Rz. 69
Neben den in Art. 28 Abs. 3 S. 2 lit. a) bis h) DSGVO normierten Pflichten ergeben sich unter Geltung der DSGVO zahlreiche weitere Pflichten des Auftragsverarbeiters, die unter Geltung der Datenschutzrichtlinie und des aktuellen BDSG so noch nicht existierten.
I. Verpflichtung zu Vertreterbestellung, Art. 27 DSGVO
Rz. 70
Gem. Art. 27 Abs. 1 haben Auftragsverarbeiter mit Sitz außerhalb der Union die grundsätzliche Verpflichtung einen Vertreter im Sinne des Art. 4 Nr. 17 DSGVO zu bestellen, soweit sie personenbezogene Daten von betroffenen Personen, die sich innerhalb der Union befinden, zu dem Zweck verarbeiten, den Personen in der Union Waren oder Dienstleistungen anzubieten oder das Verhalten der Personen in der Union zu beobachten. Der Vertreter wird im Namen des Auftragsverarbeiters tätig und dient den Aufsichtsbehörden als Anlaufstelle. Er ist ausdrücklich zu bestellen und schriftlich zu beauftragen, in Bezug auf die dem Auftragsverarbeiter nach der DSGVO obliegenden Verpflichtungen an seiner Stelle zu handeln. Die Benennung eines Vertreters berührt die Verantwortung oder Haftung des Auftragsverarbeiters grundsätzlich nicht, der Vertreter haftet neben dem Auftragsverarbeiter nicht für Verstöße gegen die Verordnung.
II. Führung eines Verzeichnisses über Verarbeitungstätigkeiten, Art. 30 Abs. 2 DSGVO
Rz. 71
Der Auftragsverarbeiter ist nach Art. 30 Abs. 2 DSGVO zur Führung eines besonderen Verarbeitungsverzeichnisses zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung verpflichtet. Im Gegensatz zu den heutigen Regelungen des BDSG und der Datenschutzrichtlinie handelt es sich um eine vollkommen neue Verpflichtung.
Rz. 72
Das Verzeichnis über die durchgeführten Verarbeitungstätigkeiten ist schriftlich zu führen. Die kann in elektronischer Form erfolgen, was wiederum auch die Führung in Textform ausreichen lässt (Art. 30 Abs. 3 DSGVO). Das Verzeichnis ist – wie das Verarbeitungsverzeichnis des Verantwortlichen – nicht öffentlich und lediglich der zuständigen Aufsichtsbehörde auf deren Verlangen auszuhändigen (Art. 30 Abs. 5 DSGVO).
Rz. 73
Das Verzeichnis nach Art. 30 Abs. 2 DSGVO beinhaltet:
| ▪ |
den Namen und die Kontaktdaten des Auftragsverarbeiters oder der Auftragsverarbeiter und jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie gegebenenfalls des Vertreters des Verantwortlichen oder des Auftragsverarbeiters und eines etwaigen Datenschutzbeauftragten (Art. 30 Abs. 2 lit. a) DSGVO), |
| ▪ |
die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden (Art. 30 Abs. 2 lit. b) DSGVO), |
| ▪ |
gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 DSGVO genannten Datenübermittlungen die Dokumentierung geeigneter Garantien (Art. 30 Abs. 2 lit. c) DSGVO) und |
| ▪ |
wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Abs. 1 DSGVO (Art. 30 Abs. 2 lit. d) DSGVO). |
Rz. 74
Die Verpflichtung zur Angabe der Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden, beinhaltet eine Beschreibung der angebotenen Dienstleistungen des Auftragsverarbeiters, die – bezogen auf den jeweiligen Verantwortlichen – anzugeben sind. Dabei ist nicht jeder Verarbeitungsschritt kleinteilig zu beschreiben. Vielmehr reicht es aus, wenn Verarbeitungsschritte in größeren Gruppen (= Kategorien) zusammengefasst angegeben werden. Entscheidend ist, dass die Angaben eine Einschätzung des mit der Aufgabenwahrnehmung einhergehenden Risikogrades ermöglicht, sodass anzugeben sein wird, welche Kategorien von Daten von den Verarbeitungsprozessen erfasst werden und um welche Verarbeitungsprozesse (bspw. Cloud-Services, Postdienstleistungen, Call-Center Dienstleistungen In-Bound und/oder Out-Bound usw.) es sich handeln kann.
Rz. 75
Eine Übermittlung an Drittländer und/oder internationale Organisationen ist nur insoweit aufzuführen, als diese Übermittlung in den Verantwortungsbereich des Auftragsverarbeiters fällt, was der Fall sein kann, wenn sich ein vom Auftragsverarbeiter zulässigerweise eingesetzter Unterauftragnehmer in einem Drittland befindet und die Übermittlung "Bestandteil der vom Auftragsverarbeiter angebotenen Leistungskette" ist. Eine vom Verantwortlichen angewiesene Übermittlung in ein Drittland muss im Verarbeitungsverzeichnis des Auftragsverarbeiters nicht benannt werden.
Rz. 76
Hinsichtlich der Ausnahmen von der Verpflichtung zur Führung eines Verarbeitungsverzeichnisses nach Art. 30 Abs. 5 DSGVO ergeben sich keine Abweichungen zum Verarbeitungsverzeichnis des Verantwortlichen, so dass auf die dortigen Ausführungen verwiesen werden kann (siehe § 7 Rdn 61 ff.).