Auftragsverarbeitung: Grundlagen der Vertragsgestaltung ... / 1 Hinweise zur vertraglichen Regelung

Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, müssen die Beauftragten Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen (TOM) korrekt durchgeführt werden. Diese sind in Art. 32 DSGVO definiert. Die Verarbeitung muss im Einklang mit den Anforderungen der DSGVO erfolgen und den Schutz der Rechte der betroffenen Person gewährleisten.

Zu den technischen Maßnahmen gehören z. B.:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten
• Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme
• Wiederherstellung von Daten und Zugängen nach Zwischenfällen
• Regelmäßige Überprüfung und Evaluierung der Wirksamkeit der TOM

Zu den organisatorischen Maßnahmen gehören z. B.:

• Zugriffskontrollen und -beschränkungen
• Sensibilisierung und Schulung der Mitarbeiter
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
• Datenschutz-Folgenabschätzungen bei Hochrisikoverarbeitungen
• Benennung eines Datenschutzbeauftragten^[1]

Als "Verantwortlicher" gilt nach der Definition des Art. 4 DSGVO Nr. 8 die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Verantwortliche ergreifen in Abhängigkeit von Quantität (z. B. Umfang) und Qualität (schwerer der Risiken für betroffene Personen) der zu verarbeitenden Daten geeignete technische und organisatorische Maßnahmen. Diese müssen regelmäßig überprüft und aktualisiert werden.

Sind mehrere Personen für die Datenverarbeitung zuständig, gelten sie als "gemeinsam Verantwortliche". Durch Art. 26 DSGVO soll sichergestellt werden, dass Betroffene ihre Rechte bei allen an einer Datenverarbeitung beteiligten Stellen ausüben können.^[2]

Der Auftragsverarbeitende darf keine weiteren Auftragsverarbeitenden hinzuziehen, ohne vorherige schriftliche Genehmigung des Verantwortlichen. Falls eine allgemeine schriftliche Genehmigung vorliegt, muss der Auftragsverarbeitende den Verantwortlichen über geplante Änderungen informieren, damit diese Einspruch erheben kann.^[3] Die Verarbeitung personenbezogener Daten durch einen Auftragsverarbeitenden erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments, das den Auftragsverarbeitenden in Bezug auf den Verantwortlichen bindet. In diesem Vertrag oder Rechtsinstrument werden die Bedingungen, Pflichten und Rechte der Verantwortlichen festgelegt.^[4]

[1] Art. 28 Abs. 1 DSGVO

[2] Art. 24, 26 DSGVO.

[3] Art. 28 Abs. 2 DSGVO.

[4] Art. 28 Abs. 3 DSGVO.