Auftragsverarbeitung

15 July 2024

In der heutigen datengetriebenen Wirtschaft ist die Auftragsverarbeitung (AV) kein optionales Feature, sondern eine unverzichtbare Betriebsgrundlage. Unternehmen verarbeiten personenbezogene Daten auf Basis von Auftragsverarbeitungsverträgen (AVV) mit dem Ziel, ihre Geschäftsprozesse effizienter und kostengünstiger zu gestalten. Doch die bloße technische Vernetzung reicht im deutschen Arbeits- und Gesellschaftsrecht sowie im Rahmen der DSGVO nicht aus; erst die strikte Einhaltung der gesetzlichen Vorgaben und der vertraglichen Pflichten stellt den rechtlichen Schutz des Auftraggebers sicher. Dieser Artikel beleuchtet die zentralen Aspekte der AV-Rechtspraxis aus einer Kanzlei-Perspektive und gibt praxisnahe Hinweise zur Vermeidung von Compliance-Risiken.

Die essenziellen Elemente eines rechtskräftigen AVV

Ein Auftragsverarbeitungsvertrag ist die rechtliche Basis, auf der der Auftragsverarbeiter (AV) die Daten des Auftraggebers verarbeitet. Ohne diesen formellen Vertrag verliert das Unternehmen nicht nur die rechtliche Vertretbarkeit seiner Datenverarbeitung, sondern drohen massive Bußgelder und Reputationsschäden. Der Vertrag muss spezifische und unmissverständliche Vereinbarungen treffen, die über die bloße technische Spezifikation hinausgehen. Es geht nicht nur darum, welche Software verwendet wird, sondern darum, wer die Verantwortung für die Datenhoheit trägt und wie im Falle eines Vorfalls gehandelt wird. Die DSGVO verlangt, dass alle Verarbeitungsvorgänge dokumentiert und durch verbindliche Vereinbarungen fixiert werden. Ein schlecht formulierter Vertrag kann im Streitfall als nichtig angesehen werden, was zu unkontrollierbaren Datenlecks führt. Daher ist die Präzision in den Vertragsklauseln entscheidend für die langfristige Geschäftssicherheit.

Der Aufbau und die strukturellen Anforderungen des Vertrags

Die Struktur eines AVV ist gesetzlich vorgeschrieben, doch die Interpretation und Anwendung der Klauseln erfordert juristisches Fachwissen. Der Vertrag muss den Namen der Parteien, die Zwecke und Dauer der Verarbeitung sowie die Art und Weise der Verarbeitung enthalten. Besonders kritisch sind die Bestimmungen zur Sicherstellung der Vertraulichkeit und zum Schutz der personenbezogenen Daten. Hier muss der Auftragsverarbeiter verpflichtet sein, die Daten auf dem höchsten Grad von Sicherheit zu bewahren, der technisch möglich ist. Zudem müssen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung beschrieben werden, um Unzulässigkeiten zu verhindern. Ohne diese detaillierten Pflichten verliert der Vertrag seine Schutzfunktion, da im Schadensfall die Haftungslücke nicht zu schließen ist. Die Klärung der Verantwortlichkeiten ist hier der Schlüssel zum Erfolg.

Die Pflichten des Auftragsverarbeiters in der Praxis

In der täglichen Rechtspraxis muss der AV eine Reihe spezifischer Pflichten gegenüber dem Auftraggeber erfüllen, die oft unterschätzt werden. Diese Pflichten sind kein Selbstläufer, sondern erfordern ein kontinuierliches Management. Zu den Kernpflichten gehören:

Die strikte Begrenzung des Zugriffs auf die Daten ausschließlich auf Personen, die aufgrund ihrer Funktion den Zugang benötigen, sowie die Einhaltung der Geheimhaltungsvereinbarungen.
Die unverzügliche Meldung jedes Vorfalls, der zu einem Verlust, einem Diebstahl oder einer unbefugten Offenlegung personenbezogener Daten führt.
Die Implementierung und Aufrechterhaltung von technischen und organisatorischen Maßnahmen (TOMs) zur Sicherstellung der Datensicherheit.
Die Unterordnung des AV in allen einschlägigen Fragen unter die Anweisungen des Auftraggebers, es sei denn, dies widerspricht einer gesetzlichen Verpflichtung.
Die Bereitstellung einer Dokumentation der durchgeführten Maßnahmen nach Aufforderung des Auftraggebers.

Diese Punkte müssen im Vertrag explizit festgeschrieben werden, um im Ernstfall klare Handlungsspielräume zu haben.

Haftungsfragen und die Vermeidung von Compliance-Lücken

Eines der häufigsten Missverständnisse in der Rechtspraxis ist die Annahme, dass der Auftragsverarbeiter alle Risiken selbst trägt. Das ist rechtlich falsch; der Auftraggeber bleibt in der Verantwortung für den Schutz der Daten, während der AV dafür sorgt, dass die Verarbeitung technisch machbar und sicher ist. Die Haftung des Auftraggebers kann jedoch erheblich steigen, wenn er die vom AV vertraglich vorgeschriebenen Pflichten nicht überwacht oder bei Verstößen nicht reagiert. Ein typisches Szenario ist, dass ein Mitarbeiter des AV Daten unrechtmäßig weiterverarbeitet, da dies im Vertrag nicht als erlaubt definiert war. In solchen Fällen haftet der Auftraggeber vor der Aufsichtsbehörde, da die Überwachungspflicht verletzt wurde. Die Klärung der Haftungsfragen ist daher zentral, um im Schadensfall schnellstmöglich und effektiv tätig werden zu können. Es reicht nicht aus, einen Vertrag zu unterzeichnen; regelmäßige Audits und Überprüfungen sind notwendig.

Internationale Datenübermittlungen und die Rolle von Standardvertragsklauseln

Ein besonders sensibles Thema in der AV-Rechtspraxis sind die grenzüberschreitenden Datenflüsse. Viele Unternehmen nutzen globale Cloud-Dienste, die Daten auf Serverstandorte in Drittstaaten führen. Ohne geeignete Schutzmechanismen ist eine solche Übermittlung unzulässig. Die Europäische Kommission hat hierfür Standardvertragsklauseln (SCCs) entwickelt, die der EU-Unternehmer nutzen muss, um die Daten sicher über den EU-Auslandstransfer zu bringen. Die Anwendung dieser Klauseln ist komplex und erfordert eine Anpassung am jeweiligen Fall. Besonders kritisch ist die „Transferbeurteilung", die insbesondere nach der Schrems-II-Urteil der EU-Kommission erforderlich ist. Eine bloße Nennung der SCCs im Vertrag reicht nicht; der Vertrag muss die spezifischen Risiken der Zielländer bewerten und ggf. ergänzende Maßnahmen vorsehen. Die Kanzlei empfiehlt, hier stets einen Rechtsbeistand einzubeziehen, um keine weiteren Risiken einzugehen.

Die laufenden Compliance-Aufgaben und die Bedeutung der Dokumentation

Die Auftragsverarbeitung endet nie, sobald der Vertrag unterschrieben wurde. Sie erfordert ein lebenslanges Management der Compliance. Dazu gehört die regelmäßige Überprüfung der Vertragsbedingungen, die Aktualisierung der technischen Maßnahmen und die Dokumentation aller Schritte. Bei jeder Änderung der Dienstleistung, bei der Einstellung neuer Mitarbeiter oder bei der Änderung der Software muss der Vertrag angepasst werden. Die Dokumentation muss jederzeit zugänglich sein, um bei einer Inspektion der Datenschutzbehörde oder im Streitfall den Nachweis zu erbringen, dass alle Pflichten erfüllt wurden. Ein vernachlässigter AVV führt zu rechtlichen Lücken, die teuer zu beheben sind. Die proaktive Gestaltung des Vertrags und das kontinuierliche Monitoring sind daher keine Kostenstelle, sondern eine Investition in die rechtliche Stabilität des Unternehmens. Nur durch diese rigorose Umsetzung lässt sich das Risiko minimieren und die Geschäftstätigkeit sicher fortführen.