Auftragsverarbeitung
Auftragsverarbeitung liegt vor, wenn ein Dienstleister im Auftrag eines Unternehmens personenbezogene Daten verarbeitet, etwa ein Hosting- oder E-Mail-Anbieter, und dafür ein Vertrag nach Art. 28 DSGVO erforderlich ist.
Kurz erklärt
Immer wenn ein externer Dienstleister personenbezogene Daten ausschließlich nach Weisung eines Unternehmens verarbeitet - etwa ein Hosting-Anbieter, ein E-Mail-Marketing-Tool oder ein Cloud-Speicher -, handelt es sich datenschutzrechtlich um Auftragsverarbeitung. Die DSGVO verlangt in diesem Fall einen schriftlichen Auftragsverarbeitungsvertrag (AVV), der unter anderem Zweck, Umfang und Sicherheitsmaßnahmen der Datenverarbeitung regelt.
Beispiel
Ein Unternehmen nutzt einen externen Hosting-Anbieter, um seine Website und die dort anfallenden Kontaktformulardaten zu speichern. Da der Hoster dabei personenbezogene Daten im Auftrag des Unternehmens verarbeitet, ist ein AVV zwischen beiden Parteien erforderlich.
Warum ist das relevant?
Fehlt ein erforderlicher Auftragsverarbeitungsvertrag, verstößt die Datenverarbeitung gegen die DSGVO - unabhängig davon, ob der Dienstleister selbst sorgfältig mit den Daten umgeht. Für Website-Betreiber ist es daher wichtig, mit allen eingesetzten Dienstleistern, die Zugriff auf personenbezogene Daten haben könnten, entsprechende Verträge abzuschließen.
Häufige Missverständnisse
Ein AVV macht die Datenverarbeitung nicht automatisch datenschutzkonform - er regelt die Verantwortlichkeiten zwischen den Parteien, ersetzt aber nicht andere Anforderungen wie eine gültige Rechtsgrundlage für die Verarbeitung selbst. Auch bei Dienstleistern außerhalb der EU sind zusätzlich zum AVV oft weitere Absicherungen nötig, etwa Standardvertragsklauseln, um ein angemessenes Datenschutzniveau sicherzustellen.