In der Datenschutz-Grundverordnung (DSGVO)
wird auch die Auftragsverarbeitung geregelt.

Eine Auftragsverarbeitung liegt z. B. vor, wenn ein Webseitenbetreiber (= Verantwortlicher im Sinne der DSGVO) einen Webanalysedienst wie Google Analytics (= Auftragsverarbeiter im Sinne der DSGVO) in seine Webseite einbaut. Aber auch die Auslagerung von IT-Dienstleistungen wie z. B. für Lohnabrechnung oder Finanzbuchhaltung fallen in dieses Regelungsgebiet.

Wenn der Verantwortliche einen Auftragsverarbeiter einschaltet, um Daten zu verarbeiten, muss er eine sorgfältige Auswahl treffen. Die Dienstleister/Auftragsverarbeiter müssen Garantien bieten, dass geeignete technische und organisatorische Maßnahmen DSGVO konform durchgeführt werden und der Schutz der Rechte der betroffenen Person gewährleistet ist. Die Garantien müssen ''hinreichend'' sein, d. h.

• genehmigte Verhaltensregeln gemäß Art. 40 DSGVO
• genehmigte Zertifizierungsverfahren gemäß Art. 42 DSGVO

müssen eingehalten werden.

In Art. 28 DSGVO sind auch die Grundlagen der Zusammenarbeit geregelt, nämlich

• ein Vertrag
• ein anderes Rechtsinstrument nach dem Unionsrecht oder dem Recht der Mitgliedstaaten

Der Auftragsverarbeiter darf einen weiteren Auftragsverarbeiter (= Subunternehmer) nur in Anspruch nehmen im Falle einer:

• vorherigen gesonderten Genehmigung oder
• allgemeinen schriftlichen Genehmigung

Besonderheiten im Falle einer allgemeinen Genehmigung: Hier muss der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter informieren.

Grund: dadurch erhält der Verantwortliche die Möglichkeit, gegen eine solche Änderung Einspruch zu erheben.

Im Vertrag oder der Rechtsgrundlage muss weiterhin geregelt sein, dass der Subunternehmer den gleichen Pflichten unterliegt wie der Haupt-Auftragsverarbeiter.

Die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer müssen auch gegenüber Subunternehmen gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers deutlich voneinander abgegrenzt werden. Der Auftraggeber muss berechtigt sein, vor Ort angemessene Überprüfungen und Inspektionen durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen.

Schriftform: Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann.

  Nutzen Sie unseren Assistenten - Auftragsdatenverarbeitung

  Mit der Vereinbarung zur Auftragsdatenverarbeitung kann die
  Verwendung personenbezogener Daten durch Dritte geregelt werden.
  Vorteil: Der Betroffene muss nicht eigens über die Weitergabe seiner
  Daten an den Auftragnehmer informiert werden.

Zu unserem Assistenten ››