Auftragsverarbeiter - Vertrag

Personenbezogene Daten dürfen nicht einfach so verarbeitet werden. Unternehmen und Organisationen, die personenbezogene Daten verarbeiten möchten, müssen die DSGVO einhalten. Die DSGVO regelt, dass der für die Verarbeitung Verantwortliche für die Verarbeitung personenbezogener Daten stets verpflichtet bleibt.

Nach Angaben der DSGVO spielt es daher keine Rolle, ob der für die Verarbeitung Verantwortliche die personenbezogenen Daten selbst verarbeitet oder an eine andere Partei – einen Verarbeiter – auslagert. Diese endgültige Verantwortung berührt jedoch nicht die Tatsache, dass der Verarbeiter auch Verantwortlichkeiten gemäß der DSGVO hat. Die Parteien müssen die Verarbeitung der Verantwortung für die sorgfältige Verarbeitung personenbezogener Daten in einem Verarbeitervertrag vereinbaren. Wenn die Parteien dies nicht tun, verstoßen beide gegen die DSGVO.

Die DSGVO verlangt, dass die Verarbeitungsvereinbarung die Vereinbarungen zur sorgfältigen Verarbeitung personenbezogener Daten schriftlich festhält.

Die Verarbeitungsvereinbarung muss in jedem Fall folgende Themen behandeln:

• Allgemeine Beschreibung der Verarbeitung (Betreff, Dauer, Art, Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien der betroffenen Personen, Rechte und Pflichten der für die Verarbeitung Verantwortlichen);
• Grundsätzlich darf die Bearbeitung nur auf schriftliche Anweisung des Verantwortlichen erfolgen;
• Der Verarbeiter darf die personenbezogenen Daten nicht für eigene Zwecke verwenden;
• An der Verarbeitung beteiligte Parteien wie Angestellte müssen die Geheimhaltung einhalten;
• Die personenbezogenen Daten müssen (technisch und organisatorisch) angemessen geschützt sein, z. B. durch Pseudonymisierung und Verschlüsselung personenbezogener Daten, Informationssicherheit, Wiederherstellung der Verfügbarkeit, Zugriff auf Daten bei Vorfällen und regelmäßige Sicherheitstests.
• Subprozessoren dürfen nicht einfach so beauftragt werden, dies bedarf grundsätzlich der vorherigen schriftlichen Zustimmung des Controllers;
• Der Subprozessor muss gegenüber dem Controller den gleichen Verpflichtungen unterliegen wie der Prozessor;
• Der Verarbeiter haftet weiterhin für Pflichtverletzungen der Subverarbeiter;
• Der Verarbeiter muss bei der Einhaltung der Datenschutzrechte der betroffenen Personen zusammenarbeiten, wie z.B.
  • das Recht auf Zugang,
  • das Recht auf Berichtigung,
  • das Recht vergessen zu werden,
  • und das Recht auf Datenübertragbarkeit

• Die Verarbeitung muss bei der Erfüllung anderer Verpflichtungen ebenfalls Datenschutzrechte einhalten, wie z.B.
  • Meldung von Datenverletzungen,
  • Durchführung einer Datenschutz-Folgenabschätzung (DPIA),
  • Audits,
  • jede vorherige Konsultation der niederländischen Datenschutzbehörde

Die Verarbeitervereinbarung darf keine Vereinbarungen enthalten, die der DSGVO widersprechen. In diesem Fall hat die DSGVO Vorrang vor dem, was in der Verarbeitungsvereinbarung vereinbart wurde.