahrung des Berufsgeheimnisses nach

2

§ 203 StGB

3

(1) Im Rahmen dieses Auftrages werden auch Daten verarbeitet, die unter ein

4

Berufsgeheimnis (im Sinne von § 203 StGB) fallen.

5

Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse Stillschweigen zu

6
bewahren und sich nur insoweit Kenntnis von diesen Daten zu verschaffen, wie

7
dies zur Erfüllung der ihm zugewiesenen Aufgaben erforderlich ist.

8

Opt. Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich Personen,

9
die an der beruflichen Tätigkeit eines Berufsgeheimnisträgers mitwirken und

10
unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei der Ausübung oder

11
bei Gelegenheit ihrer Tätigkeit bekannt geworden ist, strafbar machen nach

12

§ 203 Abs. 4 S. 1.

13

Zudem macht sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB

14
strafbar, sollte sie sich einer weiteren mitwirkenden Person bedienen, die

15
ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit

16
ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, und nicht dafür

17

Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde.

18

Opt. (2) Es obliegt dem Auftraggeber die Bewertung vorzunehmen, welche der zu

19
verarbeitenden Daten dem Schutz von § 203 StGB unterliegen und dies für den

20

Auftragnehmer kenntlich zu machen.

21

(2) Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung von dem

22

Berufsgeheimnis unterliegenden Daten des Auftraggebers befassten

23

Beschäftigten und andere für den Auftragnehmer tätigen Personen (z. B.

24

Subunternehmer), die damit befasst sind, sich in Textform dazu verpflichtet

25
haben, die ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt

26
gewordenen Berufsgeheimnisse nicht unbefugt zu offenbaren und sie über die

27
mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden. Der Auftraggeber

28
weist den Auftragnehmer darauf hin, dass sich eine mitwirkende Person nach

29

§ 203 Abs. 4 S. 2 StGB strafbar macht, sollte sie sich einer weiteren mitwirkenden

30

Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder

31
bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, und die

32
mitwirkende Person nicht dafür Sorge getragen hat, dass die weitere mitwirkende

33

Person zur Geheimhaltung verpflichtet wurde.

34

Alt. 1 zu Abs. 3:

35

(3) Der Einsatz von Unterauftragnehmern zur Verarbeitung der Daten des

36

Auftraggebers ist nicht gestattet.

37

Alt. 2 zu Abs. 3:

38

(3) Der Auftragnehmer ist berechtigt, Unterauftragnehmer zur Vertragserfüllung

39
heranzuziehen. Im Ausland dürfen Unterauftragnehmer zur Vertragserfüllung nur

40
dann herangezogen werden, wenn der dort bestehende Schutz der Geheimnisse

41
dem Schutz im Inland vergleichbar ist.

Version 2.1

Seite 61 von 111

Stand: 14.09.2018

§ 7.1 Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB

42

Der Auftragnehmer wird etwaige Unterauftragnehmer sorgfältig auswählen und

43
diese, soweit sie im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen

44
im Sinne dieser Vereinbarung erlangen könnten, zur Geheimhaltung verpflichten.

45

Der Auftragnehmer wird ferner etwaige Unterauftragnehmer dazu verpflichten,

46
sämtliche von diesen eingesetzte Personen und etwaige weitere

47

Unterauftragnehmer, die bestimmungsgemäß mit Geheimnisschutzdaten in

48

Berührung kommen oder bei denen dies nicht auszuschließen ist, nach den zuvor

49
genannten Grundsätzen zur Verschwiegenheit zu verpflichten und über die

50

Folgen einer Pflichtverletzung zu belehren.

51

Des weiteren werden Subunternehmer, über das bestehende Schweigerecht

52
gemäß § 53a StPO sowie den Beschlagnahmeschutz gemäß § 97 StPO

53
informiert; dies beinhaltet auch den Hinweis bzgl. des Rechts des

54

Berufsgeheimnisträgers, über dieses Recht zu entscheiden und der damit

55
verbundenen Pflicht des AN, unverzüglich den Auftraggeber bzgl. der

56

Wahrnehmung dieser Rechte zu kontaktieren.

57

Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.

58

(4) Der Auftragnehmer wird darauf hingewiesen, dass Daten, die er im Auftrag eines

59

Berufsgeheimnisträgers verarbeitet u. U. dem Zeugnisverweigerungsrecht von

60
sogenannten mitwirkenden Personen unterliegen (§ 53a Strafprozessordnung

61

(StPO)). Entsprechend § 53a StPO entscheidet jedoch der Berufsgeheimnisträger

62
über die Ausübung des Schweigerechts. Im Falle einer Befragung wird der

63

Auftragnehmer unter Hinweis auf § 53a StPO dieser widersprechen und

64
unverzüglich den Auftraggeber informieren, der daraufhin bzgl. der Wahrnehmung

65
des Schweigerechts entscheidet.

66

(5) Der Auftragnehmer wird darauf hingewiesen, dass die in seinem Gewahrsam

67
befindlichen Geheimnisschutzdaten dem Beschlagnahmeverbot gemäß § 97

68

Abs. 2 StPO unterliegen. Die Daten dürfen nicht ohne das Einverständnis des

69

Auftraggebers (Berufsgeheimnisträger) herausgegeben werden. Im Falle einer

70

Beschlagnahme wird der Auftragnehmer dieser widersprechen und unverzüglich

71
den Auftraggeber informieren.

72

73

Version 2.1

Seite 62 von 111

Stand: 14.09.2018

Kommentierung § 7.1

Kommentierung § 7.1

Sowohl die Vertragsklauseln als auch die in Anlage

4 enthaltene

Verpflichtungserklärung wurden von einer gemeinsamen Arbeitsgruppe der

Verbände

- Hartmannbund

- Bundesverband Gesundheits-IT e. V. (bvitg)

- Bundesverband Informationswirtschaft, Telekommunikation und neue Medien
e. V. (bitkom)

- Bundeszahnärztekammer

- Deutsche Krankenhausgesellschaft e.V. (DKG)

erstellt und werden von den Autoren dieses Muster-Auftragsverarbeitungsvertrages
für die Verwendung bei Auftragsverarbeitungen, in denen von § 203 StGB
geschützte Daten verarbeitet werden, empfohlen.

Zielrichtung der Vertragsklauseln

§ 203 StGB richtet sich an natürliche Personen, da nur eine natürliche Person

Adressat einer Strafandrohung sein kann. Dementsprechend können juristische

Personen, wie z .B. eine GmbH oder AG, nicht auf die Einhaltung des § 203 StGB
verpflichtet werden. D. h. obwohl bei der Verarbeitung von personenbezogenen

Daten im Auftrag juristische Personen die eigentlichen Handlungsträger sind, werden
diese nicht direkt von der Strafnorm adressiert.

Damit der Berufsgeheimnisträger seinen gesetzlichen Auftrag erfüllt und die
geschützten Geheimnisse gewahrt bleiben, muss daher der Auftragsverarbeiter
vertraglich verpflichtet werden

1) alle (natürlichen) Personen, die von ihm eingesetzt werden und denen
gegenüber er weisungsberechtigt ist, zur Geheimhaltung entsprechend § 203

StGB zu verpflichten und

2) diese vertragliche Pflicht zur Verschwiegenheitsverpflichtung an alle
natürlichen und juristischen Personen, die von ihm eingesetzt werden und die
der Auftragsverarbeiter nicht selbst verpflichten kann, weiterzugeben.

Dies wird durch die vertragliche Abrede in § 7.1 sichergestellt, unabhängig davon, ob
der Auftragnehmer eine natürliche oder eine juristische Person ist.

Vorgaben aus gesetzlichen Berufsvorschriften

Mit dem „Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der

Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen“ wurden
neben § 203 StGB und den §§ 53a, 97, 160a StPO auch die

Bundesrechtsanwaltsordnung (BRAO47), die Bundesnotarordnung (BnotO48), die Patentanwaltsordnung (PAO49), die Wirtschaftsprüferordnung (WiPrO50) und das 47 Bundesrechtsanwaltsordnung (BRAO). [Online, zitiert am 2018-07-15]; Verfügbar unter https://www.gesetze-
im-internet.de/brao/

48 Bundesnotarordnung (BnotO). [Online, zitiert am 2018-07-15]; Verfügbar unter https://www.gesetze-im-
internet.de/bnoto/

49 Patentanwaltsordnung (PAO) . [Online, zitiert am 2018-07-15]; Verfügbar unter https://www.gesetze-im-
internet.de/patanwo/

50 Gesetz über eine Berufsordnung der Wirtschaftsprüfer (WiPrO). [Online, zitiert am 2018-07-15]; Verfügbar unter http://www.gesetze-im-internet.de/wipro/

Version 2.1

Seite 63 von 111

Stand: 14.09.2018

Kommentierung § 7.1

Steuerberatungsgesetz (StBerG51) bzgl. Der Vorgaben zur Schweigepflicht
angepasst. Dabei wurden in diesen Vorschriften für die Berufsausübung auch

Regelungen zur Inanspruchnahme von Dienstleistungen erlassen. Diese enthalten
das Erfordernis, im zwingend in Textform abzuschließenden Vertrag für die

Inanspruchnahme der Dienstleistungen den Dienstleister
a) über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit
zu belehren,
b) zur Verschwiegenheit zu verpflichten,
c) zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu
verschaffen, als dies zur Vertragserfüllung erforderlich ist
sowie festzulegen, ob der Dienstleister befugt ist, weitere Personen zur Erfüllung des

Vertrags heranzuziehen. Ist die Hinzuziehung weiterer Dienstleistungen statthaft, so
ist dem Dienstleister entsprechend der Vorgaben der gesetzlichen Regelungen für
die jeweilige Berufsausübung aufzuerlegen, dass diese weiteren Personen in

Textform zur Verschwiegenheit zu verpflichten sind.

Diese Vorgaben wurden bisher noch nicht in die Regelungen zur Ausübung
medizinischer Berufe wie z. B. die Berufsordnungen für Apothekerinnen und

Apotheker oder die Berufsordnungen für Ärztinnen und Ärzte aufgenommen. Da
diese Vorgaben somit zum heutigen Zeitpunkt im Bereich des Gesundheitswesens
nicht verpflichtend sind, die Vorgaben aber einerseits der Klärung der Sachverhalte
dienen und anderseits vergleichbare Regelungen künftig in die Regelungen zur

Ausübung der medizinischen Berufe aufgenommen werden könnten, finden sich in
den Vertragsklauseln optionale Bestandteile, die diesen Anforderungen genügen.

Verarbeitung im Ausland

Damit der Geheimnisschutz von § 203 StGB nicht umgangen wird, ist bei einer

Verarbeitung im Ausland auf ein mit dem Inland vergleichbares Schutzniveau zu
achten, eine entsprechende Regelung findet sich in Alternative 2 zu Absatz 3.

Umsetzung der Verpflichtung nach § 203 StGB im AV-Vertrag

Die Verpflichtung nach § 203 StGB kann allerdings nur dann über eine Regelung in
einem AV-Vertrag sichergestellt werden, wenn es sich um eine Fallgestaltung
handelt, der eine AV zugrunde liegt. Da sämtliche Berufsgruppen nach § 203 StGB
verpflichtet werden müssen, die nicht als berufsmäßig tätige Gehilfen zu qualifizieren
sind, dürfte in der Regel eine AV mit entsprechendem AV-Vertrag vorliegen.

Es sind aber durchaus auch Fallgestaltungen denkbar, in denen die Mitwirkung an
der Tätigkeit eines Berufsgeheimnisträgers nicht auf Grundlage einer AV erfolgt, die
mitwirkende Person aber gleichwohl nicht als berufsmäßig tätiger Gehilfe zu
qualifizieren ist, so dass eine Verpflichtung nach § 203 StGB vorzunehmen ist.

Beispiele hierfür könnten ein z.B. für ein Krankenhaus tätiger Gärtner, Handwerker
oder Reinigungspersonal sein. In einem solchen Fall müsste die strafrechtliche

Verpflichtung mangels AV-Vertrag über eine gesonderte Verpflichtungserklärung
nach § 203 StGB erfolgen (siehe hierzu die Muster in Anlage 4).

Der Berufsgeheimnisträger kann entweder die mitwirkende Person selbst zur

Geheimhaltung verpflichten oder dies auf andere übertragen. 52 Die Vornahme der Verpflichtung kann also z. B. im Krankenhaus auch durch den Krankenhausträger

51 Steuerberatungsgesetz (StBerG). [Online, zitiert am 2018-07-15]; Verfügbar unter https://www.gesetze-im-
internet.de/stberg/

52 Bundestags-Drucksache 18/11936 vom 12.04.2017, Seite 29 [Online, zitiert am 2018-07-14]; Verfügbar unter
https://dip21.bundestag.de/dip21/btd/18/119/1811936.pdf

Version 2.1

Seite 64 von 111

Stand: 14.09.2018

Kommentierung § 7.1
sichergestellt werden. Dies kann sinnvoll sein, da in der Regel die vertragliche

Abrede mit einem Dienstleister im Rahmen einer AV nicht durch einzelne Ärzte,
sondern durch den Krankenhausträger getroffen wird. Im Sinne einer einheitlichen

Umsetzung könnte hierzu beispielsweise eine Delegation der Durchführung der

Verpflichtung auf den Krankenhausträger in Arbeits- oder Dienstverträge betroffener

Berufsgeheimnisträger aufgenommen werden. Als weitere Möglichkeit zur

Umsetzung einer Delegation wäre auch eine entsprechende Betriebsvereinbarung
denkbar.

Erfüllung des Tatbestandsmerkmals „dafür Sorge tragen“

Berufsgeheimnisträger setzen sich gemäß § 203 Abs. 4 Nr. 1 StGB selbst dem

Vorwurf der Strafbarkeit aus, wenn sie nicht dafür Sorge tragen, dass eine sonstige
mitwirkende Person, die unbefugt ein fremdes Geheimnis offenbart, zur

Geheimhaltung verpflichtet wurde.

Inwieweit in Fallkonstellationen, in denen sich die sonstige mitwirkende Person
weiterer mitwirkender Personen bedient, durch die hier vorgeschlagenen

Regelungen im AV-Vertrag das Tatbestandsmerkmal des „dafür Sorge tragens“
erfüllt wird, kann derzeit nicht mit letzter Sicherheit eingeschätzt werden. Sollten
hieran Zweifel bestehen, könnte diesbezüglich über eine weitergehende vertragliche

Absicherung nachgedacht werden. Hierzu könnten beispielsweise vertragliche

Abreden über Möglichkeiten des Berufsgeheimnisträgers zu stichprobenartigen

Überprüfungen der vorgenommenen Verpflichtungen oder geeignete Nachweise
durch den jeweiligen Dienstleister getroffen werden, z. B. wie folgt: „Der Auftraggeber
ist berechtigt, jederzeit einen geeigneten Nachweis über die rechtswirksame

Verpflichtung nach § 203 StGB des durch den Auftragnehmer eingesetzte Personal
sowie gegebenenfalls das von Subunternehmen eingesetzte Personal zu verlangen.“

In Fallkonstellationen, denen eine AV zugrunde liegt, könnten derartige Abreden im

AV-Vertrag getroffen werden. In Fällen, in denen die Mitwirkung an der Tätigkeit
eines Berufsgeheimnisträgers nicht auf Grundlage einer AV erfolgt, dürfte die

Zusammenarbeit anderweitig vertraglich geregelt sein (z. B. bei einem Handwerker
durch einen Werkvertrag), so dass solche Abreden in diesen Verträgen geregelt
werden könnten.

Literatur

1) Brüggemann S, Rein C. (2017) Reform des § 203 StGB – Erleichterungen für die

Nutzung einer modernen IT durch Steuerberater. DStR: 2572-2576

2) Cornelius K. (2018) Das Non-Legal-Outsourcing für Berufsgeheimnisträger. NJW:

3751-3755

3) Grupp M, en Droit (2017) Non-Legal Outsourcing: Ein erster Schritt aus einem
großen Dilemma. AnwBl: 507-512

4) Grupp M, en Droit (2017) Reform von Strafgesetzbuch und BRAO: Outsourcing in

Kanzleien wird möglich. AnwBl: 816-822

5) Hartung J, Steinweg H. (2018) Vereinbarungen mit Dienstleistern nach dem
neuen § 203 StGB und der DSGVO. PinG: 21-25

6) Hoeren T. (2018) Betriebsgeheimnisse im digitalen Zeitalter - Die Neuordnung
von StGB und StPO. MMR: 12-18

7) Kraus M. (2018) Neuregelung von § 203 StGB - Endlich Rechtssicherheit für

Outsourcing bei Berufsgeheimnisträgern? PinG: 16-20

Version 2.1

Seite 65 von 111

Stand: 14.09.2018

Opt. § 8 Fernzugriff bei Prüfung/Wartung eines Systems oder anderen

Dienstleistungen über Fernzugriffe

1

Opt. § 8 Fernzugriff bei Prüfung/Wartung eines Systems oder

2
anderen Dienstleistungen über Fernzugriffe

3

Für die Durchführung von Fernzugriffen bei der Prüfung und/oder Wartung

4
automatisierter Verfahren oder von Datenverarbeitungsanlagen oder bei

5

Fernzugriffen für andere Dienstleistungen gelten ergänzend folgende

6

Rechte/Pflichten des Auftraggebers/Auftragnehmers:

7

(1) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten an

8

Arbeitsplatzsystemen werden erst nach Freigabe durch den jeweiligen

9

Berechtigten / zuständigen Mitarbeiter des Auftraggebers durchgeführt.

10

(2) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten von

11
automatisierten Verfahren oder von Datenverarbeitungsanlagen werden, sofern

12
hierbei ein Zugriff auf personenbezogene Daten nicht sicher ausgeschlossen

13
werden kann, ausschließlich mit Zustimmung des Auftraggebers ausgeführt.

14

(3) Die Mitarbeiter des Auftragnehmers verwenden angemessene Identifizierungs-

15
und Verschlüsselungsverfahren.

16

(4) Vor Durchführung von Fernzugriffen werden sich Auftraggeber und

17

Auftragnehmer über etwaig notwendige Datensicherheitsmaßnahmen in ihren

18
jeweiligen Verantwortungsbereichen verständigen.

19

(5) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten werden

20
dokumentiert und protokolliert. Der Auftraggeber ist berechtigt, Prüfungs- und

21

Wartungsarbeiten vor, bei und nach Durchführung zu kontrollieren. Bei

22

Fernzugriffen ist der Auftraggeber - soweit technisch möglich - berechtigt, diese

23
von einem Kontrollbildschirm aus zu verfolgen und jederzeit abzubrechen.

24

(6) Der Auftragnehmer wird von den ihm eingeräumten Zugriffsrechten auf

25
automatisierte Verfahren oder von Datenverarbeitungsanlagen (insb. IT-Systeme,

26

Anwendungen) des Auftraggebers nur in dem Umfang - auch in zeitlicher Hinsicht

27

- Gebrauch machen, wie dies für die ordnungsgemäße Durchführung der

28
beauftragten Wartungs- und Prüfungsarbeiten notwendig ist.

29

(7) Soweit bei der Leistungserbringung Tätigkeiten zur Fehleranalyse erforderlich

30
sind, bei denen eine Kenntnisnahme (z. B. auch lesender Zugriff) oder ein Zugriff

31
auf Wirkdaten (Produktions-/Echtdaten) des Auftraggebers notwendig ist, wird der

32

Auftragnehmer die vorherige Einwilligung des Auftraggebers einholen.

33

(8) Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug der Wirkbetriebsdaten

34
erforderlich ist, bedürfen der vorherigen Einwilligung des Auftraggebers. Bei

35

Datenabzug der Wirkbetriebsdaten wird der Auftragnehmer diese Kopien,

36
unabhängig vom verwendeten Medium, nach Bereinigung des Fehlers löschen.

37

Wirkdaten dürfen nur zum Zweck der Fehleranalyse und ausschließlich auf dem

38
bereitgestellten Equipment des Auftraggebers oder auf solchem des

39

Auftragnehmers verwendet werden, sofern die vorherige Einwilligung des

40

Auftraggebers vorliegt. Wirkdaten dürfen nicht ohne Zustimmung des

Version 2.1

Seite 66 von 111

Stand: 14.09.2018

Opt. § 8 Fernzugriff bei Prüfung/Wartung eines Systems oder anderen

Dienstleistungen über Fernzugriffe

41

Auftraggebers auf mobile Speichermedien (PDAs, USB-Speichersticks oder

42
ähnliche Geräte) kopiert werden.

43

(9) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten sowie

44
sämtliche in diesem Zusammenhang erforderlichen Tätigkeiten, insbesondere

45

Tätigkeiten wie Löschen, Datentransfer oder eine Fehleranalyse, werden unter

46

Berücksichtigung von technischen und organisatorischen Maßnahmen zum

47

Schutz personenbezogener Daten durchgeführt. In diesem Zusammenhang wird

48
der Auftragnehmer die technischen und organisatorischen Maßnahmen wie im

49

Anhang beschrieben ergreifen.

50

51

Version 2.1

Seite 67 von 111

Stand: 14.09.2018

Kommentierung § 8

Kommentierung § 8

Fernwartung/Fernservice

In der Praxis kann es sinnvoll sein, nicht nur die Wartung, sondern auch
umfangreiche Dienstleistungen bis hin zum kompletten Betrieb einer

Datenverarbeitungsanlage über eine Fernverbindung durchführen zu lassen (Remote

Services). In diesem Fall ist der Vertragstext entsprechend anzupassen.

Bei umfangreichen Dienstleistungen über Fernzugriffe sollte ein Sicherheitskonzept
zwischen Auftraggeber und Auftragnehmer vereinbart werden, auf das an dieser

Stelle verwiesen werden kann. (Anlage zu den technischen und organisatorischen

Maßnahmen)

Verfügungsgewalt der Krankenhäuser

Einige krankenhausspezifische landesrechtliche Regelungen sehen vor, dass die

Daten in der Verfügungsgewalt der Krankenhäuser verbleiben müssen bzw. nur im

Krankenhaus selbst verarbeitet werden dürfen.

Im Falle der Beauftragung von (Fern-) Wartungstätigkeiten lässt sich diese

Anforderung dahingehend lösen, dass moderne Maßnahmen wie ein Remote

Desktop eine Fernwartung erlauben, ohne dass dabei Daten auf den Rechnern des
fernwartenden Personals abgespeichert werden. Es werden lediglich

Bildschirminhalte übertragen. Überträgt man die gängige Rechtsprechung aus den

Filesharing- Prozessen53 bzgl. Streaming, bei welchem ein Film oder Musikstück ja nie vollständig beim Anwender gespeichert werden (analog wie beim Fernwartenden
nie alle Daten gespeichert werden), so wird entsprechend der Rechtsprechung des

EuGH durch diese Maßnahme keine Kopie der Patientendaten erstellt. Somit behält
der Auftraggeber die Hoheitsgewalt über die Daten, was den Vorgaben vieler

Krankenhausgesetze genügt. Ist man der Auffassung, dass die Analogie nicht auf die

Fernwartung übertragbar ist, muss man ggf. davon ausgehen, dass eine

Fernwartung evtl. nicht zulässig ist und eine Wartung nur vor Ort durchführbar ist.

Sinnvollerweise vereinbaren Auftraggeber und Auftragnehmer, dass der

Auftragnehmer keine Patientendaten zur Speicherung in seinen Systemen anfordert
und der Auftraggeber eine entsprechende Anforderung verweigert. Diese

Vereinbarung erschwert sicherlich dem Auftragnehmer im Einzelfall die Fehlersuche
in dem zu wartenden System, ist aber aus strafrechtlichen Gesichtspunkten zu
fordern.

Protokollierung

Da Protokolldaten geeignet sind, das Verhalten oder die Leistung der Beschäftigten
zu überwachen, sollten Mitbestimmungsrechte der Personalvertretungen
berücksichtigt werden (vgl. § 87 Abs. 1 Nr. 6 BetrVG). Das Mitbestimmungsrecht
nach § 87 Abs. 1 Nr. 6 BetrVG ist weit gefasst und setzt bereits dann ein, wenn eine
technische Einrichtung zur Verhaltens- und Leistungskontrolle auch nur abstrakt
geeignet ist. Auf ein konkretes Kontrollinteresse von Arbeitgebern kommt es
hingegen nicht an. Deshalb ist die frühzeitige Beteiligung der Personalvertretung und

53 z. B. EuGH Urteil vom 05.06.2014 AZ: C-360/13 [Online, zitiert am 2016-12-26]; Verfügbar unter http://curia.europa.eu/juris/document/document.jsf?text=&docid=153302&pageIndex=0&doclang=DE&mode=req& dir=&occ=first&part=1

Version 2.1

Seite 68 von 111

Stand: 14.09.2018

Kommentierung § 8

des/der Datenschutzbeauftragten vor der Einführung einer Protokollierung von

Mitarbeiterdaten anzuraten.

Der Europäische Gerichtshof für Menschenrechte wies in einem Urteil aus dem Jahr

2008 darauf hin, dass im Zusammenhang mit Zugriffen auf medizinische Daten eines

Krankenhausinformationssystems in einer fehlenden Protokollierung von Zugriffen
auf medizinische Daten ein Verstoß gegen Art. 8 der Europäischen

Menschenrechtskonvention vorliegen kann54. Ggf. sollte gegenüber der

Personalvertretung daher auch ein Hinweis erfolgen, dass rechtliche Erfordernisse
eine Protokollierung bedingen, man sich letztlich nur auf eine rechtskonforme

Auswertung der Protokollierung einigen muss.

Angemessene Identifizierungs- und Verschlüsselungsverfahren

Das Bundesamt für Sicherheit in der Informationstechnik veröffentlichte eine
technische Richtlinie bzgl. kryptographischer Verfahren, die auch Empfehlungen zur

Schlüssellänge enthält55. In Teil 4 der Richtlinie („Kommunikationsverfahren in Anwendungen“) widmet sich Kapitel 5 der sicheren Identifizierung von

Kommunikationspartnern, so dass die Richtlinie neben der Wahl der

Verschlüsselungsverfahren sowie der Schlüssellängen auch bzgl. der Frage eines
sicheren Identifizierungsverfahrens unterstützt.

Entsprechend der Orientierungshilfe der Datenschutzaufsichtsbehörden56 ist die

„Wahl der Verschlüsselungsverfahren und deren Parameter unter dem Aspekt des
angemessenen Aufwands zu betrachten“. Entsprechend der Orientierungshilfe ist bei
der Betrachtung des Aufwands die Marktsituation bzgl. der Möglichkeit der

Beschaffung von Produkten, die mit geeigneten Schlüssellängen operieren können,
ausschlaggebend. D. h. Angemessenheit liegt vor, wenn auf dem Markt auch
nutzbare Produkte vorliegen.

Literatur

(1) Bartsch M. (2012) Softwarerechte bei Projekt- und Pflegeverträgen. CR: 141-146

(2) Bohnstedt J. (2015) Fernwartung: Die rechtlichen Grenzen des IT-Outsourcing
durch Banken. Nomos Verlagsgesellschaft, 1. Auflage. ISBN 978-3-83291-325-0

(3) Fischer A. (2011) Wartungsverträge: Inspektion, Wartung und Instandsetzung
technischer Einrichtungen. Erich Schmidt Verlag, 3. Auflage. ISBN 978-35-03129-

98-0

(4) Hartung J, Stiemerling O. (2011) Effektive Service-Level-Kriterien - Welche

Service Level-Kriterien effektiv sind und wie sie gemessen und vertraglich
geschickt vereinbart werden können. CR: 617-624

54 EGMR, Urteil vom 17.07.2008, AZ 20511/03 R: 44 „It is plain that had the hospital provided a greater control over access to health records by restricting access to health professionals directly involved in the applicant’s treatment or by maintaining a log of all persons who had accessed the applicant’s medical file, the applicant would have been placed in a less disadvantaged position before the domestic courts. [Online, zitiert am 2017-01-29]; Verfügbar unter http://hudoc.echr.coe.int/sites/eng/pages/search.aspx?i=001-87510

55 Bundesamt für Sicherheit in der Informationstechnik (BSI) (2016) BSI TR-02102 Kryptographische Verfahren: Empfehlungen und Schlüssellängen. [Online, zitiert am 2017-01-29]; Verfügbar unter
https://www.bsi.bund.de/DE/Publikationen/TechnischeRichtlinien/tr02102/index_htm.html

56 Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (2003) Orientierungshilfe zum Einsatz kryptografischer Verfahren. [Online, zitiert am 2017-01-28]; Verfügbar unter https://www.bfdi.bund.de/

DE/Infothek/Orientierungshilfen/Artikel/OHEinsatzKryptografischerVerfahren.pdf?__blob=publicationFile&v=5

Version 2.1

Seite 69 von 111

Stand: 14.09.2018

Kommentierung § 8

(5) Hörl B. (2010) Auswirkungen der InvMaRisk auf IT-Outsourcingverträge. ITRB:

217-219

(6) Hörl B, Braun S. (2016) Gestaltung von Pflegeverträgen für Individualsoftware -

Vertragliche Unterschiede zur Standardsoftwarepflege aus Anbieter- und

Anwendersicht. ITRB: 256-260

(7) Intveen M. (2001) Fernwartung von IT-Systemen - Wie kann bzw. muss sich der

Anwender vor einem Zugriff auf sensible Datenbestände schützen? ITRB: 251-

252

(8) Intveen M. (2015) Verträge über Einrichtung, Betrieb und Wartung von

Telekommunikationssystemen ITRB: 262-265

(9) Intveen M. (2015) Der EVB-IT Servicevertrag - Serviceleistungen aus einem

Vertrag. ITRB: 47-50

(10) Kremer S, KammK. (2013) Absicherung der (Re-)Migration beim IT-

Outsourcing. ITRB: 264-267

(11) Ortner G. (2015) Projektmanagement-Outsourcing. Springer Verlag, 1.

Auflage. ISBN 978-3-662-45009-3

(12) Osterheider G. (2015) Der Service as before-Grundsatz im

Outsourcingvertrag. ITRB: 124-126

(13) Schultze-Melling J. (2005) Effizientes Information Security Management im

Rahmen von IT-Outsourcing-Verträgen. ITRB: 42-46

(14) Schumacher V. (2006) Service Level Agreements: Schwerpunkt bei IT- und

Telekommunikationsverträgen. MMR: 12-17

(15) Schuster F. (2009) Rechtsnatur der Service Level bei IT-Verträgen - Wie die

Gestaltung von Service Levels die Leistung, die Gewährleistung und den

Vertragstyp konkretisiert. CR: 205-210

(16) Siebenhüner R. (2013) Wartung technischer Systeme im Krankenhaus durch
externe Dienstleister. Deutsche Krankenhaus Verlagsgesellschaft, 1 Auflage.

ISBN 978-3-942734-49-3

(17) Söbbing T. (2013) Transition und Transformation im IT-Outsourcingprojekt -

Rechtsfragen zu Übergabe und Erneuerung von IT-Services im Rahmen des

Outsourcings. ITRB: 93-95

Version 2.1

Seite 70 von 111

Stand: 14.09.2018

Kommentierung § 8

1

§ 9 Pflichten des Auftraggebers

2

(1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die

3

Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich.

4

Der Auftraggeber wird in seinem Verantwortungsbereich dafür Sorge tragen,

5
dass die gesetzlich notwendigen Voraussetzungen (z. B. durch Einholung von

6

Einwilligungserklärungen für die Verarbeitung der Daten) geschaffen werden,

7
damit der Auftragnehmer die vereinbarten Leistungen rechtsverletzungsfrei

8
erbringen kann.

9

(2) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu

10
informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder

11

Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

12

(3) Der Auftraggeber ist hinsichtlich der vom Auftragnehmer eingesetzten und vom

13

Auftraggeber genehmigten Verfahren zur automatisierten Verarbeitung

14
personenbezogener Daten datenschutzrechtlich verantwortlich und hat – neben

15
der eigenen Verpflichtung des Auftragnehmers – ebenfalls die Pflicht zur

16

Führung eines Verzeichnisses von Verarbeitungstätigkeiten.

17

(4) Dem Auftraggeber obliegen die aus Artt. 33, 34 DS-GVO resultierenden

18

Informationspflichten gegenüber der Aufsichtsbehörde bzw. den von einer

19

Verletzung des Schutzes personenbezogener Daten Betroffenen.

20

(5) Der Auftraggeber legt die Maßnahmen zur Rückgabe der überlassenen

21

Datenträger und/oder Löschung der gespeicherten Daten nach Beendigung des

22

Auftrages vertraglich oder durch Weisung fest.

23

(6) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses

24
erlangten Kenntnisse von Betriebsgeheimnissen und

25

Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln.

26

Opt. (7) Weiterhin sind alle Personen des Auftraggebers bzgl. der Pflichten zur

27

Wahrung von Geschäfts- und Betriebsgeheimnissen des Auftragnehmers zu

28
verpflichten und müssen auf §17 UWG hingewiesen werden.

29

(8) Der Auftraggeber stellt sicher, dass die aus Art. 32 DS-GVO resultierenden

30

Anforderungen bzgl. der Sicherheit der Verarbeitung seinerseits eingehalten

31
werden. Insbesondere gilt dies für Fernzugriffe des Auftragnehmers auf die

32

Datenbestände des Auftraggebers.

33

Opt. (9) Erteilt der Auftraggeber Einzelweisungen, die über den vertraglich

34
vereinbarten Leistungsumfang hinausgehen, sind die dadurch begründeten

35

Kosten vom Auftraggeber zu tragen. Sofern der vereinbarte Leistungsumfang

36
überschritten wird, ist hierzu vorab eine gesonderte schriftliche Vereinbarung zu

37
treffen.

38

39

Version 2.1

Seite 71 von 111

Stand: 14.09.2018

Kommentierung § 9

Kommentierung § 9

Art. 28 DS-GVO regelt die datenschutzrechtliche Verantwortung des Auftraggebers
im Rahmen der Auftragsverarbeitung. Entsprechend können einige daraus
resultierende Pflichten nicht vom Auftragnehmer übernommen werden, sondern
obliegen dem Auftraggeber. Insbesondere muss der Auftraggeber dafür Sorge
tragen, dass im Rahmen seiner technischen und organisatorischen Maßnahmen die

Sicherheit der Verarbeitung gewährleistet ist. D. h., dass beispielsweise auch beim

Auftraggeber der Stand der Technik bei einer Verarbeitung während eines

Fernzugriffs gewahrt werden muss.

Verantwortlicher

Verantwortlicher im Sinne des Datenschutzrechts bleibt der Auftraggeber (§ 3 Ziff. 1).

Desgleichen kann der Auftraggeber auch nicht andere, höchstpersönliche Pflichten
an den Auftragnehmer weiterreichen.

Daraus resultiert auch, dass der Auftraggeber z. T. für die beim Auftragnehmer
stattfindende Datenverarbeitung datenschutzrechtlich verantwortlich bleibt (§ 3

Ziff. 4) und das für ihn geltende Verzeichnis von Verarbeitungstätigkeiten führen
muss.

Die Verantwortlichkeit des Auftraggebers besteht auch hinsichtlich der Rechte der

Betroffenen (Artt. 12-22 DS-GVO), welche die Betroffenen gegenüber dem

Auftragnehmer geltend machen können. Zusätzlich haben Betroffene, sofern die
entsprechenden tatbestandlichen Voraussetzungen vorliegen, einen eigenständigen

(Haftungs-) Anspruch gegen den Auftragnehmer. Die Verantwortlichkeit des

Auftragnehmers gegenüber den Betroffenen ist dabei losgelöst von der Frage nach
einer Haftung des Auftragnehmers gegenüber dem Auftraggeber im Innenverhältnis

(siehe § 9 bzw. entsprechende Kommentierung) zu sehen.

Kontrollpflichten des Auftraggebers

Siehe Kommentierung § 1

Informationspflichten des Auftraggebers

Der Gesetzgeber sieht vor (Art. 34 DS-GVO), dass ein Verantwortlicher (oder auch
mehrere Verantwortliche) einen Betroffenen bei einer Verletzung des Schutzes
seiner Daten gegebenenfalls informieren muss. Diese Pflicht bleibt beim

Auftraggeber als für die Daten Verantwortlicher (§ 3 Ziff. 4). Je nach erteilter Weisung
gelten für den Auftraggeber neben den aus der DS-GVO resultierenden Pflichten
auch die Informationspflichten aus dem Telemediengesetz.

Verpflichtung nach §17 UWG
siehe Abschnitt „Verpflichtung des vom Auftragnehmer eingesetzten Personals“ in der Kommentierung § 7 auf Seite 57

Über den Vertrag hinausgehende Anweisungen

Erteilt der Auftraggeber dem Auftragnehmer Weisungen, welche über die vertraglich
vereinbarten Leistungen hinausgehen, so kann der Auftragnehmer dem Auftraggeber
die daraus resultierenden Kosten in Rechnung stellen (§ 9 Opt. 9). Diese Regelung

Version 2.1

Seite 72 von 111

Stand: 14.09.2018

Kommentierung § 9
ist gesetzlich nicht gefordert, entspricht aber den Gepflogenheiten zwischen

Vertragsparteien. Allerdings empfiehlt sich diesbezüglich eine entsprechende
schriftliche Vereinbarung über die Kosten.

Literatur

1) Bergt M. (2013) Rechtskonforme Auftragsdatenverarbeitung im Massengeschäft.

DuD: 796-801

2) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

3) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

4) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

Version 2.1

Seite 73 von 111

Stand: 14.09.2018

§ 10 Kontrollrechte des Auftraggebers

1

§ 10 Kontrollrechte des Auftraggebers

2

(1) Der Auftraggeber hat den Auftragnehmer unter dem Aspekt ausgewählt, dass

3
dieser hinreichend Garantien dafür bietet, geeignete technische und

4
organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung im

5

Einklang mit den Anforderungen der DS-GVO erfolgt und den Schutz der Rechte

6
der betroffenen Person gewährleistet. Er dokumentiert das Ergebnis seiner

7

Auswahl.

8

Hierfür kann er beispielsweise

9

− datenschutzspezifische Zertifizierungen oder Datenschutzsiegel und –

10
prüfzeichen berücksichtigen,

11

− schriftliche Selbstauskünfte des Auftragnehmers einholen,

12

− sich ein Testat eines Sachverständigen vorlegen lassen oder

13

− sich nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten ohne

14

Störung des Betriebsablaufs persönlich oder durch einen sachkundigen

15

Dritten, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer

16
stehen darf, von der Einhaltung der vereinbarten Regelungen überzeugen.

17

(2) Liegt ein Verstoß des Auftragnehmers oder der bei ihm im Rahmen des Auftrags

18
beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener

19

Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen vor, so

20
kann eine darauf bezogene Prüfung auch ohne rechtzeitige Anmeldung

21
vorgenommen werden. Eine Störung des Betriebsablaufs beim Auftragnehmer

22
sollte auch hierbei weitestgehend vermieden werden.

23

(3) Die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch

24
den Auftraggeber im Hinblick auf die Vertragsausführung bzw. -erfüllung,

25
insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und

26

Maßnahmen zur Durchführung des Auftrags wird vom Auftragnehmer unterstützt.

27

Insbesondere verpflichtet sich der Auftragnehmer, dem Auftraggeber auf

28
schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte zu

29
geben, die zur Durchführung einer Kontrolle erforderlich sind.

30

(4) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu

31
informieren, wenn er bei der Prüfung Fehler oder Unregelmäßigkeiten bzgl.

32
datenschutzrechtlicher Bestimmungen feststellt.

33

34

Version 2.1

Seite 74 von 111

Stand: 14.09.2018

Kommentierung § 10

Kommentierung § 10

Der Gesetzgeber fordert vom Auftraggeber, dass er nur Auftragnehmer auswählt, die
hinreichende Garantien für die Einhaltung der Datenschutzvorschriften bieten. Daher
muss der Auftraggeber vor Abschluss des AV-Vertrages die Einhaltung der im AV-

Vertrag vereinbarten Pflichten des Auftragnehmers prüfen57 und das Ergebnis der Prüfung dokumentieren (§ 10 Ziff. 1)58. Entsprechend Art. 83 Abs. 5 lit. a DS-GVO
kann die Aufsichtsbehörde ein Bußgeld verhängen, wenn der Nachweis einer
erfolgten Erstkontrolle vom Auftraggeber nicht erbracht werden kann. Daher sollte die

Dokumentationspflicht auch entsprechend gelebt werden.

Bei Fehlern oder Unregelmäßigkeiten ist der Auftragnehmer vom Auftraggeber
unverzüglich59 zu informieren (§ 10 Ziff. 4), damit der Auftragnehmer diese beseitigen kann. Da der Auftraggeber verantwortlich für die beim Auftragnehmer
durchgeführte Datenverarbeitung ist, liegt die Beseitigung festgestellter Mängel im

Interesse des Auftraggebers. Da der Aufragnehmer jedoch auch für die durch ihn
durchgeführte Verarbeitung haftet, wenn diese nicht den Weisungen des

Auftraggebers entspricht, liegt die Beseitigung/Vermeidung einer fehlerhaften

Verarbeitung auch in seinem Interesse.

Um Prüfungen hinsichtlich der auftragskonformen Verarbeitung zu ermöglichen und
damit seinen gesetzlichen Verpflichtungen nachzukommen, muss der Auftragnehmer
vertraglich dazu verpflichtet werden, diese Prüfungen zu unterstützen (§ 10 Ziff. 3),
d. h. dem Auftraggeber entsprechende Rechte einzuräumen. Ohne eine vertraglich
vereinbarte Unterstützungspflicht des Auftragnehmers ist der Auftraggeber ggf. nicht
in der Lage, entsprechende Kontrollen durchzuführen.

Dabei muss dem Auftraggeber freigestellt bleiben, wie er zu der

Überzeugungsbildung kommt. Eine „Kontrolle nur nach vorheriger Abstimmung ohne

Störungen des Betriebsablaufs“ schränkt die Kontrollmöglichkeiten zu stark ein;
insbesondere nach einem Datenschutzvorfall kann eine unangekündigte Kontrolle
unabdingbar sein, da hierbei ein Umstand vorliegt, der ggf. eine Nichteinhaltung der
vereinbarten Pflichten durch den Auftragnehmer darlegte. Eine Vorankündigung zu
einer Kontrolle kann in diesem Fall einen Überzeugungsprozess beim Auftraggeber
nachhaltig verhindern, sodass eine unangekündigte Kontrolle in diesem Fall nicht
ausgeschlossen werden kann (§ 10 Ziff. 2).

Überprüfung des Auftragnehmers

Auch wenn eine fortdauernde Überprüfungspflicht des Verantwortlichen nicht explizit
in Art. 28 DS-GVO hineingeschrieben wurde, ergibt sich diese aus Art. 28 Abs. 1 DS-

GVO60: der Verantwortliche darf nur mit Auftragsverarbeitern arbeiten, welche den Erfordernissen der DS-GVO entsprechen. Es wird der gesamte

57 Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit veröffentlichte in seinem Wiki Hinweise zur Prüfung: Checkliste Datenverarbeitung im Auftrag [Online] 2013 [Zitiert 2014-03-31] Verfügbar unter http://www.bfdi.bund.de/bfdi_wiki/index.php/Checkliste_Datenverarbeitung_im_Auftrag bzw. Checkliste Datenverarbeitung Wartung [Online] 2013 [Zitiert 2014-03-31] Verfügbar unter
http://www.bfdi.bund.de/bfdi_wiki/index.php/Checkliste_Datenverarbeitung_Wartung

58 Hier ist zumindest die Textform entsprechend §126b BGB erforderlich

59 siehe §121 Abs. 1 BGB: „ohne schuldhaftes Zögern (unverzüglich)“

60 siehe hierzu bspw. auch Martini M. Art. 28. Rn. 21 in Paal/Pauly (Hrsg.) Datenschutz-Grundverordnung. C. H.

Beck Verlag 1. Auflage. ISBN 978-3-406-69570-4

Version 2.1

Seite 75 von 111

Stand: 14.09.2018

Kommentierung § 10

Verarbeitungszeitraum angesprochen, nicht nur der Zeitpunkt der Auswahl. Daher
bleibt es dabei, dass der Verantwortliche sich fortwährend vergewissern muss, dass
der Auftragsverarbeiter die durch Art. 28 Abs. 1 DS-GVO genannten Anforderungen
erfüllt.

Literatur

1) Bergt M. (2013) Rechtskonforme Auftragsdatenverarbeitung im Massengeschäft.

DuD: 796-801

2) Bergt M. (2013) Vertragsgestaltung und Kontrolle bei Auftragsdatenverarbeitung.

in Jürgen Taeger (Hrsg.) Law as a Service (LaaS) - Recht im Internet- und Cloud-

Zeitalter (Band 1). Oldenburger Verlag für Wirtschaft, Informatik und Recht

3) Bierekoven C. (2012) Aktuelle Entwicklungen zur Auftragsdatenverarbeitung -

Präzisierte Anforderungen der Datenschutzaufsichtsbehörden. ITRB: 280-282

4) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

5) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

6) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

Version 2.1

Seite 76 von 111

Stand: 14.09.2018

§ 11 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe von

Datenträgern

1

§ 11 Berichtigung, Beschränkung von Verarbeitung, Löschung und

2

Rückgabe von Datenträgern

3

(1) Während der laufenden Beauftragung berichtigt, löscht oder sperrt der

4

Auftragnehmer die vertragsgegenständlichen Daten nur auf Anweisung des

5

Auftraggebers.

6

(2) Sofern eine Vernichtung während der laufenden Beauftragung vorzunehmen ist,

7
übernimmt der Auftragnehmer die nachweislich datenschutzkonforme

8

Vernichtung von Datenträgern und sonstiger Materialien nur aufgrund

9
entsprechender Einzelbeauftragung durch den Auftraggeber. Dies gilt nicht,

10
sofern im Haupt-Vertrag bereits eine entsprechende Regelung getroffen worden

11
ist.

12

(3) In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine

13

Aufbewahrung bzw. Übergabe.

14

Alt. 1 zu Abs. 4

15

(4) Nach Abschluss der Erbringung der Verarbeitungsleistungen muss der

16

Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers

17
entweder löschen oder diesem zurückgeben, sofern nicht nach dem Unionsrecht

18
oder dem für den Auftragnehmer geltendem nationalen Recht eine Verpflichtung

19
zur Speicherung der personenbezogenen Daten besteht. Das Protokoll der

20

Löschung ist auf Anforderung vorzulegen.

21

Alt. 2 zu Abs. 4

22

(4) Nach Abschluss der Erbringung der Verarbeitungsleistungen muss der

23

Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers

24
entweder löschen oder diesem zurückgeben, sofern nicht nach dem Unionsrecht

25
oder dem für den Auftragnehmer geltendem nationalen Recht eine Verpflichtung

26
zur Speicherung der personenbezogenen Daten besteht. Gleiches gilt für alle

27

Daten, die Betriebs- oder Geschäftsgeheimnisse des Auftraggebers beinhalten.

28

Das Protokoll der Löschung ist auf Anforderung vorzulegen.

29

Alt. 3 zu Abs. 4

30

(4) Nach Abschluss der vertraglichen Arbeiten – oder früher nach Aufforderung durch

31
den Auftraggeber – hat der Auftragnehmer

32
a. sämtliche im Rahmen des Auftrags in seinen Besitz gelangte

33

Unterlagen oder Datenträger,

34
b. erstellte Verarbeitungsergebnisse,

35
dem Auftraggeber auszuhändigen oder auf Anweisung des Auftraggebers

36
datenschutzkonform zu löschen bzw. zu vernichten, sofern keine gesetzliche

37

Pflicht zur Aufbewahrung besteht. Das Protokoll der Löschung ist auf Anforderung

38
vorzulegen.

39

Version 2.1

Seite 77 von 111

Stand: 14.09.2018

§ 11 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe von

Datenträgern

40

Alt. 4 zu Abs. 4

41

(4) Nach Abschluss der vertraglichen Arbeiten – oder früher nach Aufforderung durch

42
den Auftraggeber – hat der Auftragnehmer

43
a. sämtliche im Rahmen des Auftrags in seinen Besitz gelangte

44

Unterlagen oder Datenträger,

45
b. erstellte Verarbeitungsergebnisse,

46
c. Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis

47
stehen

48
dem Auftraggeber auszuhändigen oder auf Anweisung des Auftraggebers

49
datenschutzkonform zu löschen bzw. zu vernichten, sofern keine gesetzliche

50

Pflicht zur Aufbewahrung besteht. Das Protokoll der Löschung ist auf Anforderung

51
vorzulegen.

52

Alt. 1 zu Abs. 5

53

(5) Entstehen nach Vertragsbeendigung zusätzliche Kosten durch die Herausgabe

54
oder Löschung der Daten, so trägt diese der Auftraggeber.

55

Alt. 2 zu Abs. 5

56

(5) Sofern der Aufwand der Löschung gesondert vergütet werden soll, ist hierüber

57
eine gesonderte schriftliche Vereinbarung zu treffen.

58

Alt. 3 zu Abs. 5

59

(5) Sofern zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe

60
oder Löschung der Daten entstehen, bedarf es einer vorherigen schriftlichen

61

Vereinbarung über die Kostentragung.

62

(6) Soweit ein Transport des Speichermediums vor Löschung unverzichtbar ist, wird

63
der Auftragnehmer angemessene Maßnahmen zu dessen Schutz, insbesondere

64
gegen Entwendung, unbefugtem Lesen, Kopieren oder Verändern, treffen. Die

65

Maßnahmen und die anzuwendenden Löschverfahren werden bei Bedarf

66
ergänzend zu den Leistungsbeschreibungen konkretisierend vereinbart.

67

(7) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen

68

Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der

69
jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren.

70

Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

71

(8) Der Auftraggeber kann jederzeit, d. h. sowohl während der Laufzeit als auch nach

72

Beendigung des Vertrages, die Berichtigung, Löschung,

73

Verarbeitungseinschränkung (Sperrung) und Herausgabe von Daten durch den

74

Auftragnehmer verlangen, solange der Auftragnehmer die Möglichkeit hat, diesem

75

Verlangen zu entsprechen.

76

(9) Der Auftragnehmer berichtigt, löscht oder sperrt die vertragsgegenständlichen

77

Daten, wenn der Auftraggeber dies anweist. Die datenschutzkonforme

78

Vernichtung von Datenträgern und sonstigen Materialien übernimmt der

79

Auftragnehmer aufgrund einer Einzelbeauftragung durch den Auftraggeber,

Version 2.1

Seite 78 von 111

Stand: 14.09.2018

§ 11 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe von

Datenträgern

80
sofern nicht im Vertrag anders vereinbart. In besonderen, vom Auftraggeber zu

81
bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe. Soweit ein

82

Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung oder

83

Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen

84
unverzüglich an den Auftraggeber weiterleiten.

85

(10) Sollte dem Auftraggeber eine Rücknahme der Daten nicht möglich sein, wird

86
er den Auftragnehmer rechtzeitig schriftlich informieren. Der Auftragnehmer ist

87
dann berechtigt, personenbezogene Daten im Auftrag des Auftraggebers zu

88
löschen.

89

Opt. (11) Im Falle von Test- und Ausschussmaterialien ist eine Einzelbeauftragung

90
bzgl. einer Löschung nicht erforderlich, diese müssen gelöscht werden.

91

92

Version 2.1

Seite 79 von 111

Stand: 14.09.2018

Kommentierung § 11

Kommentierung § 11

Es ist vorgeschrieben (Art. 28 Abs. 3 lit. g DS-GVO), dass der AV-Vertrag

Regelungen bzgl. Art und Weise der gesetzlich geforderten Löschung oder

Rückgabe von Daten, Datenträgern usw. für den Zeitpunkt nach Abschluss der

Erbringung der Verarbeitungsleistungen enthalten muss. Daher muss die Löschung
bzw. Rückgabe der Daten unabhängig vom Weisungsrecht des Auftraggebers
vertraglich abgebildet werden. Hierbei können - unabhängig von der gesetzlichen

Forderung - auch weitergehende Daten berücksichtigt werden. Daher werden vier
alternative Regelungen vorgestellt.

Gesetzlich nicht verpflichtend im AV-Vertrag zu regeln, aber empfehlenswert sind
entsprechende Regelungen für die Zeit der laufenden Beauftragung.

Über das Vertragsende hinaus kann der Nachweis der Erbringung der vertraglich
geschuldeten Leistungen seitens des Auftragnehmers aufzubewahren sein. Hier nur
der Hinweis, dass z. B. Bestell- und Auftragsunterlagen einer gesetzlichen

Aufbewahrungsfrist von derzeit 6 Jahren unterliegen. Weitere Beispiele finden sich
z. B. im Leitfaden der Deutschen Krankenhausgesellschaft zu

Aufbewahrungspflichten und –fristen von Dokumenten im Krankenhaus61. Daher wird im Vertrag geregelt, dass derartige Unterlagen vom Auftragnehmer bis zum Ablauf
der einschlägigen Aufbewahrungsfristen nicht gelöscht werden dürfen (§ 9 Ziff. (7)).

Literatur

1) Bergt M. (2013) Rechtskonforme Auftragsdatenverarbeitung im Massengeschäft.

DuD: 796-801

2) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

3) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

4) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

61 Deutsche Krankenhausgesellschaft e.V. (2015) Leitfaden Aufbewahrungspflichten und –fristen von Dokumenten im Krankenhaus, Stand: September 2015. [Online, zitiert am 2017-02-11]; Verfügbar unter
http://www.dkgev.de/dkg.php/cat/133/aid/13847/title/DKG-Leitfaden_Aufbewahrungspflichten_und_-fristen_von_

Dokumenten_im_Krankenhaus_____Zurverfuegungstellung_einer_erneut_aktualisierten_Fassung_des_DKG-

Leitfadens_%28Stand%3A_September_2015%29

Version 2.1

Seite 80 von 111

Stand: 14.09.2018

§ 12 Unterauftragnehmer

1

§ 12 Unterauftragnehmer

2

Alt 1 Unterauftragsverhältnisse nicht erlaubt

3

4

Eine Weitergabe von Aufträgen der im Hauptvertrag vereinbarten Tätigkeiten an

5

Unterauftragnehmer durch den Auftragnehmer erfolgt nicht.

6

Alt 2 Unterauftragsverhältnisse erlaubt

7

(1) Der Auftragnehmer nimmt keinen Unterauftragnehmer ohne vorherige explizite

8
schriftliche oder allgemeine schriftliche Genehmigung des Auftraggebers in

9

Anspruch. Dies gilt in gleicher Weise für den Fall, dass weitere

10

Unterauftragsverhältnisse durch Unterauftragnehmer begründet werden. Der

11

Auftragnehmer stellt sicher, dass eine entsprechende Genehmigung des

12

Auftragsgebers für alle im Zusammenhang mit der vertragsgegenständlichen

13

Verarbeitung eingesetzten weiteren Unterauftragnehmer vorliegt.

14

(2) Die nachfolgenden Regelungen finden sowohl für den Unterauftragnehmer als

15
auch für alle in der Folge eingesetzten weiteren Unterauftragnehmer

16
entsprechende Anwendung.

17

(3) Im Fall einer allgemeinen schriftlichen Genehmigung informiert der

18

Auftragnehmer den Auftraggeber immer über jede beabsichtigte Änderung in

19

Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragnehmern,

20
wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen

21

Einspruch zu erheben. Verweigert der Auftraggeber durch seinen Einspruch die

22

Zustimmung aus anderen als aus wichtigen Gründen, kann der Auftragnehmer

23
den Vertrag zum Zeitpunkt des geplanten Einsatzes des Unterauftragnehmers

24
kündigen.

25

(4) Der Auftraggeber ist damit einverstanden, dass der Auftragnehmer zur Erfüllung

26
seiner vertraglich vereinbarten Leistungen verbundene Unternehmen des

27

Auftragnehmers zur Leistungserfüllung heranzieht. Hierbei muss jedoch jeder

28

Unterauftragnehmer (verbundenes Unternehmen) vor Beauftragung dem

29

Auftraggeber schriftlich angezeigt werden, sodass der Auftraggeber bei Vorliegen

30
wichtiger Gründe die Beauftragung untersagen kann.

31

Alt. 1 zu Opt. Abs. 5

32

(5) Zum Zeitpunkt des Abschlusses dieser Vereinbarung werden die vertraglich

33
vereinbarten Leistungen bzw. die nachfolgend beschriebenen Leistungsteile

34
unter Einschaltung eines Unterauftragnehmers durchgeführt, nämlich

Name und Anschrift des

Beschreibung der Teilleistungen

Unterauftragnehmers

35

36

Version 2.1

Seite 81 von 111

Stand: 14.09.2018

§ 12 Unterauftragnehmer

37

Alt. 2 zu Opt. Abs. 5

38

(5) Zum Zeitpunkt des Abschlusses dieser Vereinbarung sind die in der Anlage

39
aufgeführten Unternehmen als Unterauftragnehmer für Teilleistungen für den

40

Auftragnehmer tätig und verarbeiten und/oder nutzen in diesem Zusammenhang

41
auch unmittelbar die Daten des Auftraggebers. Für diese Unterauftragnehmer gilt

42
die Einwilligung für das Tätigwerden als erteilt.

43

(6) Der Auftragnehmer muss Unterauftragnehmer unter besonderer

44

Berücksichtigung der Eignung hinsichtlich der Erfüllung der zwischen

45

Auftraggeber und Auftragnehmer vereinbarten technischen und

46
organisatorischen Maßnahmen gewissenhaft auswählen.

47

(7) Ist der Auftragnehmer im Sinne dieser Vereinbarung befugt, die Dienste eines

48

Unterauftragnehmers in Anspruch zu nehmen, um bestimmte

49

Verarbeitungstätigkeiten im Namen des Auftraggebers auszuführen, so werden

50
diesem Unterauftragnehmer im Wege eines Vertrags dieselben Pflichten

51
auferlegt, die in dieser Vereinbarung zwischen dem Auftraggeber und dem

52

Auftragnehmer festgelegt sind, insbesondere hinsichtlich der Anforderungen an

53

Vertraulichkeit, Datenschutz und Datensicherheit zwischen den Vertragspartnern

54
dieses Vertrages sowie den in diesem AV-Vertrag beschriebenen Kontroll- und

55

Überprüfungsrechten des Auftraggebers. Hierbei müssen ferner hinreichend

56

Garantien dafür geboten werden, dass die geeigneten technischen und

57
organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung

58
entsprechend den Anforderungen der DS-GVO erfolgt.

59

(8) Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, vom

60

Auftragnehmer Auskunft über die datenschutzrelevanten Verpflichtungen des

61

Unterauftragnehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die

62
relevanten Vertragsunterlagen.

63

(9) Ein zustimmungspflichtiges Unterauftragnehmerverhältnis liegt nicht vor, wenn

64
der Auftragnehmer Dritte im Rahmen einer Nebenleistung zur Hauptleistung

65
beauftragt, wie beispielsweise bei Personal-, Post- und Versanddienstleistungen.

66

Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und

67
der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen

68

Nebenleistungen angemessene und gesetzeskonforme vertragliche

69

Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen. Die

70

Nebenleistungen sind vorab detailliert zu benennen.

71

(10) Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so

72
haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der

73

Pflichten jenes Unterauftragnehmers.

74

Version 2.1

Seite 82 von 111

Stand: 14.09.2018

Kommentierung § 12

Kommentierung § 12

Mitunter kann ein Hersteller alleine den ordnungsgemäßen Betrieb des verkauften

Produktes nicht gewährleisten. In diesen Fällen kann es notwendig sein, dass der

Auftragnehmer Unterauftragnehmer beauftragt.

Unterauftragnehmer sind alle, die nicht beim Auftragnehmer selbst beschäftigt sind
bzw. nicht in einer Beziehung als Leiharbeitnehmer zum Auftragnehmer z. B. im

Rahmen einer Arbeitnehmerüberlassung stehen. So kann beispielsweise eine

Konzerntochter, die von einer anderen Konzerntochter beauftragt wird, als

Unterauftragnehmer anzusehen sein.

Die bestehenden datenschutzrechtlichen Regelungen lassen den Einbezug von

Unterauftragnehmern ausdrücklich zu, verlangen aber, dass diese Verhältnisse im

AV-Vertrag geregelt werden.

Unter dem Aspekt, dass der Gesetzgeber fordert, dass bei einem AV-Vertrag der

Auftraggeber stets „Herr der Daten“ bleibt, muss der Auftraggeber zu jedem

Zeitpunkt wissen, wer Zugriff auf seine personenbezogenen oder
personenbeziehbaren Daten hat. Dies beinhaltet, dass die Unterauftragnehmerschaft
vom Auftraggeber genehmigt werden muss.

Eine generelle schriftliche Erlaubnis des Auftraggebers zu einer beliebigen

Beauftragung von Unterauftragnehmern durch den Auftragnehmer ist rechtlich
zulässig, aber auch hierbei muss entsprechend Art. 28 Abs. 2 DS-GVO der

Auftragnehmer den Auftraggeber über jede Hinzuziehung oder Ersetzung von

Unterauftragnehmern informieren, wobei der Auftraggeber jeweils ein

Widerspruchsrecht hat (§ 12 Alt. 2 von Ziff. 2). Eine Zustimmung sollte der

Auftraggeber jedoch nur aus wichtigen Gründen62 verweigern, ansonsten muss dem Auftragnehmer ein entsprechendes Kündigungsrecht eingeräumt werden. Kann der

Auftragnehmer aus seiner Sicht ohne die Hinzuziehung des Unterauftragnehmers
seine vertragliche Leistung auf Grund der Verweigerung des Auftraggebers nicht
erbringen, so muss er den Vertrag kündigen können.

Idealerweise werden daher bei Vertragsabschluss die Unterauftragnehmer im

Vertrag aufgeführt. Natürlich können sich die Unterauftragnehmer während eines
längerfristigen Auftrags, wie es beispielsweise bei der Wartung eines medizinischen

Informationssystems zu erwarten ist, ändern. In diesem Fall beauftragt der

Auftragnehmer nach Rücksprache und schriftlicher Genehmigung durch den

Auftraggeber den neuen Unterauftragnehmer.

Dabei ist es statthaft, die Zustimmung des Auftraggebers vertraglich anhand von
definierten Kriterien zu vereinbaren. D. h., der Auftraggeber wird vertraglich
verpflichtet dem Unterauftragsverhältnis zuzustimmen, wenn bestimmte Kriterien
eingehalten werden. Diese Kriterien dürfen jedoch nicht willkürlich sein, sondern

62 Hinweis: Wichtiger Grund ist ein Begriff aus dem deutschen Schuldrecht, eine Definition findet sich in § 314

BGB: Ein wichtiger Grund liegt vor, wenn dem kündigenden Teil unter Berücksichtigung aller Umstände des Einzelfalls und unter Abwägung der beiderseitigen Interessen die Fortsetzung des Vertragsverhältnisses bis zur vereinbarten Beendigung oder bis zum Ablauf einer Kündigungsfrist nicht zugemutet werden kann. Ein wichtiger Grund im Rahmen der Auftragsverarbeitung läge beispielsweise vor, wenn durch die Hinzuziehung des Unterauftragnehmers den aus der DS-GVO resultierenden Pflichten nicht mehr genügt werden kann.

Version 2.1

Seite 83 von 111

Stand: 14.09.2018

Kommentierung § 12

müssen für die ordnungsgemäße Abwicklung des Auftrags zwingend Voraussetzung
sein.

Unteraufträge sollten ausdrücklich festhalten, dass die Kontrollrechte des

Auftraggebers auch gegenüber dem Unterauftragnehmer gelten (§ 12 Ziff. 6), da der

Auftraggeber sonst seiner gesetzlich vorgeschriebenen Verantwortung nicht
nachkommen kann63.

Ort der Leistungserbringung

Siehe Kommentierung § 6 auf Seite 48

Literatur

1) Artikel-29-Datenschutzgruppe. (2009) Stellungnahme 3/2009 über den Entwurf
einer Entscheidung der Kommission zu Standardvertragsklauseln für die

Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern
nach der Richtlinie 95/46/EG (vom für die Datenverarbeitung Verantwortlichen
zum Datenverarbeiter). [Online, zitiert am 2017-02-23]; Verfügbar unter
http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2009/wp161_de.pdf

2) Artikel-29-Datenschutzgruppe. (2010) Häufig gestellte Fragen zu bestimmten

Aspekten im Zusammenhang mit dem Inkrafttreten des Beschlusses 2010/87/EU
der Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die

Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern
nach der Richtlinie 95/46/EG. [Online, zitiert am 2017-02-23]; Verfügbar unter
http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp176_de.pdf

3) Bergt M. (2013) Rechtskonforme Auftragsdatenverarbeitung im Massengeschäft.

DuD: 796-801

4) Düsseldorfer Kreis. (2007) Internationaler Datenverkehr. [Online, zitiert am 2017-

02-23]; Verfügbar unter
http://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/Du
esseldorferKreis/April07IntDatenverkehr.pdf?__blob=publicationFile

5) Düsseldorfer Kreis. (2010) Prüfung der Selbst-Zertifizierung des Datenimporteurs
nach dem Safe Harbor-Abkommen durch das Daten exportierende Unternehmen.

[Online, zitiert am 2017-02-23]; Verfügbar unter
http://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/Du
esseldorferKreis/290410_SafeHarbor.pdf?__blob=publicationFile

6) Düsseldorfer Kreis. (2013) Datenübermittlung in Drittstaaten. [Online, zitiert am

2018-02-23]; Verfügbar unter
http://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/Du
esseldorferKreis/12092013DatenuebermittlungInDrittstaaten.pdf?__blob=publicati
onFile

7) Eckhardt J. (2013) Auftragsdatenverarbeitung - Gestaltungsmöglichkeiten und

Fallstricke. DuD: 585-591

8) Erd R. (2011) Auftragsdatenverarbeitung in sicheren Drittstaaten. DuD: 275-278

9) Eul H, Eul P. (2011) Datenschutz International: Ein Praxisleitfaden für die

Übermittlung von Kunden-, Mitarbeiter- und Lieferantendaten. 1. Auflage.

Datakontext Verlag

63 Petri T. (2014) in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Rn 76 zu §11

Version 2.1

Seite 84 von 111

Stand: 14.09.2018

Kommentierung § 12

10) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

11) Kremer S. (2014) Leistungsketten in der Auftragsdatenverarbeitung -

Anforderungen an die Einbeziehung von (Unter-)Unterauftragnehmern nach dem

BDSG. ITRB: 60-66

12) Lensdorf L. (2010) Auftragsverarbeitung in der EU/EWR und

UnterAuftragsverarbeitung in Drittländern - Besonderheiten der neuen EU-

Standardvertragsklauseln. CR: 735-741

13) Moos F. (2010) Die EU-Standardvertragsklauseln für Auftragsverarbeiter 2010 -

Die wesentlichen Neuerungen und Kritikpunkte im Überblick. CR: 281-286

14) Müthlein T. (2016) ADV 5.0 – Neugestaltung der Auftragsdatenverarbeitung in

Deutschland. RDV: 74-87

15) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

16) Schmidl M, Krone D. (2010) Standardvertragsklauseln als Basis intra-
europäischer Auftragsdatenverarbeitung. DuD: 838-843

17) Schmitz B, von Dall’Armi J. (2016) Auftragsdatenverarbeitung in der DS-GVO –
das Ende der Privilegierung? - Wie Daten künftig von Dienstleistern verarbeitet
werden müssen. ZD: 427432

18) Scholz M, Lutz H. (2011) Standardvertragsklauseln für Auftragsverarbeiter und

§11 BDSG - Ein Plädoyer für die Unanwendbarkeit der §§ 11 Abs. 2, 43 Abs. 1

Nr. 2b) BDSG auf die Auftragsverarbeitung außerhalb des EWR. CR: 424-428

19) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

20) Voigt P. (2012) Auftragsdatenverarbeitung mit ausländischen Auftragnehmern -

Geringere Anforderungen an die Vertragsausgestaltung als im Inland? ZD: 546-

550

21) Weber M, Voigt P. (2011) Internationale Auftragsdatenverarbeitung -

Praxisempfehlungen für die Auslagerung von IT-Systemen in Drittstaaten mittels

Standardvertragsklauseln. ZD: 74-78

Version 2.1

Seite 85 von 111

Stand: 14.09.2018

§ 13 Zurückbehaltungsrecht

1

§ 13 Zurückbehaltungsrecht

2

Die Einrede des Zurückbehaltungsrechts, gleich aus welchem Rechtsgrund, an den

3
vertragsgegenständlichen Daten sowie an evtl. vorhandenen Datenträgern wird

4
ausgeschlossen.

5

Kommentierung § 13

Um zu verhindern, dass der Auftragnehmer Daten des Auftraggebers nicht an den

Auftraggeber herausgibt, verzichtet der Auftragnehmer durch diese vertragliche

Vereinbarung auf die Geltendmachung jeglicher Zurückbehaltungsrechte an den
vertragsgegenständlichen Daten – wie etwa gemäß §§ 273, 320 BGB, § 369 HGB.

Literatur

1) Eckhardt J. (2013) Auftragsdatenverarbeitung - Gestaltungsmöglichkeiten und

Fallstricke. DuD: 585-591

2) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

3) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

4) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

Version 2.1

Seite 86 von 111

Stand: 14.09.2018

§ 14 Haftung

1

§ 14 Haftung

2

(1) Auftraggeber und Auftragnehmer haften für den Schaden, der durch eine nicht

3
der DS-GVO entsprechende Verarbeitung verursacht wird gemeinsam im

4

Außenverhältnis gegenüber der jeweiligen betroffenen Person.

5

(2) Der Auftragnehmer haftet ausschließlich für Schäden, die auf einer von ihm

6
durchgeführten Verarbeitung beruhen, bei der

7
a. er den aus der DS-GVO resultierenden und speziell für

8

Auftragsverarbeiter auferlegten Pflichten nicht nachgekommen ist oder

9
b. er unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des

10

Auftraggebers handelte oder

11
c. er gegen die rechtmäßig erteilten Anweisungen des Auftraggebers

12
gehandelt hat.

13

(3) Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen

14
verpflichtet ist, bleibt ihm der Rückgriff auf den Auftragnehmer vorbehalten.

15

(4) Im Innenverhältnis zwischen Auftraggeber und Auftragnehmer haftet der

16

Auftragnehmer für den durch eine Verarbeitung verursachten Schaden jedoch

17
nur, wenn er

18
a. seinen ihm speziell durch die DS-GVO auferlegten Pflichten nicht

19
nachgekommen ist oder

20
b. unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des

21

Auftraggebers oder gegen diese Anweisungen gehandelt hat.

22

(5) Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben

23
unberührt.

24

Version 2.1

Seite 87 von 111

Stand: 14.09.2018

§ 14 Haftung

Kommentierung § 14

Art. 82 DS-GVO regelt die datenschutzrechtlichen Aspekte einer Haftung und weist

Auftraggeber sowie Auftragnehmer entsprechende Verantwortlichkeiten gegenüber
einer betroffenen Person zu. Diese Verantwortlichkeiten sind vertraglich nicht
abdingbar.

Der Auftragnehmer muss für alle wichtigen Pflichtverletzungen und

Leistungsstörungen aufkommen und kann die Haftung nicht ausschließen.

Vom haftungsrechtlichen Anspruch unabhängig sind vertraglich vereinbarte Strafen.

Eine Vertragsstrafe kann bis zur Grenze der Sittenwidrigkeit gemäß § 138 BGB
beziffert werden64. Daher ist eine richtige Bezifferung des Schadens eine
unumgängliche Anforderung, damit eine entsprechende Vertragsstrafe eingefordert
werden kann. Um vertraglich diese Summe vereinbaren zu können, muss diese

Schadenssumme im Vorhinein abgeschätzt werden, was oftmals nicht möglich ist.

Oftmals besteht im Rahmen einer Auftragsverarbeitung für den Auftraggeber der
größte Schaden in einem Imageverlust. Dieser Schaden, der unzweifelhaft
vorhanden ist, ist monetär im Falle des Eintritts nur schwer bezifferbar und im Vorfeld
realistisch kaum einschätzbar.

Literatur

1) Eckhardt J. (2013) Auftragsdatenverarbeitung - Gestaltungsmöglichkeiten und

Fallstricke. DuD: 585-591

2) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

3) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

4) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

64 Palandt. Bürgerliches Gesetzbuch. 72. Auflage 2013. Verlag C.H.Beck: §138 Rn 102 mit Verweis auf §339 Rn.

2

Version 2.1

Seite 88 von 111

Stand: 14.09.2018

§ 15 Schriftformklausel

1

§ 15 Schriftformklausel

2

Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile –

3
einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer

4
schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich

5
um eine Änderung bzw. Ergänzung dieser Regelungen handelt. Das

6

Schriftformerfordernis gilt auch für den Verzicht auf dieses Formerfordernis.

7

8

Version 2.1

Seite 89 von 111

Stand: 14.09.2018

§ 16 Salvatorische Klausel

1

§ 16 Salvatorische Klausel

2

(1) Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als

3
unwirksam oder undurchführbar erweisen oder infolge Änderungen der

4

Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden,

5
bleiben die übrigen Vertragsbestimmungen und die Wirksamkeit des Vertrages im

6

Ganzen hiervon unberührt.

7

(2) An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die

8
wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der

9
nichtigen Bestimmung möglichst nahekommt.

10

(3) Erweist sich der Vertrag als lückenhaft, gelten die Bestimmungen als vereinbart,

11
die dem Sinn und Zweck des Vertrages entsprechen und im Falle des

12

Bedachtwerdens vereinbart worden wären.

13

(4) Existieren mehrere wirksame und durchführbare Bestimmungen, welche die

14
unter § 16 Abs. 1 genannte unwirksame Regelung ersetzen können, so muss die

15

Bestimmung gewählt werden, welche den Schutz der Patientendaten im Sinne

16
dieses Vertrages am besten gewährleistet.

17

18

Version 2.1

Seite 90 von 111

Stand: 14.09.2018

§ 17 Rechtswahl, Gerichtsstand

1

§ 17 Rechtswahl, Gerichtsstand

2

(1) Es gilt deutsches Recht.

3

(2) Gerichtsstand ist der Sitz des Auftraggebers.

4

Kommentierung § 17

Rechtswahl

Nach Art. 3 Abs. 1 S. 1 Rom I-VO kann zwischen Auftraggeber und Auftragnehmer
das anwendbare Recht grundsätzlich durch Rechtswahlklauseln festgelegt werden.

Dabei muss die Rechtswahl ausdrücklich erfolgen oder sich eindeutig aus den

Bestimmungen des Vertrags oder aus den Umständen des Einzelfalls ergeben.

Umstritten ist dabei, ob Rechtswahlklauseln auch im Datenschutzrecht zulässig sind
oder ob es sich bei diesen Regelungen um Eingriffsnormen i. S. v. Art. 9 Abs. 1

Rom I-VO handelt.

Ergibt sich der räumliche Anwendungsbereich des mitgliedstaatlichen Rechts aus
den jeweiligen Öffnungsklauseln, so sind diese als speziellere Kollisionsnormen einer

Rechtswahl der Parteien entzogen65. Insbesondere darf das Schutzniveau der DSGVO nicht unterlaufen werden. Insofern sind Auftraggeber (Verantwortlicher) und

Auftragnehmer (Auftragsverarbeiter) hinsichtlich der Vertragswahl eingeschränkt,
i. d. R. wird als Rechtswahl nur das Recht des Mitgliedstaats wählbar sein, welches
für den im Sinne der DS-GVO Verantwortlichen (= Auftraggeber) gilt.

Literatur

1) Eckhardt J. (2013) Auftragsdatenverarbeitung - Gestaltungsmöglichkeiten und

Fallstricke. DuD: 585-591

2) Hoeren T. (2010) Das neue BDSG und die Auftragsdatenverarbeitung. DuD: 688-

691

3) Petri T. (2014) §11 Erhebung, Verarbeitung oder Nutzung personenbezogener

Daten im Auftrag. in Simitis (Hrsg.) Bundesdatenschutzgesetz. 8. Auflage. Nomos

Verlagsgesellschaft

4) Sailer C. (2008) Rechtsnachfolge in Gerichtsstandsvereinbarung. JuBl (130): 389-

392

5) Sommer I. (2011) §80 Erhebung, Verarbeitung oder Nutzung von Sozialdaten im

Auftrag. in Krahmer (Hrsg.) Sozialdatenschutz nach SGB I und X. 3. Auflage.

Luchterhand

65 Laue P. (2016) Öffnungsklauseln in der DS-GVO – Öffnung wohin? Geltungsbereich einzelstaatlicher (Sonder-

)Regelungen. ZD: 463-647

Version 2.1

Seite 91 von 111

Stand: 14.09.2018

Kommentierung § 17

1

Anlage(n)

2

Anlage 1: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der

3

Auftragsvergabe

4

Anlage 2: Nachweis der allgemeinen technischen und organisatorischen

5

Maßnahmen.

6

Version 2.1

Seite 92 von 111

Stand: 14.09.2018

Anlage 1 zum AV-Vertrag: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe 1

Anlage 1 zum AV-Vertrag: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe 2

Name und Anschrift des

Beschreibung der Teilleistungen

Ort der Leistungserbringung

Unterauftragnehmers

3

4

Version 2.1

Seite 93 von 111

Stand: 14.09.2018

Kommentierung Anlage 1

Kommentierung Anlage 1

Damit der Auftraggeber die Kontrolle über seine Daten wahrnehmen kann, muss er
wissen, wer wann zu welchem Zweck auf welche Daten von wo aus zugreift.

Dementsprechend muss der Auftraggeber bzgl. vom Auftragnehmer eingesetzten

Unterauftragnehmern nicht nur deren Namen wissen, sondern auch welche

Aufgaben diese von wo aus wahrnehmen.

Version 2.1

Seite 94 von 111

Stand: 14.09.2018

Anlage 2 zum AV-Vertrag: Nachweis der allgemeinen technischen und
organisatorischen Maßnahmen

1

Anlage 2 zum AV-Vertrag: Nachweis der allgemeinen technischen

2
und organisatorischen Maßnahmen

3

Das Gliederungsschema gemäß der Anlage zu § 9 S. 1 BDSG a.F. wird vorerst

4
weiterhin zur Verwendung vorgeschlagen, da es einerseits derzeit noch weit

5
verbreitet ist und andererseits die DS-GVO mit ihren wesentlich abstrakteren

6

Grundprinzipien/Gewährleistungszielen kein ähnlich operationales Schema anbietet.

7

8

1) Zutrittskontrolle

9

 Es sind keine Maßnahmen zur Zutrittskontrolle erforderlich, weil ...

10

 Es existieren keine Maßnahmen zur Zutrittskontrolle, weil ...

11

 Es existieren folgende Maßnahmen zur Zutrittskontrolle:

12

1) …

13

2) …

14

3) …

15

16

2) Zugangskontrolle

17

 Es sind keine Maßnahmen zur Zugangskontrolle erforderlich, weil ...

18

 Es existieren keine Maßnahmen zur Zugangskontrolle, weil ...

19

 Es existieren folgende Maßnahmen zur Zugangskontrolle:

20

1) …

21

2) …

22

3) …

23

24

3) Zugriffskontrolle

25

 Es sind keine Maßnahmen zur Zugriffskontrolle erforderlich, weil ...

26

 Es existieren keine Maßnahmen zur Zugriffskontrolle, weil ...

27

 Es existieren folgende Maßnahmen zur Zugriffskontrolle:

28

1) …

29

2) …

30

3) …

31

32

4) Weitergabekontrolle

33

 Es sind keine Maßnahmen zur Weitergabekontrolle erforderlich, weil ...

34

 Es existieren keine Maßnahmen zur Weitergabekontrolle, weil ...

35

 Es existieren folgende Maßnahmen zur Weitergabekontrolle:

36

1) …

37

2) …

38

3) …

39

40

5) Eingabekontrolle

41

 Es sind keine Maßnahmen zur Eingabekontrolle erforderlich, weil ...

Version 2.1

Seite 95 von 111

Stand: 14.09.2018

Anlage 2 zum AV-Vertrag: Nachweis der allgemeinen technischen und
organisatorischen Maßnahmen

42

 Es existieren keine Maßnahmen zur Eingabekontrolle, weil ...

43

 Es existieren folgende Maßnahmen zur Eingabekontrolle:

44

1) …

45

2) …

46

3) …

47

48

6) Auftragskontrolle

49

 Es sind keine Maßnahmen zur Auftragskontrolle erforderlich, weil ...

50

 Es existieren keine Maßnahmen zur Auftragskontrolle, weil ...

51

 Es existieren folgende Maßnahmen zur Auftragskontrolle:

52

1) …

53

2) …

54

3) …

55

56

7) Verfügbarkeitskontrolle

57

 Es sind keine Maßnahmen zur Verfügbarkeitskontrolle erforderlich, weil ...

58

 Es existieren keine Maßnahmen zur Verfügbarkeitskontrolle, weil ...

59

 Es existieren folgende Maßnahmen zur Verfügbarkeitskontrolle:

60

1) …

61

2) …

62

3) …

63

64

8) Trennungskontrolle

65

 Es sind keine Maßnahmen zur Trennungskontrolle erforderlich, weil ...

66

 Es existieren keine Maßnahmen zur Trennungskontrolle, weil ...

67

 Es existieren folgende Maßnahmen zur Trennungskontrolle:

68

1) …

69

2) …

70

3) …

71

72

73

74

Version 2.1

Seite 96 von 111

Stand: 14.09.2018

Kommentierung Anlage 2

Kommentierung Anlage 2

Grundsätzlich muss jede Verarbeitung - und damit auch die Auftragsverarbeitung -
geeignete technische und organisatorische Maßnahmen zum Schutz aufweisen, „um
ein dem Risiko angemessenes Schutzniveau zu gewährleisten“ (Art. 32 Abs. 1 DS-

GVO). Damit verbunden ist die Anforderung, dass die Eintrittswahrscheinlichkeit und

Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen dargestellt
und bewertet werden müssen. Erfolgt eine „umfangreiche Verarbeitung besonderer

Kategorien von personenbezogenen Daten“, was im Bereich der

Gesundheitsversorgung ja nahezu immer zutrifft, muss laut Art. 35 Abs. 7 lit. c DS-

GVO in der Datenschutz-Folgenabschätzung „eine Bewertung der Risiken für die

Rechte und Freiheiten der betroffenen Personen“ integriert sein, wobei Art. 25 Abs. 1

DS-GVO referenziert wird., d. h. Risiken „für die Rechte und Freiheiten natürlicher

Personen“ müssen betrachtet werden. Hier sind also insbesondere die Risiken für
die betroffene Person zu betrachten, die IT-Risiken für die verarbeitende

Organisation sind hiervon nur sekundär berührt.

Aus dieser Risikofolgenabschätzung müssen Maßnahmen zum Schutz der Rechte
und Freiheiten betroffener Personen abgeleitet werden und genau diese

Maßnahmen müssen hier aufgeführt werden. Es geht daher nicht mehr darum, die

Liste aus dem Anhang zu § 9 BDSG abzuarbeiten bzw. abzuhaken, sondern es
müssen genau die die Risiken verhindernden bzw. die die Risiken minimierenden

Maßnahmen dargestellt werden.

Hierzu gehört natürlich auch, dass der Auftraggeber dem Aufragnehmer ggf.

spezifische Risiken benennt, die dieser in seiner bzgl. bei ihm stattfindenden

Auftragsverarbeitung betreffenden Risikofolgenabschätzung betrachtet und daraus
die entsprechenden zu benennenden Maßnahmen ableitet.

Die technisch-organisatorischen Maßnehmen müssen sich dabei natürlich nicht von
den bisherigen Maßnahmen, die entsprechend dem Anhang zu § 9 BDSG
resultierenden Anforderungen getroffen wurden, unterscheiden. Jedoch müssen
künftig natürlich nur die Maßnahmen benannt werden, die auch ein Risiko
adressieren. Im AV-Vertrag bzw. dessen Anhang gehören allerdings nur die

Maßnahmen hinein, nicht die vollständige Risikobetrachtung. Diese muss im

Rahmen der aus Art. 5 DS-GVO resultierenden Nachweispflicht vorhanden sein und
ggf. den zur Prüfung berechtigten Personen vorgelegt werden.

Es bietet sich an, die Maßnahmen auch künftig gruppiert darzustellen. Hierzu kann
man sich der groben Maßnahmenstrukturierung aus dem Anhang zu § 9 BDSG
bedienen. Ebenso ist eine Gliederung gemäß den in Art. 32 DS-GVO enthaltenen

Anforderungen möglich. Eine entsprechende Gliederung könnte wie folgt aussehen:

− Verfahren zur Beurteilung des angemessenen Schutzniveaus unter

Berücksichtigung einer Risikobetrachtung

− Verfahren, die Pseudonymisierung und Verschlüsselung nutzen

− Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und

Belastbarkeit der Systeme und Dienste im Zusammenhang mit der

Verarbeitung

− Verfahren, die der regelmäßigen Überprüfung, Bewertung und Evaluierung der

Wirksamkeit der technischen und organisatorischen Maßnahmen zur

Gewährleistung der Sicherheit der Verarbeitung dienen

Version 2.1

Seite 97 von 111

Stand: 14.09.2018

Kommentierung Anlage 2

− Verfahren zur Gewährleistung, dass Personen, die Zugang zu
personenbezogenen Daten haben, diese nur auf Anweisung des

Verantwortlichen verarbeiten.

Für die Maßnahmenkataloge der IT-Grundschutz-Kataloge des BSI gibt es Mapping-

Tabelle zu den Anforderungen aus dem Anhang zu § 9 BDSG66, desgleichen
existiert eine Zuordnungstabelle bzgl. IT-Grundschutz und ISO 27001/ISO 2700267.

Somit fällt auch eine Zuordnung von im Rahmen einer ISO 27001-Zertifizierung
ergriffenen Maßnahmen zu den Kategorien des BDSG relativ leicht, so dass in

Deutschland voraussichtlich diese Gruppierung noch einige Zeit erhalten bleiben
wird.

1) Zutrittskontrolle

Maßnahmen, damit Unbefugten der Zutritt zu den Datenverarbeitungsanlagen
verwehrt wird, mit denen personenbezogene Daten verarbeitet werden; Beispiele
sind:

- Zutrittskontrollsystem, Ausweisleser, Magnetkarte, Chipkarte

- (Kontrollierte) Schlüssel / Schlüsselvergabe

- Türsicherung (elektrische Türöffner usw.)

- Werkschutz, Pförtner

- Überwachungseinrichtung Alarmanlage, Video- / Fernsehmonitor

2) Zugangskontrolle

Maßnahmen, die verhindern, dass Unbefugte die Datenverarbeitungsanlagen und –
verfahren benutzen; Beispiele sind:

- Kennwortverfahren (u. a. Sonderzeichen, Mindestlänge, regelmäßiger

Wechsel des Kennworts)

- Automatische Sperrung (z. B. Kennwort oder Pausenschaltung)

- Einrichtung eines Benutzerstammsatzes pro Benutzer

- Verschlüsselung von Datenträgern (entsprechend dem Stand der Technik)

3) Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung der

Datenverarbeitungsverfahren Befugten ausschließlich auf die ihrer

Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können;

Beispiele sind:

- Differenzierte Berechtigungen (Profile, Rollen, Transaktionen und Objekte)

- Auswertungen

- Kenntnisnahme

- Veränderung

- Löschung

66 BSI: „Maßnahmen und Datenschutz-Kontrollziele“, Stand 22.08.2007. [Online, zitiert am 2017-03-11]; Verfügbar unter http://www.bfdi.bund.de/SharedDocs/Publikationen/Arbeitshilfen/ErgaenzendeDoks/Massnahme

GS-Kat.pdf?__blob=publicationFile

67 BSI: Zuordnungstabelle ISO 27001 sowie ISO 27002 und IT-Grundschutz. [Online, zitiert am 2017-03-11]; Verfügbar unter https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Doku/

Vergleich_ISO27001_GS.pdf?__blob=publicationFile

Version 2.1

Seite 98 von 111

Stand: 14.09.2018

Kommentierung Anlage 2

- Verschlüsselungsverfahren entsprechend dem Stand der Technik

Hinweis: Bei Online-Zugriffen des Auftraggebers ist klarzustellen, welche Seite für
die Ausgabe und Verwaltung von Zugriffssicherungscodes verantwortlich ist.

Verschiedene landesrechtliche Vorgaben verlangen, dass ein Wartungsvorgang nur
mit Wissen und Wollen des Auftraggebers erfolgen darf. D. h. der Auftraggeber muss
jeden einzelnen Wartungsvorgang veranlassen.

4) Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der
elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung
auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden
können, und dass überprüft und festgestellt werden kann, an welche Stellen eine

Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung
vorgesehen ist.

Bitte daran denken, dass die landesrechtlichen Vorgaben von Berlin eine

Protokollierung vorschreiben. Desgleichen verbietet das Berliner Landesrecht eine

Datenübermittlung durch den Auftragnehmer, was in den TOMs ebenfalls
berücksichtigt werden muss.

Beispiele für die Weitergabekontrolle sind:

− Identifizierung und Authentifizierung

− Tunnelverbindung (= Virtual Private Network); Beschreibung der verwendeten

Einrichtungen und Übermittlungsprotokolle

− Elektronische Signatur

− Protokollierung

− Transportsicherung

− Verschlüsselung entsprechend dem Stand der Technik

5) Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden
kann, ob und von wem personenbezogene Daten in DV-Systeme eingegeben,
verändert oder entfernt worden sind; ein Beispiel hierzu ist:

- Protokollierungs- und Protokollauswertungssysteme

Bitte daran denken, dass die landesrechtlichen Vorgaben von Berlin eine

Protokollierung vorschreiben.

6) Auftragskontrolle

Die weisungsgemäße Auftragsverarbeitung ist zu gewährleisten. Insbesondere sind
hierbei die technischen und/oder organisatorischen Maßnahmen zur Abgrenzung der

Kompetenzen zwischen Auftraggeber und Auftragnehmer zu regeln.

Beispiele sind:

- Eindeutige Vertragsgestaltung

- Formalisierte Auftragserteilung (Auftragsformular)

- Kriterien zur Auswahl des Auftragnehmers

- Kontrolle der Vertragsausführung

Version 2.1

Seite 99 von 111

Stand: 14.09.2018

Kommentierung Anlage 2

7) Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige

Zerstörung oder Verlust geschützt sind: Beispiele sind insbesondere:

- Backup-Verfahren: Beschreibung von Rhythmus, Medium, Aufbewahrungszeit
und Aufbewahrungsort für Backup

- Spiegeln von Festplatten, z. B. RAID-Verfahren

- Unterbrechungsfreie Stromversorgung (USV)

- Getrennte Aufbewahrung

- Virenschutz / Firewall

- Notfallplan

8) Trennungskontrolle

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten
getrennt verarbeitet werden können; Beispiele für eine Trennungskontrolle sind:

- (Interne) Mandantenfähigkeit

- Zweckbindung

- Funktionstrennung/Produktion/Test

Version 2.1

Seite 100 von 111

Stand: 14.09.2018

Anlage 3: Beispiele für die Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen

1

Anlage 3: Beispiele für die Verpflichtung zur Einhaltung der

2
datenschutzrechtlichen Anforderungen

3

4

(Name der verantwortlichen Stelle)

5

6

(Name des Mitarbeiters)

(Geburtsdatum)

7

Gemäß nachstehend geltenden rechtlichen Vorgaben müssen bestimmte Arten von

8

Daten vertraulich verarbeitet werden. Daher ist es Ihnen nur gestattet,

9
personenbezogene Daten in dem Umfang und in der Weise zu verarbeiten, wie es

10
zur Erfüllung der Ihnen übertragenen Aufgaben erforderlich ist.

11

12

1. Verpflichtung zur Einhaltung der datenschutzrechtlichen

13

Anforderungen der DS-GVO (eigene Beschäftigte, Art. 5 DS-GVO

14
bzw. Auftragnehmer, Art. 28 Abs. 3b DS-GVO)

15

Die Verarbeitung personenbezogener Daten unterliegt gesetzlichen Vorgaben aus

16
der EU-Datenschutz-Grundverordnung, dem Bundesdatenschutzgesetz und ggf.

17
weiteren Gesetzen. Personenbezogene Daten dürfen daher von mir nur

18
zweckgebunden im Rahmen meiner arbeitsvertraglichen Aufgabenerfüllung

19
verwendet und genutzt werden.

20

Personenbezogene Daten darf ich nur verwenden, soweit dies für die konkrete

21

Aufgabenerfüllung erforderlich ist und ich muss dabei auch für die Richtigkeit der

22

Daten Sorge tragen.

23

Mir bekanntgegebene interne Vorgaben für Schutzmaßnahmen für

24
personenbezogene Daten sowie für die Archivierung und Löschung solcher Daten

25
beachte ich.

26

27

Opt. für Auftragsverarbeiter: Bei der Verarbeitung personenbezogener Daten im

28

Auftrag beachte ich entsprechend der Vorgaben meines Arbeitgebers die

29
dokumentierten datenschutzrechtlichen Weisungen der Auftraggeber. Wenn ich

30

Zweifel habe, dass eine solche datenschutzrechtliche Weisung gegen rechtliche oder

31
vertragliche Vorgaben verstößt, informiere ich meine Führungskraft.

32

Opt.: Für Rückfragen zu internen Vorgaben und Regelwerken kann ich mich an

33
meine Führungskraft und den Datenschutzbeauftragten (soweit benannt) wenden.

34

35

Ich verpflichte mich Unbefugten gegenüber zur Verschwiegenheit und wahre die

36

Vertraulichkeit der mir anvertrauten Informationen.

37

Mir ist bekannt, dass Verstöße gegen Datenschutzvorschriften mit Geldbuße,

38

Geldstrafe oder Freiheitsstrafe geahndet werden können. Entsteht der betroffenen

39

Person durch die unzulässige Verarbeitung ihrer personenbezogenen Daten ein

40
materieller oder immaterieller Schaden, kann ein Schadenersatzanspruch entstehen.

41

Ich verpflichte mich, diese Grundsätze einzuhalten und weiß, dass Verstöße mit

42
arbeitsrechtlichen Konsequenzen geahndet werden können. Diese Verpflichtung gilt

43
auch über das Bestehen des Beschäftigungsverhältnisses hinaus.

Version 2.1

Seite 101 von 111

Stand: 14.09.2018

Anlage 3: Beispiele für die Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen

44

2. Verpflichtung zur Wahrung von Geschäftsgeheimnissen

45

Über Angelegenheiten des Unternehmens, die beispielsweise Einzelheiten ihrer

46

Organisation und ihrer Einrichtung betreffen, sowie über Geschäftsvorgänge und

47

Zahlen des internen Rechnungswesens, ist – auch nach Beendigung des

48

Arbeitsverhältnisses – von mir Verschwiegenheit zu wahren, sofern sie nicht

49
allgemein öffentlich bekannt geworden sind. Hierunter fallen auch Vorgänge von

50

Drittunternehmen, mit denen ich dienstlich befasst bin. Auf die gesetzlichen

51

Bestimmungen über unlauteren Wettbewerb wurde ich besonders hingewiesen.

52

Alle, die dienstliche Tätigkeiten betreffenden Aufzeichnungen, Abschriften,

53

Geschäftsunterlagen, Ablichtungen dienstlicher oder geschäftlicher Vorgänge, die

54
mir überlassen oder von mir angefertigt werden, sind vor Einsichtnahme Unbefugter

55
zu schützen.

56

Opt. 3. Verpflichtung auf das Sozialgeheimnis

57

Im Rahmen Ihrer Tätigkeit kommen sie möglicherweise mit personenbezogenen

58

Daten in Kontakt, die dem Sozialgeheimnis nach § 35 SGB I unterliegen. Sofern

59

Daten verarbeitet werden, die dem Sozialgeheimnis unterliegen, haben Sie diese im

60
gleichen Umfang geheim zu halten, wie die ursprünglich übermittelnde Stelle.

61

Opt. 4. Verpflichtung auf das Fernmeldegeheimnis

62

Aufgrund von § 88 TKG bin ich zur Wahrung des Fernmeldegeheimnisses

63
verpflichtet, soweit ich im Rahmen meiner Tätigkeit bei der Erbringung

64
geschäftsmäßiger Telekommunikationsdienste mitwirke.

65

66

Von diesen Verpflichtungen habe ich Kenntnis genommen. Ich bin mir bewusst, dass

67
ich mich bei Verletzungen des Datengeheimnisses, des Sozialgeheimnisses, des

68

Fernmeldegeheimnisses oder von Geschäftsgeheimnissen strafbar machen kann,

69
insbesondere nach Art. 84 DS-GVO i. V. m. §§ 42, 43 BDSG, § 206 Strafgesetzbuch

70

(StGB) und nach § 17 Gesetz gegen den unlauteren Wettbewerb (UWG). Das

71

Merkblatt zur Verpflichtungserklärung mit den Abschriften der genannten Vorschriften

72
sowie eine Kopie dieser Niederschrift habe ich erhalten.

73

74

Ort, Datum

75

76

(Unterschrift Verpflichteter)

(Unterschrift Verpflichtender)

77

Version 2.1

Seite 102 von 111

Stand: 14.09.2018

Kommentierung Anlage 3

Kommentierung Anlage 3

Anlage 3 enthält Beispiele für die Verpflichtung zur Einhaltung der
datenschutzrechtlichen Anforderungen.

Das unter Ziffer 1 aufgeführte Muster kann dafür verwendet werden, eigene

Beschäftigte zur Einhaltung der datenschutzrechtlichen Anforderungen der DS-GVO
zu verpflichten (vgl. Art. 5 DS-GVO). Dadurch wird die bis zum Geltungsbeginn der

DS-GVO vorgesehene Verpflichtung nach § 5 BDSG alte Fassung ersetzt.

Darüber hinaus kann dieses Muster für die Umsetzung der datenschutzrechtlichen

Verpflichtung nach Art. 28 Abs. 3b DS-GVO eingesetzt werden, wie sie für den

Bereich der AV vorgeschrieben ist. Dies ist jedoch nur erforderlich, wenn die

Beschäftigten des Auftragnehmers durch diesen noch nicht zur Einhaltung der
datenschutzrechtlichen Anforderungen der DS-GVO verpflichten wurden. Eine
doppelte datenschutzrechtliche Verpflichtung von Beschäftigten auf die Einhaltung
der Vorgaben aus der DS-GVO ist nicht erforderlich.

Unter Ziffer 2 findet sich ein Beispiel für eine Verpflichtung zur Wahrung von

Geschäfts- und Betriebsgeheimnissen.

Als mögliche Option 3 ist die Verpflichtung auf das Sozialgeheimnis beispielhaft
abgebildet, die nur in Betracht kommt, wenn Daten verarbeitet werden, die unter das

Sozialgeheimnis fallen.

Als mögliche Option 4 ist die Verpflichtung auf das Fernmeldegeheimnis
entsprechend § 88 Telekommunikationsgesetz (TKG) vorgesehen. Dieser Passus ist
nur zu nutzen, wenn unter die Regelungen des TKG fallende Daten verarbeitet
werden.

Am Ende wird dargelegt, dass dem Verpflichteten die gesetzlichen Tatbestände
ausgehändigt wurden. Hier besteht ggf. Anpassungsbedarf. Weiterhin sollten der
verpflichteten Person die entsprechenden gesetzlichen Regelungen zur Verfügung
gestellt werden, auch dies muss ggf. ergänzt werden.

Literatur

1) Bayerische Landesamt für Datenschutzaufsicht ( BayLDA): Verpflichtung von

Beschäftigten auf Beachtung des Datenschutzes nach der DS-GVO. [Online,
zitiert am 2018-05-01]; Verfügbar unter
https://www.lda.bayern.de/de/infoblaetter.html
bzw. direkt Download der pdf-Datei unter
https://www.lda.bayern.de/media/info_verpflichtung_beschaeftigte_dsgvo.pdf

2) bitkom, bvitg, BZÄK. DKG, Hartmannbund (2018) Muster zur Umsetzung des

Gesetzes zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung

Dritter an der Berufsausübung schweigepflichtiger Personen vom 30. Oktober

2017 sowie für eine Vertraulichkeitsverpflichtung i.S. des Art. 28 Abs. 3 lit. b DS-

GVO. [Online, zitiert am 2018-07-24]; Verfügbar unter

− Bundesverband Informationswirtschaft, Telekommunikation und neue Medien
e.V. (bitkom)

T-Einsatz durch Berufsgeheimnisträger – Muster zur Umsetzung der

Neuregelung des § 203 StGB. . [Online, zitiert am 2018-08-30]; Verfügbar
unter
https://www.bitkom.org/Bitkom/Publikationen/Muster-zur-Umsetzung-des-

Gesetzes-zur-Neuregelung-des-Schutzes-von-Geheimnissen-bei-der-

Version 2.1

Seite 103 von 111

Stand: 14.09.2018

Kommentierung Anlage 3

Mitwirkung-Dritter-an-der-Berufsausuebung-schweigepflichtiger-Personen.html
bzw. direkt Download der pdf-Datei unter
https://www.bitkom.org/noindex/Publikationen/2018/Leitfaeden/180803-IT-

Einsatz-durch-Berufsgeheimnistraeger-Muster-zur-Umsetzung-der-

Neuregelung-des-203-StGB/20180718-Muster-203StGB-final.pdf

3) Datenschutzkonferenz (DSK): Kurzpapier Nr. 19 - Unterrichtung und Verpflichtung
von Beschäftigten auf Beachtung der datenschutzrechtlichen Anforderungen nach
der DS-GVO. [Online, zitiert am 2018-07-24]; Verfügbar unter
https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_19.pdf

4) Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD): Verpflichtung auf
die Vertraulichkeit. [Online, zitiert am 2018-05-01]; Verfügbar unter
https://www.gdd.de/gdd-arbeitshilfen/praxishilfen-ds-gvo/praxishilfen-ds-gvo

5) IHK Aachen : Muster: Verpflichtungserklärung zur Wahrung der Vertraulichkeit bei
der Verarbeitung personenbezogener Daten durch nicht-öffentliche Stellen.

[Online, zitiert am 2018-05-01]; Verfügbar unter
https://www.aachen.ihk.de/blob/acihk24/recht/downloads/3945172/004cc78dcc60
c27c3a0c1e1f45664a62/muster_verpflichtung_datengeheimnis-data.pdf

Version 2.1

Seite 104 von 111

Stand: 14.09.2018

Anlage 4: Beispiele für Verpflichtungserklärungen nach § 203 StGB

1

Anlage 4: Beispiele für Verpflichtungserklärungen nach § 203 StGB

2

3

1. Verpflichtungserklärung nach § 203 StGB (Einzelperson bzw.

4

Mitarbeiterinnen und Mitarbeiter)

5

6

Verpflichtung zur Verschwiegenheit nach § 203 Abs. 4

7

Strafgesetzbuch (StGB)

8

9

Anrede ______________ Vorname, Name _____________________________

10

11

Sie kommen bei Ausübung Ihrer Tätigkeit mit gesetzlich geschützten Geheimnissen

12
von Berufsgeheimnisträgern in Berührung und können daher Kenntnis von solchen

13
geschützten Geheimnissen erlangen.

14

15

Sie dürfen sich nur insoweit Kenntnis von fremden Geheimnissen verschaffen, als

16
dies zur Erfüllung der Ihnen zugewiesenen Aufgaben erforderlich ist. Ferner sind Sie

17
verpflichtet, über die Ihnen bei Ausübung oder bei Gelegenheit Ihrer Tätigkeit

18
bekannt gewordenen Geheimnisse Stillschweigen zu bewahren und diese keinesfalls

19
unbefugt Dritten zu offenbaren.

20

21

Sie werden darüber belehrt, dass Sie sich nach § 203 Absatz 4 Satz 1

22

Strafgesetzbuch (StGB) strafbar machen, wenn Sie unbefugt ein fremdes Geheimnis

23
offenbaren, das Ihnen bei Ausübung oder bei Gelegenheit Ihrer Tätigkeit bekannt

24
geworden ist. Ein Verstoß gegen § 203 Absatz 4 Satz 1 StGB wird mit Freiheitsstrafe

25
bis zu einem Jahr oder mit Geldstrafe bestraft.

26

27

Die Pflicht zur Verschwiegenheit besteht gegenüber jedermann, so auch gegenüber

28

Familienangehörigen, gegenüber Arbeitskollegen, soweit eine Offenbarung nicht aus

29
dienstlichen Gründen erforderlich ist, sowie auch gegenüber demjenigen, der von der

30
betreffenden Tatsache bereits Kenntnis erlangt hat.

31

32

Die Pflicht zur Verschwiegenheit besteht auch nach Beendigung der dienstlichen

33

Tätigkeit uneingeschränkt und zeitlich unbefristet fort.

34

35

Darüber hinaus wird die Verwertung fremder Geheimnisse nach § 204 StGB mit

36

Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

37

38

Sofern Sie autorisiert sind, in eigener Verantwortung dritte Personen außerhalb des

39

Unternehmens (z. B. Subdienstleister) in die Durchführung der Tätigkeit

40
einzubeziehen und diese im Rahmen ihrer Tätigkeit Kenntnis von fremden

41

Geheimnissen erlangen können, haben Sie dafür Sorge zu tragen, dass auch diese

42

Personen bzw. Subdienstleister unter Belehrung über die strafrechtlichen Folgen

43
einer Pflichtverletzung zur Verschwiegenheit verpflichtet werden. Des Weiteren

Version 2.1

Seite 105 von 111

Stand: 14.09.2018

Anlage 4: Beispiele für Verpflichtungserklärungen nach § 203 StGB

44
haben Sie dafür Sorge zu tragen, dass einer dieser Verpflichtungen entsprechenden

45

Verpflichtung auch für etwaige Unterbeauftragungen Gültigkeit haben.

46

47

Kommen Sie Ihrer Verantwortung zur Weitergabe der

48

Geheimhaltungsverpflichtungen nicht nach, können Sie sich nach § 203 Absatz 4

49

Satz 2 Nr. 2 StGB strafbar machen, wenn dritte Personen außerhalb des

50

Unternehmens (z. B. Subdienstleister), die Sie eingeschaltet haben, ein ihnen bei

51

Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis

52
unbefugt offenbaren.

53

54

Sie werden darauf hingewiesen, dass Ihnen im Hinblick auf Ihre Tätigkeit für den

55

Berufsgeheimnisträger ein Zeugnisverweigerungsrecht nach § 53a

56

Strafprozessordnung (StPO) zusteht. Über die Ausübung des

57

Zeugnisverweigerungsrechts entscheidet der Berufsgeheimnisträger. Kann eine

58

Entscheidung des Berufsgeheimnisträgers nicht in absehbarer Zeit herbeigeführt

59
werden, empfiehlt es sich einen Rechtsbeistand hinzuzuziehen.

60

61

Mit Ihrer Unterschrift bestätigen Sie zugleich den Empfang einer Kopie dieser

62

Niederschrift nebst Anlage.

63

64

Ort, Datum:

_________________________________

65

66

________________________________

________________________________

67

Vorname, Name

Vorname, Name

68

(Verpflichteter)

(Verpflichtender)

69

70

Anlage:

71

- § 203 Verletzung von Privatgeheimnissen Strafgesetzbuch (StGB)

72

- § 204 Verwertung fremder Geheimnisse Strafgesetzbuch (StGB)

73

- 205 Strafantrag Strafgesetzbuch (StGB)

74

- § 53a Zeugnisverweigerungsrecht der mitwirkenden Personen

75

Strafprozeßordnung (StPO)

76

- § 97 Beschlagnahmeverbot Strafprozeßordnung (StPO)

77

78

Version 2.1

Seite 106 von 111

Stand: 14.09.2018

Anlage 4: Beispiele für Verpflichtungserklärungen nach § 203 StGB

79

2. Verpflichtungserklärung nach § 203 StGB (Unternehmen)

80

81

Verpflichtung zur Geheimhaltung von Berufsgeheimnissen nach

82

§ 203 StGB

83

84

Unternehmen:________________________________________________________

85

86

Ihre Mitarbeiter kommen bei der Ausübung ihrer Tätigkeit mit geheimnisgeschützten

87

Daten von Berufsgeheimnisträgern in Berührung und können daher Kenntnis von

88
solchen geschützten Geheimnissen erlangen.

89

Ihre Mitarbeiter dürfen sich nur insoweit Kenntnis von fremden Geheimnissen

90
verschaffen, als dies zur Erfüllung der ihnen zugewiesenen Aufgaben erforderlich ist.

91

Ferner sind Ihre Mitarbeiter verpflichtet, über die ihnen bei Ausübung oder bei

92

Gelegenheit ihrer Tätigkeit bekannt gewordenen Geheimnisse Stillschweigen zu

93
bewahren und diese keinesfalls unbefugt Dritten zugänglich zu machen.

94

Sie sind dazu verpflichtet, Ihre Mitarbeiter nach § 203 Absatz 4 Satz 1

95

Strafgesetzbuch (StGB) zu verpflichten. Ihre Mitarbeiter machen sich strafbar, wenn

96
sie unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei Ausübung oder bei

97

Gelegenheit ihrer Tätigkeit bekannt geworden ist. Ein Verstoß gegen § 203 Absatz 4

98

Satz 1 StGB wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

99

Die Pflicht zur Verschwiegenheit erstreckt sich nicht nur auf fremde Geheimnisse,

100
sondern auf alle Tatsachen, die Ihren Mitarbeitern in Ausübung oder aus Anlass ihrer

101

Tätigkeit anvertraut oder bekannt werden.

102

Die Pflicht zur Verschwiegenheit besteht gegenüber jedermann, so auch gegenüber

103

Familienangehörigen, gegenüber Arbeitskollegen, soweit eine Offenbarung nicht aus

104
dienstlichen Gründen erforderlich ist, sowie auch gegenüber demjenigen, der von der

105
betreffenden Tatsache bereits Kenntnis erlangt hat.

106

Die Pflicht zur Verschwiegenheit besteht auch nach Beendigung der Beauftragung

107
uneingeschränkt und zeitlich unbefristet fort.

108

Darüber hinaus wird die Verwertung fremder Geheimnisse nach § 204 StGB mit

109

Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

110

Sofern Sie autorisiert sind, in eigener Verantwortung dritte Personen außerhalb des

111

Unternehmens (z. B. Subdienstleister) in die Durchführung der Tätigkeit

112
einzubeziehen und diese im Rahmen ihrer Tätigkeit Kenntnis von fremden

113

Geheimnissen erlangen können, haben Sie dafür Sorge zu tragen, dass auch diese

114

Personen bzw. Subdienstleister unter Belehrung über die strafrechtlichen Folgen

115
einer Pflichtverletzung zur Verschwiegenheit verpflichtet werden. Des Weiteren

116
haben Sie dafür Sorge zu tragen, dass diese Verpflichtungen auch für etwaige

117

Unterbeauftragungen Gültigkeit haben.

118

Kommen Sie Ihrer Verantwortung zur Weitergabe der

119

Geheimhaltungsverpflichtungen nicht nach, können Sie sich nach § 203 Absatz 4

120

Satz 2 Nr. 2 StGB strafbar machen, wenn dritte Personen außerhalb des

121

Unternehmens (z. B. Subdienstleiter), die Sie eingeschaltet haben, ein ihnen bei

122

Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis

123
unbefugt offenbaren.

Version 2.1

Seite 107 von 111

Stand: 14.09.2018

Anlage 4: Beispiele für Verpflichtungserklärungen nach § 203 StGB

124

Wir weisen darauf hin, dass im Hinblick auf die Tätigkeit für den

125

Berufsgeheimnisträger ein Zeugnisverweigerungsrecht nach § 53a

126

Strafprozessordnung (StPO) besteht. Über das Zeugnisverweigerungsrecht

127
entscheidet der Berufsgeheimnisträger. Kann eine Entscheidung des

128

Berufsgeheimnisträgers nicht in absehbarer Zeit herbeigeführt werden, empfiehlt es

129
sich, einen Rechtsbeistand hinzuzuziehen.

130

131

132

Ort, Datum: ____________________________________

133

134

135

___________________________________________________________________

136

Vorname, Name

Vorname, Name

137

(Verpflichteter)

(Verpflichtender)

138

Mit Ihrer Unterschrift bestätigen Sie zugleich den Empfang einer Kopie dieser

139

Niederschrift nebst Anlage.

140

141

142

Version 2.1

Seite 108 von 111

Stand: 14.09.2018

Kommentierung Anlage 4

Kommentierung Anlage 4

Die in Anlage 4 enthaltenen Verpflichtungserklärungen wurden von einer
gemeinsamen Arbeitsgruppe der Verbände

- Hartmannbund

- Bundesverband Gesundheits-IT e. V. (bvitg)

- Bundesverband Informationswirtschaft, Telekommunikation und neue Medien
e. V. (bitkom)

- Bundeszahnärztekammer

- Deutsche Krankenhausgesellschaft e.V. (DKG)

erstellt und werden von den Autoren dieses Muster-Auftragsverarbeitungsvertrages
für die Verwendung bei Auftragsverarbeitungen, in denen von § 203 StGB
geschützte Daten verarbeitet werden, empfohlen.

Umsetzungsmöglichkeiten für die Verpflichtung nach § 203 StGB

Im Rahmen der Mitwirkung einer sonstigen Person an der Tätigkeit eines

Berufsgeheimnisträgers sind folgende Fallgestaltungen denkbar:

− Eine Einzelperson wirkt als sonstige Person an der Tätigkeit des

Berufsgeheimnisträgers mit;

− ein Unternehmen wirkt als Dienstleister (= sonstige Person) an der Tätigkeit des

Berufsgeheimnisträgers mit.

In beiden möglichen Fallgestaltungen (Einzelperson oder Unternehmen als sonstige

Person) gibt es grundsätzlich die Möglichkeit, die Verpflichtung nach § 203 StGB
über eine gesonderte Verpflichtungserklärung nach § 203 StGB (also unabhängig
von einem AV-Vertrag) vorzunehmen (siehe Anlage 4, Ziffer 1; dieses Muster kann
im Übrigen auch für eine strafrechtliche Verpflichtung eigener Mitarbeiterinnen und

Mitarbeiter Verwendung finden).

Das in Anlage 4, Ziffer 2 vorgesehene Muster kann für den Fall verwendet werden,
dass ein Unternehmen für den Berufsgeheimnisträger tätig wird und die Verpflichtung
nicht über eine Nutzung der in Kapitel 7.1 vorgeschlagenen Vertragsklauseln erfolgt.

Das jeweilige Unternehmen kann seinerseits für die Verpflichtung des eingesetzten

Personals gemäß § 203 StGB auf das in Anlage 4 unter Ziffer 1 vorgeschlagene

Muster zurückgreifen.

Sofern eine Fallgestaltung vorliegt, der eine Auftragsverarbeitung zugrunde liegt,
würden somit bei dieser Variante sowohl eine gesonderte Verpflichtungserklärung
nach § 203 StGB, als auch ein AV-Vertrag vorliegen.

Für eine gesonderte Verpflichtungserklärung nach § 203 StGB kann sprechen, dass
der datenschutzrechtlich gemäß Art. 28 DS-GVO erforderliche AV-Vertrag und die

Einhaltung der Vorgaben des § 203 StGB voneinander zu trennen sind, da es sich
hierbei um unterschiedliche Rechtskreise handelt. Gemäß § 203 StGB sind sämtliche

Berufsgruppen zu verpflichten, die nicht berufsmäßig tätige Gehilfen des

Berufsgeheimnisträgers sind, aber gleichwohl an der Tätigkeit des

Berufsgeheimnisträgers mitwirken. Es ist also denkbar, dass nicht jede

Fallgestaltung, in der eine Verpflichtung gemäß § 203 StGB erfolgen muss, auch

Version 2.1

Seite 109 von 111

Stand: 14.09.2018

Kommentierung Anlage 4
gleichzeitig den Abschluss eines AV-Vertrages gemäß Art. 28 DS-GVO nach sich
zieht. Daher kann es sich anbieten, die Verpflichtung nach § 203 StGB (unabhängig
davon, ob diese für eine Einzelperson oder ein Unternehmen erfolgt) grundsätzlich
getrennt und unabhängig von etwaigen AV-Verträgen gemäß Art. 28 DS-GVO
vorzunehmen, um nicht in jedem Einzelfall prüfen zu müssen, ob in der jeweiligen

Fallgestaltung sowohl ein AV-Vertrag, als auch eine Verpflichtung nach § 203 StGB
erforderlich sind.

In Fällen, in denen ein AV-Vertrag notwendig ist und gleichzeitig eine Verpflichtung
nach § 203 StGB erfolgen muss, kann es demgegenüber empfehlenswert sein, die

Verpflichtungserklärung nach § 203 StGB in den AV-Vertrag zu integrieren bzw. die

Verpflichtung nach 203 StGB über Regelungen im AV-Vertrag sicherzustellen, um
nicht zwei gesonderte Regelungen treffen zu müssen (siehe hierzu die
vorgeschlagene Regelung in § 7.1).

Der Berufsgeheimnisträger kann entweder die mitwirkende Person selbst zur

Geheimhaltung verpflichten oder dies auf andere übertragen68. Die Vornahme der Verpflichtung kann also z.B. im Krankenhaus auch durch den Krankenhausträger
sichergestellt werden. Dies kann sinnvoll sein, da in der Regel die vertragliche

Abrede mit einem Dienstleister im Rahmen einer AV nicht durch einzelne Ärzte,
sondern durch den Krankenhausträger getroffen wird. Im Sinne einer einheitlichen

Umsetzung könnte hierzu beispielsweise eine Delegation der Durchführung der

Verpflichtung auf den Krankenhausträger in Arbeits- oder Dienstverträge betroffener

Berufsgeheimnisträger aufgenommen werden. Als weitere Möglichkeit zur

Umsetzung einer Delegation wäre auch eine entsprechende Betriebsvereinbarung
denkbar.

Dabei muss die im AV-Vertrag geregelte Verpflichtung nicht notwendigerweise durch
die in Anlage 4 Ziffer 1 bzw. 2 vorgeschlagene Muster erfolgen. Jede den

Anforderungen von § 203 StGB genügende Verpflichtungserklärung ist hierfür
nutzbar. Jedoch sollte sich der Berufsgeheimnisträger von der Rechtsgültigkeit der

Verpflichtungserklärung überzeugen.

Erfüllung des Tatbestandsmerkmals „dafür Sorge tragen“

Berufsgeheimnisträger setzen sich gemäß § 203 Abs. 4 Nr. 1 StGB selbst dem

Vorwurf der Strafbarkeit aus, wenn sie nicht dafür Sorge tragen, dass eine sonstige
mitwirkende Person, die unbefugt ein fremdes Geheimnis offenbart, zur

Geheimhaltung verpflichtet wurde.

Inwieweit in Fallkonstellationen, in denen sich die sonstige mitwirkende Person
weiterer mitwirkender Personen bedient, durch die hier vorgeschlagenen

Musterformulierungen das Tatbestandsmerkmal des „dafür Sorge Tragens“ erfüllt
wird, kann derzeit nicht mit letzter Sicherheit eingeschätzt werden. Sollten hieran

Zweifel bestehen, könnte diesbezüglich über eine weitergehende vertragliche

Absicherung nachgedacht werden. Hierzu könnten beispielsweise vertragliche

Abreden über Möglichkeiten des Berufsgeheimnisträgers zu stichprobenartigen

Überprüfungen der vorgenommenen Verpflichtungen oder geeignete Nachweise
durch den jeweiligen Dienstleister getroffen werden, z. B. wie folgt: „Der

68 Bundestags-Drucksache 18/11936 vom 12.04.2017, Seite 29 [Online, zitiert am 2018-07-14]; Verfügbar unter
https://dip21.bundestag.de/dip21/btd/18/119/1811936.pdf

Version 2.1

Seite 110 von 111

Stand: 14.09.2018

Kommentierung Anlage 4

Auftraggeber / Berufsgeheimnisträger ist berechtigt, jederzeit einen geeigneten

Nachweis über die rechtswirksame Verpflichtung nach § 203 StGB des durch den

Auftragnehmer / das Unternehmen eingesetzte Personal sowie gegebenenfalls das
von Subunternehmen eingesetzte Personal zu verlangen.“

In Fallkonstellationen, denen eine AV zugrunde liegt, könnten derartige Abreden im

AV-Vertrag getroffen werden. In Fällen, in denen die Mitwirkung an der Tätigkeit
eines Berufsgeheimnisträgers nicht auf Grundlage einer AV erfolgt, dürfte die

Zusammenarbeit anderweitig vertraglich geregelt sein (z. B. bei einem Handwerker
durch einen Werkvertrag), so dass solche Abreden in diesen Verträgen geregelt
werden könnten.

Version 2.1

Seite 111 von 111

Stand: 14.09.2018

Document Outline

Haftungsausschluss
Copyright
Inhaltsverzeichnis

Vorwort zur Aktualisierung der zweiten Auflage

Vorwort zur zweiten Auflage

- Einführung zum Thema Auftragsverarbeitung

1 Allgemeines

- 1.1 Privilegierte Form
- 1.2 Typische Merkmale einer AV
- 1.3 Typische Beispiele einer AV

2 Einordnung des AV-Vertrages in Gesamtregelwerke

- 2.1 Mögliche Vertragsgestaltungen

- 2.2 Inhaltliche Anforderungen an einen AV-Vertrag

3 Abgrenzung der Thematik

4 Spezielle Fragestellungen

- 4.1 Wartung / Fernwartung
- 4.2 Sozialdatenschutz
- 4.3 Forschung
- 4.4 Anonymisierung

- 4.5 Schweigepflicht und Datenschutz

- 4.5.1 Inhalt der Änderungen bei der Schweigepflicht § 203 StGB

- 4.5.2 Wer sind Berufsgeheimnisträger?

- 4.5.3 Mitwirkende Personen im Sinne des § 203 StGB

- 4.5.4 Offenbarungsbefugnis ist an Bedingungen der Verpflichtung geknüpft

- 4.5.5 Datenschutzrechtliche Verpflichtung nach Art. 28 Abs. 3b DS-GVO

- 4.5.6 Muster-Verpflichtungserklärungen

5 Vorbedingungen für einen AV-Auftrag

- 5.1 Auswahl des Auftragsverarbeiters/Auftragnehmers

- 5.2 Erlaubnistatbestände zur Auftragsverarbeitung (Landesebene)25F

- 5.3 Hinweis für Stellen, die dem Sozialgeheimnis unterliegen

- 5.4 Literatur

6 Abkürzungsverzeichnis

- Kommentierter Muster-AV-Vertrag

Präambel28F

- Kommentierung Präambel

- Literatur

§ 1 Definitionen

- Kommentierung § 1

- Literatur

§ 2 Gegenstand des Auftrags

- Opt. § 2.1 Leistungen des Auftragnehmers

- Kommentierung § 2

- Konkretisierung des Auftrags

- Literatur

§ 3 Verantwortlichkeit

- Kommentierung § 3

- Verpflichtung Art. 28 DS-GVO

- Literatur

§ 4 Dauer des Auftrags

- Kommentierung § 4

- Literatur

§ 5 Weisungsbefugnis des Auftraggebers

- Kommentierung § 5

- Nachträgliche Änderung der vertraglich vereinbarten Leistungen durch den Auftraggeber

- Literatur

§ 6 Leistungsort32F

- Kommentierung § 6

- Verarbeitung innerhalb der EU

- Auftragsverarbeitung außerhalb der EU / des EWR

- Standardvertragsklauseln der Kommission („EU-Standardvertrag“)

- Auftragsverarbeitung in den USA

- Literatur

§ 7 Pflichten des Auftragnehmers

- Kommentierung § 7

- Datenschutz-Folgenabschätzung
- Technisch-organisatorische Maßnahmen
- Datenschutzbeauftragter
- Mitteilung bei Verstößen

- Hinweis bei Zweifel an der Rechtmäßigkeit einer Beauftragung

- Verpflichtung des vom Auftragnehmer eingesetzten Personals

- Ersuchen eines Betroffenen auf Berichtigung und Löschung von Daten

- Gesetzliche Offenbarungspflicht
- Umgang mit Pfändung
- Beschlagnahmeschutz
- Datenschutzverstöße beim Auftragnehmer
- Auskunft durch den Auftraggeber

- Zweitnutzung der Daten durch den Auftragnehmer

- Zuständige Aufsichtsbehörde

- Literatur

§ 7.1 Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB

- Kommentierung § 7.1

- Zielrichtung der Vertragsklauseln

- Vorgaben aus gesetzlichen Berufsvorschriften

- Verarbeitung im Ausland

- Umsetzung der Verpflichtung nach § 203 StGB im AV-Vertrag

- Erfüllung des Tatbestandsmerkmals „dafür Sorge tragen“

- Literatur

Opt. § 8 Fernzugriff bei Prüfung/Wartung eines Systems oder anderen Dienstleistungen über Fernzugriffe

- Kommentierung § 8

- Fernwartung/Fernservice
- Verfügungsgewalt der Krankenhäuser
- Protokollierung

- Angemessene Identifizierungs- und Verschlüsselungsverfahren

- Literatur

§ 9 Pflichten des Auftraggebers

- Kommentierung § 9

- Verantwortlicher
- Kontrollpflichten des Auftraggebers
- Informationspflichten des Auftraggebers
- Verpflichtung nach §17 UWG
- Über den Vertrag hinausgehende Anweisungen
- Literatur

§ 10 Kontrollrechte des Auftraggebers

- Kommentierung § 10

- Überprüfung des Auftragnehmers

- Literatur

§ 11 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe von Datenträgern

- Kommentierung § 11

- Literatur

§ 12 Unterauftragnehmer

- Kommentierung § 12

- Ort der Leistungserbringung

- Literatur

§ 13 Zurückbehaltungsrecht

- Kommentierung § 13

- Literatur

§ 14 Haftung

- Kommentierung § 14

- Literatur

§ 15 Schriftformklausel

§ 16 Salvatorische Klausel

§ 17 Rechtswahl, Gerichtsstand

- Kommentierung § 17

- Rechtswahl

- Literatur

Anlage(n)

Anlage 1 zum AV-Vertrag: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe

- Kommentierung Anlage 1

Anlage 2 zum AV-Vertrag: Nachweis der allgemeinen technischen und organisatorischen Maßnahmen

- 1) Zutrittskontrolle
- 2) Zugangskontrolle
- 3) Zugriffskontrolle
- 4) Weitergabekontrolle
- 5) Eingabekontrolle
- 6) Auftragskontrolle
- 7) Verfügbarkeitskontrolle
- 8) Trennungskontrolle

- Kommentierung Anlage 2

- 1) Zutrittskontrolle
- 2) Zugangskontrolle
- 3) Zugriffskontrolle
- 4) Weitergabekontrolle
- 5) Eingabekontrolle
- 6) Auftragskontrolle
- 7) Verfügbarkeitskontrolle
- 8) Trennungskontrolle

Anlage 3: Beispiele für die Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen

- 1. Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen der DS-GVO (eigene Beschäftigte, Art. 5 DS-GVO bzw. Auftragnehmer, Art. 28 Abs. 3b DS-GVO)

- 2. Verpflichtung zur Wahrung von Geschäftsgeheimnissen

- Opt. 3. Verpflichtung auf das Sozialgeheimnis

- Opt. 4. Verpflichtung auf das Fernmeldegeheimnis

- Kommentierung Anlage 3

- Literatur

Anlage 4: Beispiele für Verpflichtungserklärungen nach § 203 StGB

- 1. Verpflichtungserklärung nach § 203 StGB (Einzelperson bzw. Mitarbeiterinnen und Mitarbeiter)

- 2. Verpflichtungserklärung nach § 203 StGB (Unternehmen)

- Kommentierung Anlage 4

- Umsetzungsmöglichkeiten für die Verpflichtung nach § 203 StGB

- Erfüllung des Tatbestandsmerkmals „dafür Sorge tragen“

Table of Contents

Haftungsausschluss
Copyright
Inhaltsverzeichnis

Vorwort zur Aktualisierung der zweiten Auflage

Vorwort zur zweiten Auflage

- Einführung zum Thema Auftragsverarbeitung

1 Allgemeines

- 1.1 Privilegierte Form
- 1.2 Typische Merkmale einer AV
- 1.3 Typische Beispiele einer AV

2 Einordnung des AV-Vertrages in Gesamtregelwerke

- 2.1 Mögliche Vertragsgestaltungen

- 2.2 Inhaltliche Anforderungen an einen AV-Vertrag

3 Abgrenzung der Thematik

4 Spezielle Fragestellungen

- 4.1 Wartung / Fernwartung
- 4.2 Sozialdatenschutz
- 4.3 Forschung
- 4.4 Anonymisierung

- 4.5 Schweigepflicht und Datenschutz

- 4.5.1 Inhalt der Änderungen bei der Schweigepflicht § 203 StGB

- 4.5.2 Wer sind Berufsgeheimnisträger?

- 4.5.3 Mitwirkende Personen im Sinne des § 203 StGB

- 4.5.4 Offenbarungsbefugnis ist an Bedingungen der Verpflichtung geknüpft

- 4.5.5 Datenschutzrechtliche Verpflichtung nach Art. 28 Abs. 3b DS-GVO

- 4.5.6 Muster-Verpflichtungserklärungen

5 Vorbedingungen für einen AV-Auftrag

- 5.1 Auswahl des Auftragsverarbeiters/Auftragnehmers

- 5.2 Erlaubnistatbestände zur Auftragsverarbeitung (Landesebene)25F

- 5.3 Hinweis für Stellen, die dem Sozialgeheimnis unterliegen

- 5.4 Literatur

6 Abkürzungsverzeichnis

- Kommentierter Muster-AV-Vertrag

Präambel28F

- Kommentierung Präambel

- Literatur

§ 1 Definitionen

- Kommentierung § 1

- Literatur

§ 2 Gegenstand des Auftrags

- Opt. § 2.1 Leistungen des Auftragnehmers

- Kommentierung § 2

- Konkretisierung des Auftrags

- Literatur

§ 3 Verantwortlichkeit

- Kommentierung § 3

- Verpflichtung Art. 28 DS-GVO

- Literatur

§ 4 Dauer des Auftrags

- Kommentierung § 4

- Literatur

§ 5 Weisungsbefugnis des Auftraggebers

- Kommentierung § 5

- Nachträgliche Änderung der vertraglich vereinbarten Leistungen durch den Auftraggeber

- Literatur

§ 6 Leistungsort32F

- Kommentierung § 6

- Verarbeitung innerhalb der EU

- Auftragsverarbeitung außerhalb der EU / des EWR

- Standardvertragsklauseln der Kommission („EU-Standardvertrag“)

- Auftragsverarbeitung in den USA

- Literatur

§ 7 Pflichten des Auftragnehmers

- Kommentierung § 7

- Datenschutz-Folgenabschätzung
- Technisch-organisatorische Maßnahmen
- Datenschutzbeauftragter
- Mitteilung bei Verstößen

- Hinweis bei Zweifel an der Rechtmäßigkeit einer Beauftragung

- Verpflichtung des vom Auftragnehmer eingesetzten Personals

- Ersuchen eines Betroffenen auf Berichtigung und Löschung von Daten

- Gesetzliche Offenbarungspflicht
- Umgang mit Pfändung
- Beschlagnahmeschutz
- Datenschutzverstöße beim Auftragnehmer
- Auskunft durch den Auftraggeber

- Zweitnutzung der Daten durch den Auftragnehmer

- Zuständige Aufsichtsbehörde

- Literatur

§ 7.1 Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB

- Kommentierung § 7.1

- Zielrichtung der Vertragsklauseln

- Vorgaben aus gesetzlichen Berufsvorschriften

- Verarbeitung im Ausland

- Umsetzung der Verpflichtung nach § 203 StGB im AV-Vertrag

- Erfüllung des Tatbestandsmerkmals „dafür Sorge tragen“

- Literatur

Opt. § 8 Fernzugriff bei Prüfung/Wartung eines Systems oder anderen Dienstleistungen über Fernzugriffe

- Kommentierung § 8

- Fernwartung/Fernservice
- Verfügungsgewalt der Krankenhäuser
- Protokollierung

- Angemessene Identifizierungs- und Verschlüsselungsverfahren

- Literatur

§ 9 Pflichten des Auftraggebers

- Kommentierung § 9

- Verantwortlicher
- Kontrollpflichten des Auftraggebers
- Informationspflichten des Auftraggebers
- Verpflichtung nach §17 UWG
- Über den Vertrag hinausgehende Anweisungen
- Literatur

§ 10 Kontrollrechte des Auftraggebers

- Kommentierung § 10

- Überprüfung des Auftragnehmers

- Literatur

§ 11 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe von Datenträgern

- Kommentierung § 11

- Literatur

§ 12 Unterauftragnehmer

- Kommentierung § 12

- Ort der Leistungserbringung

- Literatur

§ 13 Zurückbehaltungsrecht

- Kommentierung § 13

- Literatur

§ 14 Haftung

- Kommentierung § 14

- Literatur

§ 15 Schriftformklausel

§ 16 Salvatorische Klausel

§ 17 Rechtswahl, Gerichtsstand

- Kommentierung § 17

- Rechtswahl

- Literatur

Anlage(n)

Anlage 1 zum AV-Vertrag: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe

- Kommentierung Anlage 1

Anlage 2 zum AV-Vertrag: Nachweis der allgemeinen technischen und organisatorischen Maßnahmen

- 1) Zutrittskontrolle
- 2) Zugangskontrolle
- 3) Zugriffskontrolle
- 4) Weitergabekontrolle
- 5) Eingabekontrolle
- 6) Auftragskontrolle
- 7) Verfügbarkeitskontrolle
- 8) Trennungskontrolle

- Kommentierung Anlage 2

- 1) Zutrittskontrolle
- 2) Zugangskontrolle
- 3) Zugriffskontrolle
- 4) Weitergabekontrolle
- 5) Eingabekontrolle
- 6) Auftragskontrolle
- 7) Verfügbarkeitskontrolle
- 8) Trennungskontrolle

Anlage 3: Beispiele für die Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen

- 1. Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen der DS-GVO (eigene Beschäftigte, Art. 5 DS-GVO bzw. Auftragnehmer, Art. 28 Abs. 3b DS-GVO)

- 2. Verpflichtung zur Wahrung von Geschäftsgeheimnissen

- Opt. 3. Verpflichtung auf das Sozialgeheimnis

- Opt. 4. Verpflichtung auf das Fernmeldegeheimnis

- Kommentierung Anlage 3

- Literatur

Anlage 4: Beispiele für Verpflichtungserklärungen nach § 203 StGB

- 1. Verpflichtungserklärung nach § 203 StGB (Einzelperson bzw. Mitarbeiterinnen und Mitarbeiter)

- 2. Verpflichtungserklärung nach § 203 StGB (Unternehmen)

- Kommentierung Anlage 4

- Umsetzungsmöglichkeiten für die Verpflichtung nach § 203 StGB

- Erfüllung des Tatbestandsmerkmals „dafür Sorge tragen“