Auftragsverarbeitungs­vertrag: die Pflichtangaben des Art. 28 DSGVO

Ein Auftragsverarbeitungsvertrag liegt in fast jedem Unternehmen mehrfach vor: für die Lohnabrechnung, für das Hosting, für den Newsletter-Versand. Ob er vollständig ist, prüft selten jemand, und die Antwort steht in einem einzigen Absatz. Art. 28 Abs. 3 DSGVO nennt sechs Rahmenangaben und acht Pflichten des Auftragsverarbeiters. Dieser Beitrag geht sie durch und benennt die drei Stellen, an denen Verträge in der Praxis unvollständig sind.

Die sechs Rahmenangaben

Art. 28 Abs. 3 Satz 1 DSGVO verlangt, dass der Vertrag den Gegenstand und die Dauer der Verarbeitung, ihre Art und ihren Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt.

Die häufigste Lücke steht in dieser Tabelle in Zeile vier und fünf. Viele Verträge beschreiben die Leistung genau und die Daten pauschal. Eine Angabe wie „alle im Rahmen der Beauftragung anfallenden Daten“ legt nichts fest, sondern verweist auf den Vertrag zurück.

Die acht Pflichten des Auftragsverarbeiters

Art. 28 Abs. 3 Satz 2 DSGVO zählt sie in den Buchstaben a bis h auf. Sie gehören alle in den Vertrag, auch die, die naheliegend klingen:

• a) Weisungsbindung: Verarbeitung nur auf dokumentierte Weisung, einschließlich Mitteilung, wenn eine Rechtsvorschrift eine Verarbeitung verlangt.
• b) Vertraulichkeit: Die zur Verarbeitung befugten Personen haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
• c) Sicherheit: Alle nach Art. 32 DSGVO erforderlichen Maßnahmen.
• d) Unterauftragsverhältnisse: Die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO.
• e) Betroffenenrechte: Unterstützung des Verantwortlichen bei seinen Pflichten aus Kapitel III.
• f) Weitere Pflichten: Unterstützung bei den Pflichten aus Art. 32 bis 36 DSGVO.
• g) Nach Abschluss: Löschung oder Rückgabe der Daten, nach Wahl des Verantwortlichen.
• h) Nachweis: Alle erforderlichen Informationen zur Verfügung stellen und Überprüfungen ermöglichen.

Zu Buchstabe h gehört ein Satz, der leicht überlesen wird: Nach Art. 28 Abs. 3 Satz 3 DSGVO hat der Auftragsverarbeiter den Verantwortlichen unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt. Das ist keine Nebenpflicht, sondern die Stelle, an der die Weisungsbindung ihre Grenze findet.

Die Form: schriftlich, elektronisch genügt

Art. 28 Abs. 9 DSGVO verlangt für den Vertrag die Schriftform und stellt zugleich klar, dass ein elektronisches Format genügt. Ein per Klick akzeptierter Vertragstext eines Anbieters erfüllt diese Anforderung; eine handschriftliche Unterschrift ist nicht verlangt.

Dieselbe Erleichterung kennt Art. 30 Abs. 3 DSGVO für das Verarbeitungsverzeichnis. Wie schlank dieses Verzeichnis geführt werden kann, ohne unvollständig zu werden, steht in Verarbeitungsverzeichnis schlank führen.

Drei Stellen, an denen Verträge in der Praxis auffallen

Aus der Arbeit mit fremden Vertragstexten wiederholen sich drei Muster.

Erstens die Unterauftragsverhältnisse. Buchstabe d verlangt die Bedingungen nach Art. 28 Abs. 2 und 4 DSGVO. Viele Verträge nennen eine allgemeine Genehmigung, ohne den Widerspruchsweg und ohne eine Liste der eingesetzten Dienstleister. Ohne diese Liste lässt sich später nicht sagen, wohin die Daten tatsächlich gehen.

Zweitens die Wahl bei der Beendigung. Buchstabe g gibt dem Verantwortlichen die Wahl zwischen Löschung und Rückgabe. Ein Vertrag, der die Löschung fest vorschreibt, nimmt ihm diese Wahl. Deshalb wird ein solcher Bestand auch in einem Produkt nie automatisch gelöscht, sondern die Fälligkeit gemeldet.

Drittens die Kategorien betroffener Personen. Sie fehlen häufiger als jede andere der sechs Rahmenangaben, weil sie sich nicht aus der Leistungsbeschreibung ergeben. Wer sie nachträgt, merkt oft, dass eine Kategorie mitverarbeitet wird, die niemand auf dem Zettel hatte.

BetroffenenRecht24 führt das Verzeichnis der Auftragsverarbeiter und hält je Vertrag fest, welche der vierzehn Pflichtangaben belegt sind. Was es ausdrücklich nicht tut: Es erzeugt keinen Vertragstext und prüft keinen fremden Vertrag rechtlich. Das wäre Rechtsberatung, und die Verantwortung bleibt ohnehin beim Verantwortlichen.

Kommt es beim Dienstleister zu einer Datenpanne, ändert der Vertrag nichts an der Zuständigkeit: Gemeldet wird an die Aufsichtsbehörde vom Verantwortlichen. Wer in dieser Lage was tut und in welcher Frist, steht in Datenpanne beim Dienstleister: wer meldet.

Häufige Fragen

Was muss in einem Auftragsverarbeitungs­vertrag stehen?

Nach Art. 28 Abs. 3 Satz 1 DSGVO sechs Rahmenangaben: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Dazu kommen nach Satz 2 acht Pflichten des Auftragsverarbeiters in den Buchstaben a bis h.

Muss der AV-Vertrag unterschrieben werden?

Nicht handschriftlich. Art. 28 Abs. 9 DSGVO verlangt Schriftform und stellt ausdrücklich klar, dass ein elektronisches Format genügt. Ein elektronisch abgeschlossener Vertragstext erfüllt die Anforderung.

Darf der Auftragsverarbeiter Unterauftragnehmer einsetzen?

Nur unter den Bedingungen des Art. 28 Abs. 2 und 4 DSGVO, die nach Abs. 3 Satz 2 Buchst. d im Vertrag festzulegen sind. Eine allgemeine Genehmigung ist möglich, sollte aber mit einer Liste der eingesetzten Dienstleister und einem Widerspruchsweg verbunden sein, damit nachvollziehbar bleibt, wohin die Daten gehen.

Was passiert mit den Daten nach Vertragsende?

Der Verantwortliche hat die Wahl. Art. 28 Abs. 3 Satz 2 Buchst. g DSGVO verpflichtet den Auftragsverarbeiter, die Daten nach Abschluss der Erbringung der Verarbeitungsleistungen nach Wahl des Verantwortlichen zu löschen oder zurückzugeben. Ein Vertrag, der nur die Löschung vorsieht, nimmt diese Wahl.

Muss der Auftragsverarbeiter eine Datenpanne der Aufsichtsbehörde melden?

Nein. Er unterstützt den Verantwortlichen bei dessen Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 Satz 2 Buchst. f) und meldet ihm den Vorfall. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.