Dokumentationspflichten (DSGVO) / 5.2.6 Einschaltung von Subunternehmern (Art. 28 Abs. 2 DSGVO)

Will der Auftragsverarbeiter Subunternehmer (also weitere Auftragsverarbeiter) für die Erbringung der vereinbarten Dienstleistung einsetzen, so bedarf dies der vorherigen schriftlichen Genehmigung durch den Verantwortlichen, sofern keine allgemeine Genehmigung vorliegt. Ist im Vertrag zwischen Auftraggeber und Auftragsverarbeiter eine allgemeine Genehmigung für den Einsatz von Subunternehmern enthalten, hat der Auftragnehmer den Auftraggeber vorher über jede geplante Hinzuziehung oder Ersetzung von Subunternehmern zu informieren. Der Auftraggeber kann die Hinzuziehung oder Ersetzung untersagen. Da das Gesetz die Folgen dieser Untersagung nicht regelt, empfiehlt es sich, vertragliche Regelungen für den Fall der Untersagung durch den Auftraggeber zu treffen, z. B. ein Sonderkündigungsrecht des Auftragnehmers.

Der Auftragsverarbeiter muss dem Subunternehmer die gleichen datenschutzrechtlichen Verpflichtungen auferlegen, die für ihn selbst bzw. den Auftraggeber gelten. Kommt der Subunternehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Subunternehmers.

Praxis-Beispiel

Musterformulierung bei Bestehen einer allgemeinen Genehmigung zum Einsatz von Subunternehmern

"Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter im Sinne des Art. 28 DSGVO in Anspruch zu nehmen. Erteilt der Auftragnehmer Aufträge an weitere Auftragsverarbeiter, hat er seine datenschutzrechtlichen Verpflichtungen aus diesem Vertrag auf den weiteren Auftragsverarbeiter zu übertragen. Der Auftragnehmer haftet dafür, dass der Subunternehmer den gesetzlichen Datenschutzpflichten nachkommt. Die zurzeit für den Auftragnehmer für die ihm übertragene Aufgabe tätigen Subunternehmer sind in der Anlage mit Namen, Anschrift und Auftragsinhalt bezeichnet. Mit deren Beauftragung erklärt sich der Auftraggeber einverstanden. Der Auftragnehmer informiert den Auftraggeber vorab, wenn er beabsichtigt, Subunternehmer hinzuzuziehen oder zu ersetzen. Der Auftraggeber kann gegen derartige Änderungen Einspruch erheben. Der Einspruch gegen die beabsichtigte Änderung ist innerhalb von ___ Wochen nach Zugang der Information über die Änderung gegenüber dem Auftragnehmer zu erheben. Im Fall des Einspruchs kann der Auftragnehmer nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder – sofern die Erbringung der Leistung ohne die beabsichtigte Änderung dem Auftragnehmer nicht zumutbar ist – die von der Änderung betroffene Leistung gegenüber dem Auftraggeber innerhalb von ___ Wochen nach Zugang des Einspruchs kündigen."

Praxis-Beispiel

Musterformulierung, wenn keine allgemeine Genehmigung zum Einsatz von Subunternehmern besteht

"Die zurzeit für den Auftragnehmer für die ihm übertragene Aufgabe tätigen Subunternehmer sind in der Anlage mit Namen, Anschrift und Auftragsinhalt bezeichnet. Die Hinzuziehung oder Ersetzung von Subunternehmern bedarf der schriftlichen Zustimmung des Auftraggebers. Die Zustimmung zur Hinzuziehung oder Ersetzung von Subunternehmern ist innerhalb von ___ Wochen nach Zugang der Information über die beabsichtigte Änderung gegenüber dem Auftragnehmer zu erteilen. Stimmt der Auftraggeber innerhalb dieser Frist nicht zu, kann der Auftragnehmer nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder – sofern die Erbringung der Leistung ohne die beabsichtigte Änderung dem Auftragnehmer nicht zumutbar ist – die von der Änderung betroffene Leistung gegenüber dem Auftraggeber innerhalb von ___ Wochen nach Information des Auftraggebers über die beabsichtigte Änderung kündigen."

Die Umsetzung dieser Regelung dürfte in den Fällen, in denen der Auftragsverarbeiter zahlreiche Subunternehmer beschäftigt, die häufig wechseln, nicht umsetzbar sein.