Was ist ein Auftragsverarbeiter?
Ab den 25. Mai 2018 heißt Auftragsdatenverarbeitung dann Auftragsverarbeitung.
Der Englische Begriff für Auftragsverarbeiter ist Processor.
Folgende Verarbeitungen fallen unter Auftragsverarbeitung:
- Cloudbasierte Lohnbuchhaltung
- Versendung von Newsletter und Emailing über einen externen Cloud-
Anbieter (Email-Services wie Klick-Tipp oder Mail-Chimp) - CRM´s, die über eine Cloud gehostet werden
- Externe Call-Center – ausgelagerter Support
- Hosting von Onlineshops und Webseiten
- Externer Sekretariatsdienst
- Agenturen, wenn sie personenbezogene Daten verarbeiten, z.B. ein Gewinnspiel
- Externe Lohnverrechnung
- Jegliche Verarbeitung personenbezogener Daten durch eine externe Stelle
Somit kann Support in Indien oder den Philippinen zum Problem werden, weil dort die Sicherheitsstandards nicht gewährleistet werden können. Bedenke: Du bist immer haftbar.
Wenn Du mit einem Auftragsverarbeiter zusammen arbeitest, musst Du einen Auftragsverarbeitungsvertrag abschließen. Der Vertrag ist zwingend vorgeschrieben. Der Auftragnehmer haftet in Zukunft ebenfalls. Das ist unabhängig davon, ob er weisungs- oder weisungsungebunden ist.
Bedenke im Zusammenhang mit dem Auftragsverarbeiter auch personenbezogene Daten in Papierform.
Im Vertrag mit dem Auftragsverarbeiter mußt Du folgende Dinge berücksichtigen:
- Zusammenarbeit mit der Datenschutzaufsicht
- Unterstützung des Auftraggebers
- Meldung von Datenpannen
- Durchführung von Folgeabschätzungen
Mache eine Liste aller Auftragsverarbeiter mit denen Du jetzt zusammenarbeitest und prüfe, ob sie im Sinne des Erwägungsgrundes 81 qualifizieren. Du kannst Dir viel zukünftige Arbeit und Ärger sparen, wenn Du das bei der Auswahl Deines Partners für die Auftragsverarbeitung anwendest.
Suche Dir verlässliche und am besten zertifizierte Auftragsverarbeiter aus. Checke dazu: Art.28/7 DSGVO und eben den genannten Erwägungsgrund 81.
Nochmals zur Wiederholung
Auch wenn es langweilig ist und ich mich wiederhole, diese Dinge musst Du über den Auftragsverarbeiter wissen.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Der Auftragsverarbeiter kann eine natürliche Person, juristische Person, Verein oder eine Behörde sein. Siehe dazu Art.4/8 DSGVO.
So jetzt kommt es aber: Du kannst dazu nicht jeden x-beliebigen Partner auswählen. Denn wenn der Auftragsverarbeiter nicht die Garantien für die „technischen und organisatorischen Maßnahmen (TOM)“ geben kann, die nötig sind, um die DSGVO richtig umzusetzen, hast du das Problem, weil Du dafür haftest.
Dem Partner für die Auftragsverarbeitung wird sehr große Aufmerksamkeit zu schenken sein. Ich kann mir aber auch vorstellen, dass es für die Reputation (Thema: Branding) einer Firma von entscheidender Bedeutung werden wird, mit wem sie zusammenarbeitet. Wenn Du einen schlampigen Email-Verwalter verwendest, der die personenbezogenen Daten unzureichend verarbeitet, kostet Dich das Einiges an Strafgeldern und zusätzlich zerstörst Du das Vertrauen Deiner Kunden in Dich.
Du wirst keine Probleme mit der Behörde zu erwarten haben, wenn Du mit einem renommierten und sich an die Richtlinien haltenden Auftragsverarbeiter zusammenarbeitest. Im Erwägungsgrund 81 steht Folgendes zum Nachlesen: „Die Einhaltung genehmigter Verhaltensregeln oder eines genehmigten Zertifizierungsverfahrens durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen.“ Wie Du siehst, lohnt sich das, weil schon alleine dadurch ein großer Teil Deiner Nachweis- und Dokumentationspflichten erfüllt sein werden.
Mach mit dem Auftragsverarbeiter einen guten Vertrag und stelle sicher, dass er was taugt. Unabhängig von der Verordnung wird Dir das auch in Deinem Geschäft helfen.
Im Art.28 DSGVO und im Erwägungsgrund 81 wird der Auftragsverarbeiter beschrieben. Da wird auch davon gesprochen, dass er die Qualifikationen und technischen Ressourcen haben muss. Ich kann mir vorstellen, dass der Geschäftszweig des Auftragsverwalters eine sehr umkämpfte und lukrative Nische werden wird.
Der Auftragsverarbeiter ist ein extrem wichtiges Thema. Schenke dem Aufmerksamkeit und Du hast bei der Umsetzung der DSGVO in Deinem Unternehmen einen großen und wichtigen Teil abgedeckt.
Der Auftragsverarbeiter hat im Wesentlichen die gleichen Verpflichtungen wie der Verantwortliche. Du kannst Dich nicht einfach darauf verlassen, dass Du Deine Angelegenheiten dem Auftragsverarbeiter übergibst, und damit Deiner Verpflichtungen enthoben bist, aber mit der nötigen Sorgfalt kannst Du extrem viel gewinnen.
Ist eine Frage offen geblieben?
War die Erklärung verständlich?
Ist das für Dich hilfreich?