Umgang mit Altverträgen bzgl. Auftragsverarbeitung ("ADV-Verträge")
Author: Gemeinsame Arbeitsgruppe Auftragsdatenverarbeitung im Gesundheitswesen
Date: 2017-06-29T09:15:04+00:00
Keywords: Umgang mit unter deutschem Recht geschlossenen ADV-Verträgen unter Geltung der DS-GVO; Datenschutz; Auftragsverarbeitung; EU DS-GVO
Description: Umgang mit unter deutschem Recht geschlossenen ADV-Verträgen unter Geltung der DS-GVO

Umgang mit Altverträgen bzgl.

Auftragsverarbeitung („ADV-Verträge“)

Eine Zusammenarbeit von

Berufsverband der Datenschutzbeauftragten Deutschlands e. V.

Arbeitskreis „Medizin“

Bundesverband Gesundheits-IT e. V.

Arbeitsgruppe Datenschutz

Deutsche Gesellschaft für Medizinische Informatik, Biometrie und

Epidemiologie e. V.

Arbeitskreis „Datenschutz und IT-Sicherheit im Gesundheitswesen“

Deutsche Krankenhausgesel schaft e. V.

Gesel schaft für Datenschutz und Datensicherheit e. V.

Arbeitskreis „Datenschutz und Datensicherheit im Gesundheits- und

Sozialwesen“

Seite 1 von 23

Version 1.0

Stand der Bearbeitung: 14.06.2017

Autoren (alphabetisch)

Ina Haag

Deutsche Krankenhausgesel schaft e.V.

Andrea Hauser

Deutsche Krankenhausgesel schaft e.V.

Christoph Isele

Cerner Deutschland GmbH

Pierre Kaufmann

AGFA Healthcare GmbH

David Koeppe

Vivantes - Netzwerk für Gesundheit GmbH

Lukas Mempel

Sana Kliniken AG

Christoph Nahrstedt

Nuance Communications, Inc.

Jan Neuhaus

Deutsche Krankenhausgesel schaft e.V.

Nikolaus Schrenk

Kliniken des Bezirks Oberbayern

Bernd Schütze

Deutsche Telekom Healthcare and Security GmbH

Jens Schwanke

Kairos GmbH

Gerald Spyra

Kanzlei Spyra

Barbara Stöferle
dsm-s GmbH

Seite 2 von 23

Haftungsausschluss

Das vorliegende Werk ist nach bestem Wissen erstel t, der Inhalt wurde von den Autoren mit größter Sorgfalt zusammengestel t. Diese Ausarbeitung ist nur als Standpunkt der Autoren aufzufassen, eine Haftung für die Angaben übernehmen die Autoren nicht. Die in diesem Werk gegebenen Hinweise dürfen daher nicht direkt übernommen werden, sondern müssen vom Leser für die jeweilige Situation anhand der für diese Situation geltenden Vorschriften geprüft und angepasst werden.

Die Autoren sind bestrebt, in al en Publikationen die Urheberrechte der verwendeten Texte zu beachten, von ihnen selbst erstellte Texte zu nutzen oder auf lizenzfreie Texte zurückzugreifen.

Al e innerhalb dieses Dokumentes genannten und ggf. durch Dritte geschützten Marken- und Warenzeichen unterliegen uneingeschränkt den Bestimmungen des jeweils gültigen Kennzeichenrechts und den Besitzrechten der jeweiligen eingetragenen Eigentümer. Al ein aufgrund der bloßen Nennung ist nicht der Schluss zu ziehen, dass Markenzeichen nicht durch Rechte Dritter geschützt sind.

Copyright

Für in diesem Dokument veröffentlichte, von den Autoren selbst erstellte Objekte gilt hinsichtlich des Copyrights die folgende Regelung:

Dieses Werk ist unter einer Creative Commons-Lizenz (4.0 Deutschland Lizenzvertrag) lizenziert.

D. h. Sie dürfen:

− Teilen: das Material in jedwedem Format oder Medium vervielfältigen und weiterverbreiten

− Bearbeiten: das Material remixen, verändern und darauf aufbauen
und zwar für beliebige Zwecke, sogar kommerziell. Der Lizenzgeber kann diese Freiheiten nicht widerrufen, solange Sie sich an die Lizenzbedingungen halten.

Die Nutzung ist unter den folgenden Bedingungen möglich:

− Namensnennung: Sie müssen angemessene Urheber- und Rechteangaben machen, einen Link zur Lizenz beifügen und angeben, ob Änderungen vorgenommen wurden. Diese Angaben dürfen in jeder angemessenen Art und Weise gemacht werden, al erdings nicht so, dass der Eindruck entsteht, der Lizenzgeber unterstütze gerade Sie oder Ihre Nutzung besonders.

− Weitergabe unter gleichen Bedingungen: Wenn Sie das Material remixen, verändern oder anderweitig direkt darauf aufbauen, dürfen Sie Ihre Beiträge nur unter derselben Lizenz wie das Original verbreiten.

− Keine weiteren Einschränkungen: Sie dürfen keine zusätzlichen Klauseln oder technische Verfahren einsetzen, die anderen rechtlich irgendetwas untersagen, was die Lizenz erlaubt.

Im Weiteren gilt:

− Jede der vorgenannten Bedingungen kann aufgehoben werden, sofern Sie die Einwil igung des Rechteinhabers dazu erhalten.

− Diese Lizenz lässt die Urheberpersönlichkeitsrechte unberührt.

Um sich die Lizenz anzusehen, gehen Sie bitte ins Internet auf die Webseite:

https://creativecommons.org/licenses/by-sa/4.0/deed.de
bzw. für den vol ständigen Lizenztext
https://creativecommons.org/licenses/by-sa/4.0/legalcode

Seite 3 von 23

Inhaltsverzeichnis

Zusammenfassung __________________________________________________________ 5

1 Al gemeines ____________________________________________________________ 5

2 Pflichten für den Auftragsverarbeiter _______________________________________ 6

3 Vertragsrelevante Regelungen _____________________________________________ 9

3.1

Formvorgaben ____________________________________________________________ 9

3.2

Beibehaltene vertragsrelevante Regelungen __________________________________ 10

3.3

Geänderte vertragliche Regelungen _________________________________________ 10

3.4

Neue vertragliche Regelungen ______________________________________________ 13

4 Vertragsunabhängige Regelungen _________________________________________ 17

4.1

Geänderte Regelungen ____________________________________________________ 17

4.2

Neue Regelungen ________________________________________________________ 19

5 Weggefal ene Regelungen _______________________________________________ 19

6 Spezielle Fragestellungen ________________________________________________ 20

6.1

Privilegierung der Auftragsverarbeitung ______________________________________ 20

6.2

Wartung / Fernwartung ___________________________________________________ 21

6.3

Auftragsverarbeitung in einem Drittland _____________________________________ 22

7 Überprüfung vorhandener ADV-Verträge ___________________________________ 22

Seite 4 von 23

Zusammenfassung

Die europäische Datenschutz-Grundverordnung (DS-GVO) regelt abschließend die

Auftragsverarbeitung (AV), nationale Gesetzgeber können lediglich die Erlaubnistatbestände für eine Auftragsverarbeitung festlegen, wobei sie auch hierbei an die Rahmenbedingungen der DS-GVO
gebunden sind. Damit existieren in Europa einheitliche datenschutzrechtliche Bedingungen zur Auftragsverarbeitung, unabhängig davon ob es sich hierbei um eine Auftragsverarbeitung im Rahmen einer medizinischen Forschung, der Patientenversorgung oder im Umfeld von „public health“
handelt.

Schutzziel ist hierbei nicht der Ort der Verarbeitung, sondern der Schutz der personenbezogenen Daten. Folgerichtig ist die Auftragsverarbeitung entsprechend der DS-GVO im Gegensatz zu den Vorgaben des BDSG auch nicht örtlich begrenzt; eine Auftragsverarbeitung kann weltweit, d.h. auch außerhalb der EU in einem Drittland, erfolgen, sofern der von der DS-GVO vorgeschriebene Schutz der Daten gewährleistet ist.

Die DS-GVO verlangt ausdrücklich einen Vertrag oder „ein anderes Rechtsinstrument“ für eine Auftragsvergabe durch einen Aufragnehmer, § 11 BDSG verlangte hier „nur“ einen schriftlichen

„Auftrag“. Al erdings wurden in Deutschland überwiegend ADV-Verträge geschlossen, sodass diese Anforderung für deutsche Auftraggeber (in der DS-GVO „Verantwortliche“ genannt) keine Herausforderung darstellen sollte. Aber anders als im BDSG ist der Auftragsverarbeiter nunmehr neben dem Verantwortlichen eigenständiger Normadressat und hat eigenständige Pflichten auferlegt bekommen, inklusive eigener Bußgeldtatbestände.

Die aus dem deutschen Recht bekannte Privilegierung der Auftragsverarbeitung wurde beibehalten, sodass auch unter dem europäischen Recht eine Auftragsverarbeitung keinen eigenen

Erlaubnistatbestand benötigt; der Auftragsverarbeiter zählt datenschutzrechtlich quasi zum Verantwortlichen (im Rahmen des BDSG als „verantwortliche Stel e“ bezeichnet).

Wartung und Fernwartung sind in der DS-GVO im Gegensatz zum BDSG nicht speziell geregelt. Sofern im Rahmen einer Wartung/Fernwartung ein Zugriff auf personenbezogene Daten nicht sicher vermieden werden kann, wird man aber auch nach der DS-GVO einen Vertrag zur

Auftragsverarbeitung abschließen müssen.

1 Allgemeines

Die am 24. Mai 2016 in Kraft getretene europäische Datenschutz-Grundverordnung (DS-GVO), die ab dem 25. Mai 2018 in Europa unmittelbar geltendes Recht sein wird, übernimmt im Kern die aus der Richtlinie 95/46/EG („Richtlinie des Europäischen Parlaments und des Rates vom 24. Oktober 1995
zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr“) bekannten datenschutzrechtlichen Grundprinzipien wie die der „Datenvermeidung und Datensparsamkeit“, der „Zweckbindung“, des „Verbots mit Erlaubnisvorbehalts“ und der

„Transparenz“. Oftmals wird daher gesagt, dass sich im Prinzip nichts ändert, was in gewisser Hinsicht sicherlich stimmt. Schaut man sich die Regelungen im Einzelnen an, findet man hingegen eine Vielzahl von Neuerungen und Änderungen zum bestehenden geltenden Recht. In manchen Details gibt es sogar großen Anpassungsbedarf. Dies gilt auch für die Auftragsverarbeitung. Im Folgenden sol en in al er Kürze die geänderten oder auch neuen Aspekte vorgestel t werden.

Seite 5 von 23

2 Pflichten für den Auftragsverarbeiter

Anders als im BDSG heißt der Auftragnehmer in der DS-GVO „Auftragsverarbeiter“. Nach der DS-GVO
ist der Auftragsverarbeiter nunmehr neben dem Verantwortlichen eigenständiger Normadressat. Ihm stehen ferner eigene, aus der DS-GVO resultierende Rechte und Pflichten zu, deren Nichteinhaltung bußgeldbewehrt ist. Diese Pflichten sind im Nachfolgenden tabellarisch aufgeführt.

DS-GVO

Inhalt der Regelung

Vertreterregelung

Art. 27

Auftragsverarbeiter außerhalb der EU müssen schriftlich einen

Abs. 1, 3

Vertreter in der Union bestimmen, der in einem der

Mitgliedstaaten niedergelassen sein muss, welcher insbesondere
für Aufsichtsbehörden und betroffene Personen bei sämtlichen

Fragen im Zusammenhang mit der Einhaltung der Vorgaben der

DS-GVO als Anlaufstelle dient.

Unterauftrags-

Art. 28 Abs. 2

Der Auftragsverarbeiter darf ohne schriftliche Genehmigung des
verarbeiter

Verantwortlichen keinen Unterauftragsverarbeiter beauftragen.

Hinweis: Eine elektronische Form der Genehmigung sieht Art. 28

Abs.2 DS-GVO nicht vor.

Dokumentation der

Art. 28 Abs. 3

Der Auftragsverarbeiter darf personenbezogene Daten nur auf

Weisung und
lit a
dokumentierte Weisung des Verantwortlichen verarbeiten. Dies

Ausführung
beinhaltet auch die Übermittlung personenbezogener Daten an
ein Drittland oder eine internationale Organisation.

Hinweis: Dies bedeutet, dass auch im Rahmen der Wartung/

Fernwartung eines IT-Systems diese Wartung/Fernwartung nur
auf eine dokumentierte Weisung des Verantwortlichen hin
erfolgen darf; der Auftragsverarbeiter hat hier keinen

Ermessungsspielraum.

Verpflichtung zur

Art. 28 Abs. 3

Der Aufragnehmer muss gewährleisten, dass alle zur

Vertraulichkeit
lit. b

Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet
wurden oder einer angemessenen gesetzlichen

Verschwiegenheitspflicht unterliegen.

Geeignete

Art. 28 Abs. 3

Der Auftragsverarbeiter muss erforderliche technische und
technische und
lit. c i. V. m.

organisatorische Maßnahmen gemäß Art. 32 DS-GVO umsetzen.

organisatorische

Art. 32

Maßnahmen

Betroffenenrechte

Art. 28 Abs. 3

Der Auftragsverarbeiter muss mit geeigneten technischen und
lit. e
organisatorischen Maßnahmen den Verantwortlichen in der

Umsetzung der Rechte von betroffenen Personen unterstützen.

Unterstützung des

Art. 28 Abs. 3

Der Auftragsverarbeiter muss, soweit ihm dies nach der Art der

Verarbeitung und der ihm zur Verfügung stehenden

Seite 6 von 23

DS-GVO

Inhalt der Regelung

Verantwortlichen
lit. f

Informationen möglich ist, den Verantwortlichen bei der

Einhaltung der Anforderungen von

− Art. 32 (Sicherheit der Verarbeitung)

− Art. 33 (Meldung von Verletzungen des Schutzes
personenbezogener Daten an die Aufsichtsbehörde)

− Art. 34 (Meldung von Verletzungen des Schutzes
personenbezogener Daten an den Betroffenen)

− Art. 35 (Datenschutz-Folgenabschätzung)

− Art. 36 (Vorherige Konsultation der Aufsichtsbehörde)

unterstützen.

Rückgabe der Daten Art. 28 Abs. 3

Nach Abschluss der Verarbeitung muss der Auftragsverarbeiter
lit. g
die personenbezogenen Daten löschen oder zurückgeben, sofern
für den Auftragsverarbeiter keine rechtliche Verpflichtung zur

Aufbewahrung der personenbezogenen Daten besteht.

Dokumentation

Art. 28 Abs. 3

Der Auftragsverarbeiter muss dem Verantwortlichen alle
lit. h
erforderlichen Informationen zum Nachweis der Einhaltung der in

Art. 28 DS-GVO niedergelegten Pflichten zur Verfügung stellen.

Kontrol en

Art. 28 Abs. 3

Der Auftragsverarbeiter muss Überprüfungen – einschließlich
lit. h

Inspektionen –, die vom Verantwortlichen oder einem anderen
von diesem beauftragten Prüfer durchgeführt werden,
ermöglichen und unterstützen.

Mitteilungspflicht

Art. 28 Abs. 3

Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich
bei unzulässigen

Satz 3
informieren, falls er der Auffassung ist, dass eine Weisung gegen

Weisungen
diese Verordnung oder gegen andere Datenschutzbestimmungen
der Union oder der Mitgliedstaaten verstößt.

Unterauftrags-

Art. 28 Abs. 4

Beauftragt der Auftragsverarbeiter einen
verarbeiter

Unterauftragsverarbeiter, so muss er dem

Unterauftragsverarbeiter dieselben Datenschutzpflichten
auferlegen, die der Auftragsverarbeiter mit dem

Verantwortlichen vereinbarte. Außerdem haftet der

Auftragsverarbeiter für Pflichtverletzungen des

Unterauftragsverarbeiters.

Weisungsbefugnis

Art. 29

Der Auftragsverarbeiter darf personenbezogene Daten nur auf

Weisung des Verantwortlichen verarbeiten, außer dass er nach
dem Unionsrecht oder dem Recht der Mitgliedstaaten zur

Verarbeitung verpflichtet ist.

Hinweis: Ist dies der Fall, so muss der Auftragsverarbeiter vor

Beginn der Verarbeitung den Verantwortlichen über diese
rechtlichen Anforderungen zur Verarbeitung seiner Daten

Seite 7 von 23

DS-GVO

Inhalt der Regelung
informieren (Art. 28 Abs. 3 lit. a), sofern dieses Recht eine solche

Mitteilung nicht wegen eines wichtigen öffentlichen Interesses
verbietet.

Verzeichnis von

Art. 30 Abs. 2

Der Auftragsverarbeiter führt (soweit keine

Verarbeitungs-
i. V. m. Art. 30 Ausnahmetatbestände vorliegen) ein schriftliches (beinhaltet
tätigkeiten

Abs. 3
auch die Möglichkeit der Nutzung eines elektronischen Formates)

Verzeichnis zu allen Kategorien von im Auftrag eines

Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung.

Zusammenarbeit mit Art. 30 Abs. 4

Der Auftragsverarbeiter stellt das Verzeichnis auf Anfrage der

Aufsichtsbehörden

Aufsichtsbehörde zur Verfügung.

Zusammenarbeit mit Art. 31

Der Auftragsverarbeiter arbeitet auf Anfrage mit der

Aufsichtsbehörden

Aufsichtsbehörde bei der Erfül ung ihrer Aufgaben zusammen.

Weisungsbefugnis

Art. 32 Abs. 4

Der Auftragsverarbeiter stellt sicher, dass ihm unterstel te
natürliche Personen die personenbezogenen Daten nur auf

Anweisung des Verantwortlichen verarbeiten, es sei denn, sie
sind rechtlich zur Verarbeitung verpflichtet.

Mitteilungspflicht

Art. 33 Abs. 2

Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich
bei Pannen
über eine Verletzung des Schutzes personenbezogener Daten
informieren.

Datenschutz-

Art. 37 Abs. 1, Der Auftragsverarbeiter muss einen Datenschutzbeauftragten
beauftragter

Abs. 4 S. 1,
bestel en, wenn dies durch die DS-GVO oder nach einem anderen

2. HS

Recht der Union oder der Mitgliedstaaten vorgeschrieben ist.

Datenschutz-

Art. 38 Abs. 1

Der Auftragsverarbeiter muss gewährleisten, dass der
beauftragter

Datenschutzbeauftragte ordnungsgemäß und frühzeitig in al e
mit dem Schutz personenbezogener Daten zusammenhängenden

Fragen eingebunden ist.

Datenschutz-

Art. 38 Abs. 2

Der Auftragsverarbeiter stellt dem Datenschutzbeauftragten alle
beauftragter
erforderlichen Ressourcen sowie den Zugang zu
personenbezogenen Daten und Verarbeitungsvorgängen als auch
die zur Erhaltung seines Fachwissens erforderlichen Ressourcen
zur Verfügung.

Datenschutz-

Art. 38 Abs. 3

Der Auftragsverarbeiter stellt sicher, dass der
beauftragter

Datenschutzbeauftragte bei der Erfül ung seiner Aufgaben
weisungsfrei arbeiten kann. Der Datenschutzbeauftragte darf
wegen seiner Aufgabenerfül ung nicht abberufen oder
benachteiligt werden.

Seite 8 von 23

DS-GVO

Inhalt der Regelung

Datenschutz-

Art. 38 Abs. 6

Nimmt der Datenschutzbeauftragte noch andere Aufgaben und
beauftragter

Pflichten wahr, stellt der Auftragsverarbeiter sicher, dass
derartige Aufgaben und Pflichten nicht zu einem

Interessenkonflikt führen.

Drittländer

Artt. 44-50

Eine Verarbeitung in Drittländern ist nur unter Einhaltung der in
den Artt. 44-50 DS-GVO beschriebenen Anforderungen statthaft.

Zusammenarbeit mit Art. 60 Abs. 10 Nach der Unterrichtung durch eine federführende Aufsichtsbehörden

Aufsichtsbehörde muss der Auftragsverarbeiter die
erforderlichen Maßnahmen treffen, um die Entscheidung der

Aufsichtsbehörde umzusetzen. Diese getroffenen Maßnahmen
muss der Auftragsverarbeiter der federführenden

Aufsichtsbehörde mitteilen.

Haftung

Art. 82 Abs. 2

Der Auftragsverarbeiter haftet für den durch eine Verarbeitung
verursachten Schaden nur dann, wenn er
seinen speziel den Auftragsverarbeitern auferlegten Pflichten
aus dieser Verordnung nicht nachgekommen ist oder
unter Nichtbeachtung der rechtmäßig erteilten Anweisungen
des für die Datenverarbeitung Verantwortlichen gehandelt
hat oder
gegen diese Anweisungen gehandelt hat.

Haftung

Art. 82 Abs. 4

Jeder Verantwortliche oder jeder Auftragsverarbeiter haftet für
den gesamten Schaden, damit ein wirksamer Schadenersatz für
die betroffene Person sichergestellt ist.

3 Vertragsrelevante Regelungen

3.1 Formvorgaben

Art. 28 Abs. 3 DS-GVO verlangt ausdrücklich einen Vertrag oder „ein anderes Rechtsinstrument“.

Gemäß Art. 28 Abs. 9 DS-GVO muss der Vertrag schriftlich abgefasst werden, wobei eine entsprechende Schriftform auch ein elektronisches Format aufweisen darf. Vgl. hinsichtlich näherer Ausführungen die diesbezügliche Darstel ung unter 3.2 zu Art. 28 Abs. 9.

Neben einem individuellen Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter können gemäß Art. 28 Abs. 6 DS-GVO künftig Standardvertragsklauseln verwendet werden, die entweder von der EU-Kommission oder nach dem neu eingeführten Kohärenzverfahren festgelegt werden (Art. 28 Abs. 7, 8 DS-GVO).

Seite 9 von 23

3.2 Beibehaltene vertragsrelevante Regelungen

Darstellung der im BDSG bereits enthaltenen Regelungen, die sich praktisch unverändert in der DSGVO wiederfinden.

BDSG

DS-GVO

Inhalt der Regelung

Gegenstand/

§ 11 Abs. 2 Art. 28 Abs. 3

Festzulegen sind: Gegenstand und Dauer der

Dauer

Ziff. 1

S. 1

Verarbeitung

Art/Zweck

§ 11 Abs. 2 Art. 28 Abs. 3

Festzulegen sind: Art und Zweck der Verarbeitung, die

Ziff. 2

S. 1

Art der personenbezogenen Daten, die Kategorien
betroffener Personen

Löschung

§ 11 Abs. 2 Art. 28 Abs. 3

Der Auftragsverarbeiter löscht oder gibt alle

Ziff. 10
lit. g
personenbezogenen Daten an den Verantwortlichen
entsprechend dessen Entscheidung zurück.

Hinweispflicht

§ 11 Abs. 3 Art. 28 Abs. 3

Es besteht eine Hinweispflicht, wenn der

S. 2

S. 3

Auftragsverarbeiter eine Weisung des

Verantwortlichen für datenschutzrechtlich
rechtswidrig hält.

3.3 Geänderte vertragliche Regelungen

Die nachfolgenden Regelungen sind bisher grundsätzlich in § 11 BDSG enthalten. In der DS-GVO sind sie etwas abgeändert oder genauer spezifiziert vorhanden.

DS-GVO

Inhalt der Regelung

Begriffsdefinition

Art. 4 Ziff. 8

Während im BDSG der Begriff des „Auftragsverarbeiters“ nicht

Auftragsverarbeiter
explizit enthalten und definiert ist, definiert die DS-GVO, was
unter diesem Begriff zu verstehen ist. Dabei bleibt die DS-GVO
bei der Begriffsbestimmung, wie sie aus der RL 95/46/EG
bekannt ist, sodass bisherige Ausführungen der

Aufsichtsbehörden1 zur Interpretation herangezogen werden
können.

Drittland

Art. 4 Ziff. 10 Im Unterschied zu der entsprechenden Regelung im BDSG ist ein

Auftragsverarbeiter mit einem Sitz im Drittland nicht
automatisch „Dritter“. Ob die Definition des „Dritten“ auf eine
datenverarbeitende Stelle zutrifft, hängt ausschließlich von der

Befugnis ab, ob die Daten unter der Verantwortung eines

Verantwortlichen als Auftragsverarbeiter verarbeitet werden

1 z. B. Artikel-29-Datenschutzgruppe, Stel ungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, WP 169 vom 16.2.2010, S. 32. Online, zitiert am 2016-09-25; Verfügbar unter http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp169_de.pdf Seite 10 von 23

DS-GVO

Inhalt der Regelung
dürfen, nicht vom Erbringungsort.

Verpflichtung zur

Art. 28

Der Auftragsverarbeiter muss gewährleisten, dass alle zur

Vertraulichkeit

Abs. 3 lit. b

Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet
wurden oder einer angemessenen gesetzlichen

Verschwiegenheitspflicht unterliegen.

Geeignete

Art. 28

Der Auftragsverarbeiter muss erforderliche technische und
technische und

Abs. 3 lit. c
organisatorische Maßnahmen gemäß Art. 32 DS-GVO umsetzen.

organisatorische

Maßnahmen

Unterauftrags-

Art. 28

Der Auftragnehmer darf keine weiteren Auftragsverarbeiter
verarbeiter

Abs. 3 lit. d
ohne vorherige schriftliche Genehmigung des Auftraggebers in

Anspruch nehmen. Im Fal einer al gemeinen Genehmigung ist
über die beabsichtigte Änderung der Hinzuziehung zu
informieren, um dem Auftraggeber die Möglichkeit des

Einspruchs einzuräumen.

Rechte betroffener

Art. 28

Der Auftragsverarbeiter muss mit geeigneten technischen und

Personen

Abs. 3 lit. e
organisatorischen Maßnahmen den Verantwortlichen bei der

Umsetzung der Rechte von betroffenen Personen unterstützen.

Unterstützung des

Art. 28

Der Auftragsverarbeiter muss, soweit ihm dies nach der Art der

Verantwortlichen

Abs. 3 lit. f

Verarbeitung und der ihm zur Verfügung stehenden

Informationen möglich ist, den Verantwortlichen bei der

Einhaltung der Anforderungen von

− Art. 32 (Sicherheit der Verarbeitung)

− Art. 33 (Meldung von Verletzungen des Schutzes
personenbezogener Daten an die Aufsichtsbehörde)

− Art. 34 (Meldung von Verletzungen des Schutzes
personenbezogener Daten an den Betroffenen)

− Art. 35 (Datenschutz-Folgenabschätzung)

− Art. 36 (Vorherige Konsultation der Aufsichtsbehörde)

unterstützen

Form

Art. 28.

Die DS-GVO verlangt ausdrücklich einen schriftlichen Vertrag

Abs. 3 S.1,

(BDSG nur einen „schriftlich zu erteilenden Auftrag“), wobei

S. 2
diese Anforderung auch ein elektronisches Format zulässt.

ErwGr. 32 gibt Hinweise, was der europäische

Art. 28

Verordnungsgeber unter einer „elektronischen Form“ in Bezug

Abs. 9
auf die Einwilligung versteht. Diese können analog zur

Interpretation im Rahmen der Vertragsgestaltung bei der

Auftragsverarbeitung hinzugezogen werden.

Seite 11 von 23

DS-GVO

Inhalt der Regelung

Rechenschaftspflicht

Art. 5 Abs. 2 DS-GVO erhebt eine „Rechenschaftspflicht“
bezüglich der Anforderungen von Art. 5 Abs. 1 DS-GVO.

Hinweis: Neben der Nachweis- und Rechenschaftspflicht
gegenüber dem Betroffenen muss diese Dokumentation letztlich
auch einer aufsichtsrechtlichen/gerichtlichen Überprüfung
standhalten. Daher bietet es sich an, einen Vertrag
entsprechend der deutschen Vorgaben gemäß §§ 126, 126a BGB
abzuschließen.

Dokumentation

Art. 30

Der Auftragsverarbeiter stellt das von ihm erstellte „Verzeichnis

Abs. 4
von Verarbeitungstätigkeiten“ auf Anfrage der Aufsichtsbehörde
zur Verfügung. D. h. der Auftragsverarbeiter muss direkt mit der

Aufsichtsbehörde zusammenarbeiten, unabhängig vom

Verantwortlichen.

Hinweis: Daher sollte vertraglich vereinbart werden, dass der

Auftragsverarbeiter den Verantwortlichen von diesen Anfragen
der Aufsichtsbehörde informiert.

Technische und

Art. 32

Der Verantwortliche und der Auftragsverarbeiter treffen
organisatorische

Abs. 1
geeignete technische und organisatorische Maßnahmen, um ein

Maßnahmen
dem Risiko angemessenes Schutzniveau bei der Verarbeitung zu
gewährleisten. Dies muss unter Berücksichtigung

- des Stands der Technik,

- der Implementierungskosten und

- der Art, des Umfangs, der Umstände und der Zwecke der

Verarbeitung sowie

- der unterschiedlichen Eintrittswahrscheinlichkeit und

- der Schwere des Risikos für die Rechte und Freiheiten
natürlicher Personen
erfolgen. Die getroffenen Maßnahmen müssen der Aufzählung
in Art. 32 Abs. 1 lit. a-d genügen.

Information bei

Art. 33

Der Auftragsverarbeiter muss den Verantwortlichen

Verletzungen

Abs. 2
unverzüglich über eine Verletzung des Schutzes
personenbezogener Daten informieren.

Bußgeld

Art. 83

Im Unterschied zum BDSG ist nicht ein bestimmtes Verhalten

Abs. 4 lit. a
oder Unterlassen bußgeldbewehrt, sondern jeder Verstoß gegen
die aufgeführten Artikel der DS-GVO bzw. den daraus
resultierenden Pflichten für Verantwortliche und Auftraggeber.

Zudem enthält der Wortlaut eine „muss“-Vorgabe, so dass die

Aufsichtsbehörde jeden Verstoß ahnden muss.

Seite 12 von 23

3.4 Neue vertragliche Regelungen

DS-GVO

Inhalt der Regelung

Vertreter

Art. 27 Abs. 1

Verantwortliche oder Auftragsverarbeiter müssen schriftlich
einen Vertreter in der Union benennen, wenn ein

Drittstaatenbezug gemäß Art. 3 Abs. 2 vorliegt. Der Vertreter
kann sowohl eine natürliche als auch eine juristische Person
sein (Art. 4 Nr. 17).

Vertreter

Art. 27 Abs. 2

Art. 27 Abs. 2 schränkt die aus Art. 27 Abs. 1 resultierende

Pflicht zur Benennung eines Vertreters in der Union ein. Die

Pflicht gilt prinzipiell nicht für Behörden oder öffentliche

Stellen (Art. 27 Abs. 2 lit. b). Diese Ausnahmeregelung muss
immer individuell geprüft werden, da Art. 27 Abs. 2 lit a
fordert, „unter Berücksichtigung der Art, der Umstände, des

Umfangs und der Zwecke der Verarbeitung“ das „Risiko für
die Rechte und Freiheiten natürlicher Personen“
einzuschätzen.

Hinweis: Nur wenn diese Risikoabwägung ergibt, dass keine
besonderen Risiken mit der Verarbeitung verbunden sind,
kommen die angegebenen Ausnahmetatbestände zur

Wirkung2.

Vertreter

Art. 27 Abs. 3

Der in Art. 27 Abs. 1 geforderte Vertreter muss in einem der

Mitgliedstaaten niedergelassen sein, in denen die betroffenen

Personen, deren Daten verarbeitet werden, leben.

Hinweis: Die Formulierung „in einem der Mitgliedsstaaten“
lässt darauf schließen, dass die Benennung nur eines

Vertreters ausreichend ist3.

Vertreter

Art. 27 Abs. 4

Der Vertreter muss durch den Verantwortlichen oder den

Auftragsverarbeiter beauftragt werden, zusätzlich zu diesem
oder an seiner Stel e insbesondere für Aufsichtsbehörden und
betroffene Personen bei sämtlichen Fragen im

Zusammenhang mit der Verarbeitung als Anlaufstelle zu
dienen.

Haftung

Art. 27 Abs. 5

Die Verantwortung und Haftung des Verantwortlichen oder
des Auftragsverarbeiters ist unabhängig von der Bestellung
eines Vertreters, d.h. ein Betroffener hat immer die

2 Plath KU (2016) Art. 27 DS-GVO, Rn. 4 in Plath (Hrsg.) BDSG/DSGVO Kommentar zum BDSG und zur DSGVO
sowie den Datenschutzbestimmungen des TMG und TKG. Otto Schmidt Verlag. ISBN 978-3-504-56074-4

3 Plath KU (2016) Art. 27 DS-GVO, Rn. 5 in Plath (Hrsg.) BDSG/DSGVO Kommentar zum BDSG und zur DSGVO
sowie den Datenschutzbestimmungen des TMG und TKG. Otto Schmidt Verlag. ISBN 978-3-504-56074-4

Seite 13 von 23

DS-GVO

Inhalt der Regelung

Möglichkeit, rechtliche Schritte gegen den Verantwortlichen
oder den Auftragsverarbeiter selbst einzuleiten.

Unterauftrags-

Art. 28 Abs. 2

Der Auftragsverarbeiter darf ohne schriftliche Genehmigung
verarbeiter
des Verantwortlichen keinen Unterauftragsverarbeiter

Art. 28 Abs. 3 S. beauftragen.

2 lit. d

Hinweis: die DS-GVO fordert explizit die Schriftform

(Unterschrift). Die Möglichkeit der elektronisch erteilten

Genehmigung sieht Art. 28 Abs.2 DS-GVO nicht explizit vor4.

Dokumentation

Art. 28 Abs. 3

Der Auftragsverarbeiter darf personenbezogene Daten nur
lit. a
auf dokumentierte Weisung des Verantwortlichen
verarbeiten. Dies beinhaltet auch die Übermittlung
personenbezogener Daten an ein Drittland oder eine
internationale Organisation.

Hinweis: D. h. auch im Rahmen der Wartung/Fernwartung
eines IT-Systems darf diese Wartung/Fernwartung nur auf
dokumentierte Weisung des Verantwortlichen erfolgen; der

Auftragsverarbeiter hat hier keinen Ermessungsspielraum.

Unterauftrags-

Art. 28 Abs. 4

Beauftragt der Auftragsverarbeiter einen
verarbeiter

Unterauftragsverarbeiter, so muss er diesem dieselben

Datenschutzpflichten auferlegen, die der Auftragsverarbeiter
mit dem Verantwortlichen vereinbarte. Außerdem haftet der

Auftragsverarbeiter für Pflichtverletzungen des

Unterauftragsverarbeiters.

Hinweis: Ähnlich lautende Formulierungen waren bisher in
vielen Musterverträgen nach § 11 BDSG enthalten, gesetzlich
aber nicht verpflichtend gefordert.

Genehmigte

Art. 28 Abs. 5

Die Einhaltung genehmigter Verhaltensregeln (Art. 40) oder

Verhaltensregeln,
eines genehmigten Zertifizierungsverfahrens (Art. 42) durch

Zertifizierungs-
einen Auftragsverarbeiter kann ggfs. als Bestandteil des
verfahren

Nachweises geeigneter technischer und organisatorischer

Maßnahmen für hinreichende Garantien im Sinne der Art. 28

4 ErwGr. 32 gibt Hinweise, was der europäische Gesetzgeber unter einer „elektronischen Form“ in Bezug auf die Einwil igung versteht, und kann analog zur Interpretation zu den Anforderungen bei der Vertragsgestaltung durchaus hinzugezogen werden. Der europäische Verordnungsgeber verwendet die Formulierung

„elektronisches Format“ innerhalb der Erwägungsgründe der DS-GVO i.d.R. im Zusammenhang mit Internetseiten (bspw. ErwGr. 58: „Diese Information könnte in elektronischer Form bereitgestel t werden, beispielsweise auf einer Website“). ErwGr. 32 beschreibt als Beispiel für das elektronische Format „Dies könnte etwa durch Anklicken eines Kästchens [. .]“. Gemäß ErwGr. 32, 58 genügt in der DS-GVO eine entsprechende Dokumentation hinsichtlich des elektronischen Formats. Damit entspricht die angesprochene europäische Anforderung nicht der deutschen Schriftform gemäß §§ 126, 126a BGB.

Seite 14 von 23

DS-GVO

Inhalt der Regelung

Abs. 1 und 4 angesehen werden.

Standardvertrags- Art. 28 Abs. 6

Ein individueller Vertrag zwischen Verantwortlichem und
klauseln

Auftragsverarbeiter kann ganz oder teilweise auf den in

Art. 28 Abs. 7, 8 genannten Standardvertragsklauseln
beruhen.

Standardvertrags- Art. 28 Abs. 7

Die Kommission kann Standardvertragsklauseln zur Regelung
klauseln
der in Art. 28 Abs. 3, 4 genannten Anforderungen festlegen.

Standardvertrags- Art. 28 Abs. 8

Eine Aufsichtsbehörde kann Standardvertragsklauseln zur
klauseln

Regelung der in Art. 28 Abs. 3, 4 genannten Anforderungen
festlegen.

Verantwortung

Art. 28 Abs. 10

Der Auftragsverarbeiter gilt selbst als Verantwortlicher, wenn
er entgegen den Vorgaben von Art. 28 DS-GVO die Zwecke
und Mittel der Verarbeitung selber bestimmt.

Weisungsbefugnis Art. 29

Der Auftragsverarbeiter darf personenbezogene Daten nur
auf Weisung des Verantwortlichen verarbeiten, außer dass er
nach dem Unionsrecht oder dem Recht der Mitgliedstaaten
zur Verarbeitung verpflichtet ist. Ist dies der Fall, so muss der

Auftragsverarbeiter vor Beginn der Verarbeitung den

Verantwortlichen über diese rechtlichen Anforderungen zur

Verarbeitung seiner Daten informieren (Art. 28 Abs. 3 lit. a),
sofern dieses Recht eine solche Mitteilung nicht wegen eines
wichtigen öffentlichen Interesses verbietet.

Verzeichnis von

Art. 30 Abs. 2

Der Auftragsverarbeiter führt ein schriftliches (beinhaltet

Verarbeitungs-
auch die Möglichkeit der Nutzung eines elektronischen
tätigkeiten

Formates) Verzeichnis zu allen Kategorien von im Auftrag
eines Verantwortlichen durchgeführten Tätigkeiten der

Verarbeitung.

Zusammenarbeit Art. 31

Der Verantwortliche und der Auftragsverarbeiter sowie deren
mit Aufsichts-
etwaige Vertreter arbeiten auf Anfrage mit der
behörde

Aufsichtsbehörde bei der Erfül ung ihrer Aufgaben
zusammen.

Hinweis: Da hier eine vom Verantwortlichen unabhängige

Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde
existiert, sollte vertraglich eine Informationspflicht gegenüber
dem Verantwortlichen vereinbart werden.

Anwendungs-

Art. 44

Hier wird der Anwendungsbereich von Kap. V (Übermittlung
bereich
personenbezogener Daten an Drittländer oder an

Seite 15 von 23

DS-GVO

Inhalt der Regelung
internationale Organisationen) dargestellt.

Hinweis: Al e Übermittlungen von Daten, die in einem

Drittland (oder einer internationalen Organisation)

verarbeitet werden bzw. dort verarbeitet werden sollen,
bedürfen einer besonderen Rechtfertigung. Natürlich müssen
auch die anderen Anforderungen der DS-GVO eingehalten
werden. ErwGr. 101 führt hierzu aus, dass insbesondere das

Schutzniveau bei der Übermittlung personenbezogener Daten
in ein Drittland erhalten bleibt.

Schadenersatz

Art. 82 Abs. 1

Jede Person (ggfs. muss die Person nicht selbst ein

Betroffener sein), der wegen eines Verstoßes gegen diese

Verordnung ein materieller oder immaterieller Schaden
entstanden ist, hat einen Anspruch auf Schadenersatz gegen
den Verantwortlichen oder gegen den Auftragsverarbeiter.

Hinweis: Innerhalb der DS-GVO existiert keine Beschränkung
eines Ersatzanspruches für immaterielle Schäden, wie das
bisherige deutsche Recht (§ 8 Abs. 3 BDSG) es vorsieht.

Gleichfalls fehlt eine Begrenzung auf „schwere

Persönlichkeitsverletzungen“ (§ 8 Abs. 2 BDSG).

Insoweit wurde der Haftungsanspruch eines Geschädigten
gegenüber Verantwortlichen und Auftragsverarbeitern
erweitert.

Haftung

Art. 82 Abs. 2

Generell haftet jeder Verantwortliche für einen Schaden, der
durch eine Verarbeitung verursacht wurde, die nicht den

Anforderungen der DS-GVO genügt.

Der Auftragsverarbeiter haftet für den durch eine

Verarbeitung verursachten Schaden nur dann, wenn er

- seinen speziell den Auftragsverarbeitern auferlegten

Pflichten aus dieser Verordnung nicht nachgekommen ist
oder

- unter Nichtbeachtung der rechtmäßig erteilten

Anweisungen des für die Datenverarbeitung

Verantwortlichen gehandelt hat oder

- gegen diese Anweisungen gehandelt hat.

Haftung

Art. 82 Abs. 3

Kann der Verantwortliche bzw. der Auftragsverarbeiter
nachweisen, dass er für den Umstand, durch den der Schaden
eintrat, in keinerlei Hinsicht verantwortlich ist, so wird er von
der Haftung befreit.

Hinweis: Rechtswidriger Zugriff auf Daten durch Dritte

(„Hackerangriff“) beinhaltet hierbei, dass der Verantwortliche

Seite 16 von 23

DS-GVO

Inhalt der Regelung
bzw. der Auftragsverarbeiter nachweisen kann, dass
entsprechende Schutzmaßnahmen gemäß Art. 32

(insbesondere dem Stand der Technik genügende

Maßnahmen) etabliert waren5. Die Nachweispflicht liegt beim

Verantwortlichen bzw. Auftragsverarbeiter, nicht jedoch beim

Betroffenen.

Haftung

Art. 82 Abs. 4

Ist mehr als ein Verantwortlicher oder mehr als ein

Auftragsverarbeiter bzw. sowohl ein Verantwortlicher als
auch ein Auftragsverarbeiter an derselben Verarbeitung
beteiligt, so haftet jeder von ihnen für den gesamtem

Schaden (Verantwortlichkeit für den Schaden vorausgesetzt).

Hinweis: Hier liegt eine gesamtschuldnerische Haftung (vgl.

§ 421 BGB) gegenüber dem Betroffenen vor, so dass der

Betroffene seinen Schadenersatzanspruch jeder Partei
gegenüber geltend machen kann.

Haftung

Art. 82 Abs. 5

Hat ein Verarbeiter entsprechend Art. 82 Abs. 4 vol ständigen

Schadenersatz für einen erlittenen Schaden geleistet, so
regelt Art. 82 Abs. 5 den Ausgleich im Innenverhältnis
zwischen den verarbeitenden Parteien, so dass jede am

Schaden beteiligte Partei sich auf Anforderung entsprechend
ihrem Anteil am Schaden auch am Schadenersatz beteiligen
muss.

4 Vertragsunabhängige Regelungen

In diesem Abschnitt erfolgt eine Darstellung ggf. AV-relevanter Regelungen, die nicht notwendigerweise Bestandteil eines AV-Vertrages sind.

4.1 Geänderte Regelungen

DS-GVO

Inhalt der Regelung

Definition

Art. 4 Ziff. 7

Die Definition des Verantwortlichen hat sich geändert:

Verantwortlicher
natürliche oder juristische Person, Behörde, Einrichtung oder
andere Stelle, die allein oder gemeinsam mit anderen über
die Zwecke und Mittel der Verarbeitung von
personenbezogenen Daten entscheidet.

5 Becker T (2016) Art. 82 DS-GVO, Rn. 5 in Plath (Hrsg.) BDSG/DSGVO Kommentar zum BDSG und zur DSGVO
sowie den Datenschutzbestimmungen des TMG und TKG. Otto Schmidt Verlag. ISBN 978-3-504-56074-4

Seite 17 von 23

DS-GVO

Inhalt der Regelung

Gemeinsame

Art. 26 Abs. 3

Legen zwei oder mehr Verantwortliche gemeinsam die

Verantwortliche

Zwecke der und die Mittel zur Verarbeitung fest, so agieren
sie als „gemeinsam für die Verarbeitung Verantwortliche“. Ein

Betroffener kann seine aus der DS-GVO resultierenden Rechte
gegenüber jedem Einzelnen der Verantwortlichen geltend
machen.

Hinweis: Auch gemeinsam für die Verarbeitung

Verantwortliche können einen oder mehrere

Auftragsverarbeiter einsetzen.

Definition

Art. 28 Abs. 1

Der Begriff der „Verarbeitung“ aus der DS-GVO beschränkt im

Verarbeitung

S. 1, 1. HS

Gegensatz zum BDSG eine Auftragsverarbeitung nicht auf
eine rein technische Unterstützung.

Verantwortung

Art. 28 Abs. 1

Die Regelung ähnelt den Vorgaben des § 11 BDSG, jedoch ist

S. 1, 2. HS
neben dem Verantwortlichen der Auftragsverarbeiter
gleichrangiger Normadressat.

Hinweis: Die Verpflichtung zur Einhaltung der Regelungen der

DS-GVO ist nun Aufgabe von beiden: Auftragsverarbeiter
sowie Verantwortlicher. Beiden kann bei Nicht-Einhaltung der

Regelungen ein Bußgeld drohen. Gegen beide kann ein

Betroffener ggf. haftungsrechtliche Ansprüche geltend
machen.

Datenschutz-

Art. 37 Abs. 1,

Der Verantwortliche oder Auftragsverarbeiter muss einen
beauftragter

Art. 37 Abs. 4

Datenschutzbeauftragten bestel en, wenn dies durch die DS-

GVO oder nach einem anderen Recht der Union oder der

Mitgliedstaaten vorgeschrieben ist.

Haftung

Art. 83 Abs. 3

Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter
bei gleichen oder miteinander verbundenen

Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen
mehrere Bestimmungen dieser Verordnung, so übersteigt der

Gesamtbetrag der Geldbuße nicht den Betrag für den
schwerwiegendsten Verstoß.

Seite 18 von 23

4.2 Neue Regelungen

DS-GVO

Inhalt der Regelung

Datenschutz-

Art. 38 Abs. 1

Der Verantwortliche oder der Auftragsverarbeiter muss
beauftragter
gewährleisten, dass der Datenschutzbeauftragte ordnungsgemäß
und frühzeitig in al e mit dem Schutz personenbezogener Daten
zusammenhängenden Fragen eingebunden ist.

Datenschutz-

Art. 38 Abs. 2

Der Verantwortliche oder der Auftragsverarbeiter stellt dem
beauftragter

Datenschutzbeauftragten alle für die Erfüllung seiner Aufgaben
erforderlichen Ressourcen sowie den Zugang zu
personenbezogenen Daten und Verarbeitungsvorgängen als auch
die zur Erhaltung seines Fachwissens erforderlichen Ressourcen
zur Verfügung.

Zusammenarbeit Art. 60 Abs. 10 Nach der Unterrichtung durch eine federführende
mit Aufsichts-

Aufsichtsbehörde müssen der Verantwortliche und der
behörde

Auftragsverarbeiter die erforderlichen Maßnahmen ergreifen, um
der Entscheidung der Aufsichtsbehörde zu genügen. Diese
getroffenen Maßnahmen müssen der Verantwortliche und der

Auftragsverarbeiter der federführenden Aufsichtsbehörde
mitteilen.

5 Weggefallene Regelungen

Aus dem BDSG bekannte, in der DS-GVO jedoch nicht mehr vorkommende Regelungen:

BDSG

Inhalt der Regelung

Unterscheidung

§ 11 Abs. 2

„Er [Der Auftrag] kann bei öffentlichen Stel en auch durch die
öffentlich / nicht- S. 3

Fachaufsichtsbehörde erteilt werden“
öffentlich

Hinweis: Die DS-GVO unterscheidet nicht zwischen öffentlichen
und nicht-öffentlichen Stellen. Dementsprechend enthält die DS-

GVO auch keine Regelung, wer in einer öffentlichen Stelle eine

Auftragsverarbeitung genehmigen darf.

Kontrol en

§ 11 Abs. 2

„Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und

S. 4, 5
sodann regelmäßig von der Einhaltung der beim Auftragnehmer
getroffenen technischen und organisatorischen Maßnahmen zu
überzeugen. Das Ergebnis ist zu dokumentieren.“

Die DS-GVO fordert eine entsprechend sorgfältige Auswahl des

Auftragsverarbeiters. Sie beinhaltet aber keine explizite

Notwendigkeit des „Überzeugenmüssens“ von den
ordnungsgemäßen technischen und organisatorischen

Seite 19 von 23

BDSG

Inhalt der Regelung

Maßnahmen vor und während der Verarbeitung. Indirekt kann
jedoch aus den Regelungen der DS-GVO eine entsprechende

Prüfverpflichtung aus Art. 32 Abs. 1 lit. d abgeleitet werden.

Einschränkung

§ 11 Abs. 4

„Für den Auftragnehmer gelten neben den §§ [. .]“
des

Geltungsumfangs

Die DS-GVO enthält explizite Regelungen für den
des BDSG

Auftragsverarbeiter, daneben implizit geltende Regelungen, die
für jeden Verarbeiter von Daten gelten. Die in § 11 Abs. 4 BDSG
bzw.

enthaltenen Regelungen bzgl. Datengeheimnis, TOMs,

Bußgeldern und Benennung eines Datenschutzbeauftragten

Unterscheidung
finden sich in der DS-GVO verteilt auf verschiedene Artikel, ohne
öffentlich / nicht-
jedoch für öffentliche und nicht-öffentliche Stellen
öffentlich
unterschiedliche Regelungen aufzuführen; für beide sol
grundsätzlich gleiches Recht gelten.

Wartung als ADV § 11 Abs. 5

„Die Absätze 1 bis 4 gelten entsprechend, wenn die Prüfung oder

Wartung automatisierter Verfahren oder von

Datenverarbeitungsanlagen durch andere Stellen im Auftrag
vorgenommen wird und dabei ein Zugriff auf personenbezogene

Daten nicht ausgeschlossen werden kann.“

Entfällt, siehe Kapitel 6.2

6 Spezielle Fragestellungen

6.1 Privilegierung der Auftragsverarbeitung

Die Auftragsverarbeitung wird in Deutschland als „privilegierter“ Tatbestand betrachtet, da die Weitergabe von Daten von dem Verantwortlichen an den Auftragsverarbeiter keiner weiteren gesetzlichen Rechtfertigung bedarf. Dies wird aus der Tatsache gefolgert, dass diese Weitergabe keine Übermittlung im Sinne von § 3 Abs. 4 Ziff. 3 BDSG darstellt, da der Auftragsverarbeiter entsprechend § 3 Abs. 8 S. 3 BDSG kein Dritter im Sinne des Gesetzes ist.

Vereinzelt wird argumentiert, dass diese Privilegierung mit Wirksamwerden der DS-GVO entfällt6.

Diese Auffassung überzeugt nicht und entspricht auch nicht der herrschenden Meinung7,8,9, 10,11. Die 6 Laue P, Nink J, Kremer S. (2016) Das neue Datenschutzrecht in der betrieblichen Praxis. § 5 Rn. 4. Nomos Verlagsgesel schaft. 1. Auflage. ISBN 978-3-8487-2377-5

7 Schmitz B, Dal ’Armi J. (2013) Auftragsdatenverarbeitung in der DS-GVO – das Ende der Privilegierung? ZD: 427-432

8 Plath KU (2016) Art. 28 DS-GVO, Rn. 3 in Plath (Hrsg.) BDSG/DSGVO Kommentar zum BDSG und zur DSGVO
sowie den Datenschutzbestimmungen des TMG und TKG. Otto Schmidt Verlag. ISBN 978-3-504-56074-4

9 Albrecht JP, Jotzo F. (2016) Das neue Datenschutzrecht der EU. Teil 5 „Verantwortlichkeiten und Pflichten“, Rn. 22. Nomos Verlag. ISBN 978-3-8487-2804-6

10 Martini M. (2016) Art. 28 DS-GVO, Rn. 18 in Paal/Paul (Hrsg.) Datenschutz-Grundverordnung. C.H.Beck Verlag. ISBN 978-3-406-69570-4

Seite 20 von 23

Komplexität dieser Fragestellung zeigt Hofmann auf, der in seiner Darstellung des Gegenstands zunächst die Argumente für ein Ende der Privilegierung darstellt12, letztlich aber herleitet, warum für eine Auftragsverarbeitung keine eigene Ermächtigung erforderlich ist13.

Die Begriffsbestimmungen hinsichtlich der Begrifflichkeiten „Verantwortlicher“,

„Auftragsverarbeiter“, „Empfänger“ und „Dritter“ sind in der Richtlinie 95/46/EG und der DS-GVO
nahezu identisch, daher ist es nach Meinung der Autoren nachvol ziehbar, dass der Wechsel vom BDSG, welches ja die Richtlinie 95/46/EG umsetzte, zur DS-GVO keine Änderung bzgl. der Interpretation dieser Begrifflichkeiten und der damit verbundenen Privilegierung einer Auftragsverarbeitung beinhaltet. Entsprechend gelten die zur Richtlinie 95/46/EG getroffenen Aussagen der Artikel-29-Datenschutzgruppe auch unter der DS-GVO14: Zivilrechtlich ist ein Auftragsverarbeiter kein Dritter und ist - da er nicht zur Partei der Betroffenen zählen kann - somit dem Verantwortlichen zuzurechnen, der ihn auch beauftragt hat. Eine Verarbeitung von Daten eines Betroffenen durch einen Auftragsverarbeiter ist somit - zwar nicht arbeitsrechtlich, wohl aber datenschutzrechtlich - dergestalt zu werten, wie wenn die Verarbeitung statt durch den Auftragsverarbeiter durch einen Mitarbeiter des Verantwortlichen durchgeführt wird. Somit benötigt auch unter den Regelungen der DS-GVO eine Auftragsverarbeitung keinen eigenen

Erlaubnistatbestand.

6.2 Wartung / Fernwartung

Im Gegensatz zu § 11 Abs. 5 BDSG ordnet die DS-GVO „die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen“ nicht automatisch einer Auftragsverarbeitung zu. Gleichwohl bleiben die in der Vergangenheit mehrfach dargestellten15

Argumente, aufgrund derer die Prüfung/Wartung, unabhängig davon, ob dies vor Ort oder aus der Ferne (sog. „Fernwartung“) geschieht, einer Auftragsverarbeitung zugeordnet werden muss, bestehen. Dies ist insbesondere der Fal , wenn etwa bei Korrekturen aufgrund von Fehlermeldungen oder im Rahmen von Servicearbeiten ein Zugriff auf personenbezogene Daten nicht sicher ausgeschlossen werden kann, auch wenn dies zufäl ig und absichtslos passiert. Beispielsweise kann dies bei folgenden Tätigkeiten eintreten: eine Korrektur (Patch), eine Aktualisierung (Update) oder mitunter auch die Änderung auf eine höhere Version (Upgrade) eines Produktes oder die Reparatur von IT-Anlagen bzw. Geräten durch einen Dienstleister, ohne dass dabei der Dienstleister über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden darf. D. h. der Dienstleister ist kein Verantwortlicher im Sinne der DS-GVO. Dem Wartungsunternehmen werden die personenbezogenen Daten nicht zur eigenen Verarbeitung überlassen, desgleichen erhält das Wartungsunternehmen die Daten nicht zur auftragsgemäßen Verarbeitung im eigentlichen Sinne.

11 Bayerisches Landesamt für Datenschutzaufsicht (2016) Auftragsverarbeitung nach der DS-GVO. Online, zitiert am 2016-11-04; Verfügbar unter https://www.lda.bayern.de/media/baylda_ds-gvo_10_processor.pdf 12 Hofmann J. (2016) §3 Allgemeine Regeln der Datenschutz-Grundverordnung, Rn. 251 in Roßnagel (Hrsg.) Europäische Datenschutz-Grundverordnung. Nomos Verlagsgesel schaft. ISBN 978-3-8487-3074-2

13 Hofmann J. (2016) §3 Allgemeine Regeln der Datenschutz-Grundverordnung, Rn. 258 in Roßnagel (Hrsg.) Europäische Datenschutz-Grundverordnung. Nomos Verlagsgesel schaft. ISBN 978-3-8487-3074-2

14 Artikel-29-Datenschutzgruppe. (2010) Stel ungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ S. 37f. Online, zitiert am 2016-10-15; Verfügbar unter http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2010/wp169_de.pdf

15 siehe z. B. Büermann U. (1994) Datenschutzrechtliche Einordnung von Wartung und Fernwartung. RDV 202ff oder Müller, Wehrmann R. (1993) Fernwartung und Datenschutz. NJW-CoR 20ff

Seite 21 von 23

Gleichwohl bleibt der aus der DS-GVO resultierende Schutzbedarf natürlich unverändert bestehen, sodass der Verantwortliche zwangsläufig für jegliche Wartung, in deren Rahmen ein Zugriff auf personenbezogene Daten nicht sicher ausgeschlossen werden kann, einen

Auftragsverarbeitungsvertrag entsprechend Art. 28 Abs. 3 DS-GVO mit dem die Wartung durchführenden externen Dienstleister abschließen muss.

Dies gilt nicht nur für die Wartung von Software, sondern auch von Geräten, die personenbezogene Daten speichern. Grundsätzlich muss der Verantwortliche vor der Weitergabe von Geräten, wie medizintechnischen Geräten oder Computern, die darauf gespeicherten Daten löschen. Ggfs. ist aber gerade dies durch einen Defekt des Gerätes nicht möglich, sodass zur Reparatur dieses Gerätes dieses inklusive der darin gespeicherten personenbezogenen Daten an das Wartungsunternehmen übergeben werden muss.

6.3 Auftragsverarbeitung in einem Drittland

Bei der Umsetzung der RL 95/46/EG beschränkte der deutsche Gesetzgeber die Tätigkeit eines Auftragsdatenverarbeiters auf den Geltungsbereich des Europäischen Wirtschaftsraums (§ 3 Abs. 8

S. 3 BDSG). Die RL 95/46/EG kennt diese Beschränkung in den Begriffsbestimmungen nicht, entsprechend fehlt diese territoriale Beschränkung jetzt auch in der DS-GVO.

Aus den expliziten Regelungen für die „Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen“ (Kapitel V) ergibt sich, dass die DS-GVO prinzipiel auch eine Übermittlung von Daten in ein Drittland vorsieht. Art. 27 DS-GVO richtet sich dementsprechend explizit an „Vertreter von nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeitern“. Ein Auftragsverarbeiter kann somit entsprechend den Regelungen der Auftragsverarbeitung sowohl innerhalb der EU als auch in einem Drittland eingesetzt werden. Dies entspricht auch der Intention von Art. 3 Abs. 1 und 2 DS-GVO.

Grundsätzlich kann ein Auftragsverarbeiter in Drittländern nur unter den gleichen Voraussetzungen eingesetzt werden, wie Auftragsverarbeiter innerhalb der EU. Zu beachten sind hierbei insbesondere die zusätzlichen Anforderungen, die einerseits für Auftragsverarbeiter außerhalb der EU gelten (z. B.

Art. 28 Abs. 3 S. 3 lit. a DS-GVO) als auch die Anforderungen hinsichtlich der Sicherstel ung des Datenschutzniveaus beim Empfänger gemäß Kapitel V DS-GVO.

7 Überprüfung vorhandener ADV-Verträge

Viele Anforderungen der DS-GVO hinsichtlich der vertraglich zu regelnden Pflichten, die nicht explizit in §11 BDSG vorhanden waren, sind in den gängigen Vertragsmustern16 bereits enthalten, sodass sich

– folgte man den Empfehlungen der jeweiligen Verfasser – der Anpassungsbedarf vermutlich in Grenzen hält.

16 Z. B.

− Bitkom: Aktualisierte Mustervertragsanlage zur Auftragsdatenverarbeitung. Online, zitiert am 2016-09-28; Verfügbar unter https://www.bitkom.org/Bitkom/Publikationen/Aktualisierte-Mustervertragsanlage-zur-

Auftragsdatenverarbeitung.html),

− GDD-Muster zur ADV gem. § 11 BDSG. Online, zitiert am 2016-09-28; Verfügbar unter
https://www.gdd.de/downloads/materialien/muster/Mustervereinbarung%20a7%2011%20BDSG_final1.d
oc/view),

− ADV-Mustervertrag für das Gesundheitswesen. Online, zitiert am 2016-09-28; Verfügbar unter https://www.gesundheitsdatenschutz.org/doku.php/adv-mustervertrag-2015)

Seite 22 von 23

Zunächst müssen bestehende AV-Regelungen hinsichtlich der Einhaltung der Formvorschrift geprüft werden. In Deutschland hat sich hinsichtlich der ADV überwiegend eine Vertragsgestaltung, wenngleich gesetzlich nicht gefordert, durchgesetzt, sodass in den meisten Fällen ein schriftlicher Vertrag vorhanden sein dürfte.

Weiterhin müssen bestehende ADV-Verträge bzgl. der Pflichten des Auftragsverarbeiters auf ihre Verordnungskonformität geprüft werden, insbesondere hinsichtlich

− der Umsetzung der sicherheitstechnischen Anforderungen der DS-GVO

− der Umsetzung der organisatorischen Anforderungen der DS-GVO

− vorhandener Regelungen zur Vertraulichkeit oder gesetzlichen Verschwiegenheit

− der Bestimmungen bzgl. Unterauftragsverhältnissen

− den Informationspflichten
o Hinweispflicht seitens des Auftragsverarbeiters bei rechtswidrigen Weisungen durch den Auftraggeber/Verantwortlichen
o Hinweispflicht des Auftragsverarbeiters bzgl. Übermittlung in ein Drittland

− den Dokumentationspflichten des Auftragsverarbeiters
o Dokumentation bzgl. des Verzeichnisses von Verarbeitungstätigkeiten
o Dokumentationspflicht hinsichtlich der Weisungen

− den Unterstützungspflichten des Auftragsverarbeiters
o Dokumentation bzgl. des Verzeichnisses von Verarbeitungstätigkeiten durch den

Auftraggeber/Verantwortlichen
o Bei der Zusammenarbeit mit den Aufsichtsbehörden
o Bei der Meldung von Datenpannen
o Bei der Datenschutz-Folgenabschätzung
o Bei Prüfungen durch den Verantwortlichen oder dessen Beauftragten

− des Umgangs mit der Datenverarbeitung in einem Drittland, insbesondere der
diesbezüglichen Weisungsabhängigkeit des Auftragsverarbeiters

− der Pflicht zur Rückgabe bzw. Löschung ggfs. vom Auftraggeber erhaltener
personenbezogener Daten.

Ferner müssen die Verträge bzgl. der Pflichten des Auftraggebers insbesondere hinsichtlich

− den dokumentierten Weisungsrechten des Verantwortlichen

− der Darlegung der grundsätzlichen Informationen, was in der Auftragsverarbeitung geschehen sol , d. h.

o Art und Zweck der Verarbeitung
o Art der personenbezogenen Daten und Kategorien von betroffenen Personen
o Beschreibung des Auftrags bzw. der Verarbeitung der personenbezogenen Daten
durch den Auftragsverarbeiter
überprüft werden.

Seite 23 von 23

Document Outline

- Haftungsausschluss
- Copyright
- Inhaltsverzeichnis
- Zusammenfassung
- 1 Allgemeines
- 2 Pflichten für den Auftragsverarbeiter

- 3 Vertragsrelevante Regelungen

- 3.1 Formvorgaben

- 3.2 Beibehaltene vertragsrelevante Regelungen

- 3.3 Geänderte vertragliche Regelungen

- 3.4 Neue vertragliche Regelungen

- 4 Vertragsunabhängige Regelungen

- 4.1 Geänderte Regelungen

- 4.2 Neue Regelungen

- 5 Weggefallene Regelungen

- 6 Spezielle Fragestellungen

- 6.1 Privilegierung der Auftragsverarbeitung
- 6.2 Wartung / Fernwartung
- 6.3 Auftragsverarbeitung in einem Drittland

- 7 Überprüfung vorhandener ADV-Verträge

Table of Contents

- Haftungsausschluss
- Copyright
- Inhaltsverzeichnis
- Zusammenfassung
- 1 Allgemeines
- 2 Pflichten für den Auftragsverarbeiter

- 3 Vertragsrelevante Regelungen

- 3.1 Formvorgaben

- 3.2 Beibehaltene vertragsrelevante Regelungen

- 3.3 Geänderte vertragliche Regelungen

- 3.4 Neue vertragliche Regelungen

- 3.1 Formvorgaben

- 3.2 Beibehaltene vertragsrelevante Regelungen

- 3.3 Geänderte vertragliche Regelungen

- 3.4 Neue vertragliche Regelungen

- 4 Vertragsunabhängige Regelungen

- 4.1 Geänderte Regelungen

- 4.2 Neue Regelungen

- 4.1 Geänderte Regelungen
- 4.2 Neue Regelungen
- 5 Weggefallene Regelungen

- 6 Spezielle Fragestellungen

- 6.1 Privilegierung der Auftragsverarbeitung
- 6.2 Wartung / Fernwartung
- 6.3 Auftragsverarbeitung in einem Drittland

- 6.1 Privilegierung der Auftragsverarbeitung
- 6.2 Wartung / Fernwartung
- 6.3 Auftragsverarbeitung in einem Drittland
- 7 Überprüfung vorhandener ADV-Verträge