Auftragsverarbeitungsverträge: Wann sind sie notwendig und was sind die Vor– und Nachteile?
In der heutigen Datenschutzpraxis gehört die Prüfung und das Management von Auftragsverarbeitungsverträgen (AVV) zum Alltag. Unternehmen stehen regelmäßig vor der Frage, ob ein AVV für bestimmte Dienstleistungsbeziehungen erforderlich ist. Diese Entscheidung erfordert oft eine genaue rechtliche Betrachtung, da die Grenzen zwischen Auftragsverarbeitung und eigenverantwortlicher Datenverarbeitung nicht immer eindeutig sind.
Wann ist ein AVV erforderlich?
Ein AVV ist immer dann notwendig, wenn ein Unternehmen einen Dienstleister beauftragt, personenbezogene Daten im Auftrag zu verarbeiten, wobei das Unternehmen die Zwecke und Mittel der Verarbeitung bestimmt. Typische Beispiele sind IT-Dienstleistungen, bei denen Daten gespeichert oder bearbeitet werden, wie etwa Cloud-Services oder E-Mail-Marketing. Werden konkrete Weisungen an den Dienstleister erteilt, die festlegen, wie und zu welchem Zweck die Daten verarbeitet werden sollen, ist der Abschluss eines AVV unerlässlich.
Wann ist ein AVV nicht erforderlich?
Kein AVV ist notwendig, wenn der Dienstleister eigenverantwortlich handelt und keine konkreten Weisungen des Auftraggebers erhält. Beispiele hierfür sind externe Rechtsberatungen oder Steuerberatungsdienste, bei denen der Dienstleister seine Fachleistungen eigenständig und ohne detaillierte Anweisungen erbringt.
Die Herausforderung der Abgrenzung
In der Praxis zeigt sich oft, dass die Abgrenzung zwischen eigener Verantwortlichkeit und Auftragsverarbeitung fließend ist. Zwar gibt es Hilfsmittel wie Beispielslisten oder FAQ-Dokumente, die Orientierung bieten, doch im Einzelfall bleibt die Entscheidung komplex. In Graubereichen könnte es vorteilhaft sein, zur Sicherheit einen AVV abzuschließen, um mögliche rechtliche Risiken zu minimieren.
Was, wenn nur in geringem Umfang personenbezogene Daten übermittelt werden?
Auch bei minimalem Umfang der Datenverarbeitung, wie etwa bei der Eingabe einer E-Mail-Adresse zur Registrierung, kann ein AVV erforderlich sein, wenn das Unternehmen die Verarbeitung steuert. Hierbei gilt es abzuwägen, ob die Verarbeitung einen Kernbestandteil der Dienstleistung darstellt oder nur eine untergeordnete Rolle spielt. Das BayLDA verweist in diesem Zusammenhang auf die sogenannte Kern-Bestandteil-Theorie, die besagt, dass ein AVV nicht notwendig ist, wenn die Datenverarbeitung nicht der Hauptzweck der Dienstleistung ist.
Im Zweifel lieber zu viel als zu wenig?
In der Praxis stellt sich die Frage, ob es nicht sicherer ist, in Zweifelsfällen lieber einen AVV abzuschließen. Schließlich kann die Prüfung, ob ein AVV erforderlich ist, mehr Zeit in Anspruch nehmen als der Abschluss des Vertrages selbst. Ein vorschnelles Handeln kann jedoch auch Nachteile mit sich bringen.
Vorteile eines AVV
- Rechtliche Absicherung: Ein AVV schafft Sicherheit für den Fall, dass unerwartet personenbezogene Daten verarbeitet werden. Besonders in Bereichen, in denen Mitarbeitende Daten eingeben, kann dies hilfreich sein.
- Vertragliche Sorgfalt: Der Dienstleister wird vertraglich verpflichtet, sorgfältig mit den Daten umzugehen, was insbesondere bei der Verarbeitung von Mitarbeiterdaten von Bedeutung ist.
- Einfache Lösung: Oftmals haben Unternehmen bereits AVV-Templates, die schnell angepasst und eingesetzt werden können.
Nachteile eines AVV
- Übernahme von Verantwortung: Ein AVV kann dazu führen, dass das beauftragende Unternehmen Verantwortung für die Tätigkeiten des Dienstleisters übernimmt, was insbesondere im Haftungsfall problematisch sein kann.
- Dokumentations– und Überprüfungspflichten: Mit einem AVV gehen zusätzliche Pflichten einher, wie die regelmäßige Überprüfung und Dokumentation der technischen und organisatorischen Maßnahmen (TOM) des Dienstleisters.
Fazit:
Einzelfall entscheidet
Ob ein AVV notwendig ist, bleibt eine Einzelfallentscheidung. In vielen Fällen ist es ratsam, auf Nummer sicher zu gehen und einen AVV abzuschließen. Dennoch sollten die damit verbundenen Pflichten und die Übernahme von Verantwortung nicht unterschätzt werden. Die Entscheidung für oder gegen einen AVV sollte daher sorgfältig abgewogen werden, um den Datenschutz effektiv zu gewährleisten, ohne unnötige Risiken einzugehen.
Unsere Empfehlung:
- Prüfen Sie die Notwendigkeit eines AVV: Analysieren Sie genau, ob die Datenverarbeitung durch einen Dienstleister eine Auftragsverarbeitung darstellt. Nutzen Sie dafür vorhandene Checklisten und Hilfsmittel, wie z.B. die Beispielslisten von Datenschutzbehörden.
- Setzen Sie auf rechtliche Sicherheit: Wenn Sie unsicher sind, ob ein AVV notwendig ist, schließen Sie lieber einen solchen Vertrag ab. Dies schafft Klarheit und reduziert das Risiko von Bußgeldern.
- Überprüfen und dokumentieren Sie regelmäßig: Stellen Sie sicher, dass Sie die technischen und organisatorischen Maßnahmen (TOM) Ihres Dienstleisters regelmäßig überprüfen und dokumentieren um im Falle einer Prüfung vorbereitet zu sein.
- Holen Sie externe Expertise ein: Bei komplexen Fällen oder Unsicherheiten kann es sinnvoll sein, eine Datenschutzberatung hinzuzuziehen, um rechtliche Fallstricke zu vermeiden.
- Vermeiden Sie unnötige Verpflichtungen: Schließen Sie nur dann einen AVV ab, wenn es wirklich notwendig ist, um nicht unnötig Verantwortung und Dokumentationspflichten zu übernehmen.
Und wie immer gilt: Melden Sie sich gerne bei Fragen, dafür sind wir da.