ZAP 21/2018, Praxisfalle Datenschutz: Erste Erfahrungen ... / c) Priorität 3: Maßnahmen mit eingeschränkter Außenwirkung

Nächster Schritt auf der DSGVO-To-Do-Liste sind solche Maßnahmen, die "ein bisschen" Außenwirkung haben, z.B. Verträge mit Dienstleistern oder Einwilligungserklärungen. Bei den letztgenannten Inhalten muss zum einen sichergestellt werden, dass bestehende Einwilligungen den veränderten Vorgaben der DSGVO entsprechen und eventuell neu eingeholt werden (die Frage, ob ggf. eine "Re-Opt-In-Kampagne" notwendig und sinnvoll ist, lässt sich aufgrund widerstreitender Auffassungen derzeit noch nicht abschließend beantworten). Zum anderen müssen eventuell verwendete, vorformulierte Einwilligungstexte unter Umständen angepasst werden, damit z.B. die Einwilligungen für den Erhalt des Kanzlei-Newsletters auch in Zukunft rechtskonform sind.

Hinsichtlich der Dienstleister ist dies etwas aufwändiger. Werden Dritte mit Tätigkeiten beauftragt, bei denen zumindest auch personenbezogene Daten der Kanzlei verarbeitet werden, muss – neben dem eigentlichen Dienst- oder Werkvertrag – auch noch ein sog. Auftragsverarbeitungsvertrag (AV-Vertrag) geschlossen werden.

Hinweis:

Bei solchen Auftragsverarbeitungsverhältnissen ist es derzeit noch so, dass noch nicht geklärt ist, welche Tätigkeit von beauftragten Dienstleistern nun Auftragsverarbeitungen im Sinne der DSGVO sind und welche anders zu qualifizieren sind.

Typische Auftragsverarbeiter sind etwa: Werbeagenturen, Newsletter-Versender, Hosting-Anbieter (z.B. Website), IT-Dienstleister oder auch Anbieter von Online-Analyse-Tools (z.B. Google Analytics). Bei Steuerberatern besteht zzt. noch Uneinigkeit darüber, ob sie ebenfalls unter diese Kategorie "Auftragsverarbeiter" fallen. Die einen sagen ja, die anderen nein und wieder andere differenzieren nach vereinbarter Tätigkeit.

Bei der Beurteilung dürfte letztlich darauf abzustellen sein, wie die Hauptaufgabe des Dienstleisters genau ausgestaltet ist, ob sie also gerade in der Verarbeitung bestimmter (personenbezogener) Daten besteht oder ob dies nur "nebenbei" geschieht. Die Formulierung einer Faustregel ist hier fast unmöglich, da sich nicht sagen lässt, ob in Zweifelsfällen lieber ein AV-Vertrag geschlossen werden soll oder gerade nicht. Viele Dienstleister – insbesondere größere Unternehmen – stellen mittlerweile von sich aus einen AV-Vertrag für ihre Kunden bereit, den man nur noch unterschreiben muss oder ihn sogar mit wenigen Mausklicks online bestätigen kann.

Hinweis:

Wichtig ist, dass man sich in der Kanzlei über diese Thematik überhaupt Gedanken macht und in einem ersten Schritt eine Liste mit den Dienstleistern bzw. Vertragspartnern erstellt, mit denen man zusammenarbeitet; in einem zweiten Schritt sollte dann abgeklärt werden, in welchen Fällen ein AV-Vertrag sinnvoll ist. Dies ist idealerweise zu begründen und zu dokumentieren.