Auftragsverarbeitung

Was ist Auftragsverarbeitung?

Der Verantwortliche entscheidet allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten; der Auftragsverarbeiter verarbeitet die Daten in seinem Auftrag. Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, arbeitet dieser nach Art. 28 Abs. 1 nur mit Auftragsverarbeitern, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Auftragsverarbeiter und jede ihm unterstellte Person mit Zugang zu personenbezogenen Daten dürfen diese Daten nur auf Weisung des Verantwortlichen verarbeiten, es sei denn, das Unionsrecht oder das Recht der Mitgliedstaaten verpflichtet sie zur Verarbeitung. Die Verarbeitung durch den Auftragsverarbeiter wird nach Auffassung der Datenschutzkonferenz grundsätzlich dem Verantwortlichen zugerechnet.

Lässt ein Versicherer personenbezogene Daten durch einen externen Dienstleister in seinem Auftrag verarbeiten, ist Grundlage der Auftragsverarbeitung ein Vertrag oder ein anderes Rechtsinstrument, das Pflichten und Rechte des Verantwortlichen festlegt. Dieser Vertrag oder dieses Rechtsinstrument ist nach Art. 28 Abs. 9 schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. Zum Inhalt gehören nach Art. 28 Abs. 3 unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen.

Wie läuft eine Auftragsverarbeitung ab?

Der Auftragsverarbeiter handelt nach Art. 28 Abs. 3 auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. Der Vertrag sieht nach Art. 28 Abs. 3 unter anderem vor, dass der Auftragsverarbeiter alle nach Art. 32 erforderlichen Maßnahmen ergreift und dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 niedergelegten Pflichten zur Verfügung stellt; Überprüfungen einschließlich Inspektionen, die der Verantwortliche oder ein von ihm beauftragter Prüfer durchführt, ermöglicht er und trägt dazu bei.

Einen weiteren Auftragsverarbeiter nimmt er nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen in Anspruch. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er diese unverzüglich dem Verantwortlichen; die Meldung an die Aufsichtsbehörde obliegt nach Art. 33 Abs. 1 dem Verantwortlichen. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.

Woran erkenne ich eine Auftragsverarbeitung?

Welche Pflichten gelten bei der Auftragsverarbeitung?

Vorbeugen

• Der Verantwortliche arbeitet nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit der Verordnung erfolgt (Art. 28 Abs. 1).
• Die Verarbeitung durch den Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments, das schriftlich abzufassen ist, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 3 und 9).
• Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch.
• Die Einhaltung genehmigter Verhaltensregeln nach Art. 40 oder eines genehmigten Zertifizierungsverfahrens nach Art. 42 kann als Faktor herangezogen werden, um hinreichende Garantien nachzuweisen.