Auftragsverarbeiter oder eigener Verantwortlicher
Die erste Frage ist nicht, wie der Vertrag heißt, sondern welche Rolle der Anbieter tatsächlich einnimmt. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet; Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag dieses Verantwortlichen verarbeitet. Bei einem Monitoring- oder Analysewerkzeug entscheidet in aller Regel der Websitebetreiber: Er legt fest, welche Adressen geprüft werden, in welchem Takt, wie lange die Messreihen aufbewahrt werden und wer die Auswertung sieht. Der Anbieter stellt die Technik und führt aus. Genau diese Konstellation beschreibt Artikel 28. Ein Werkzeug, das ohne Endgerätespeicher misst, ändert daran nichts: auch eine Reichweitenmessung ohne Cookies verarbeitet Daten, die sich in der Regel auf eine Person beziehen lassen.
Die Rolle kann kippen. Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die Verordnung selbst die Zwecke und Mittel einer Verarbeitung, gilt er in Bezug auf diese Verarbeitung als Verantwortlicher (DSGVO). In der Praxis zeigt sich das an Formulierungen in den Vertragsunterlagen: Wer sich zusichern lässt, die Daten seiner Kunden zur Verbesserung der eigenen Produkte, für kundenübergreifende Vergleichswerte oder zum Training eigener Modelle zu nutzen, verarbeitet insoweit zu eigenen Zwecken. Für diesen Teil trägt der Anbieter die Verantwortung selbst, und der Auftragsverarbeitungsvertrag deckt ihn nicht ab. Es lohnt sich, die Nutzungsbedingungen und die Datenschutzhinweise des Anbieters daraufhin zu lesen, nicht nur den Vertragstext.
- Besucherdaten aus der Reichweitenmessung - Adresse des Aufrufs, Verweisquelle, Zeitstempel, Bildschirmbreite, Sprache und je nach Einstellung die gekürzte IP-Adresse.
- Bildschirmfotos aus dem Änderungsmelder - sobald ein Bereich hinter der Anmeldung erfasst wird, landen dort in der Regel Namen, Bestellnummern oder Postfachinhalte im Bild.
- Antwortkörper aus Schnittstellenprüfungen - wer zur Fehlersuche die vollständige Antwort speichert, speichert mit, was in der Antwort steht.
- Formulardaten aus Browser-Prüfungen - ein Testkauf oder eine Testanmeldung legt Datensätze an, die einer echten Person ähneln oder sie betreffen.
- Kontaktdaten der Alarmempfänger - Name, E-Mail-Adresse, Rufnummer und Bereitschaftszeiten der eigenen Beschäftigten.
- Zugriffsprotokolle des Werkzeugs - wer sich wann angemeldet hat, welche Einstellung geändert wurde, von welcher Adresse aus.
Damit gibt es zwei Gruppen betroffener Personen, und beide gehören in den Vertrag: die Besucher der überwachten Website und die eigenen Beschäftigten, die das Werkzeug bedienen oder Alarme empfangen. Die zweite Gruppe wird oft übersehen, obwohl sie die kritischere ist: Beschäftigtendaten stehen unter besonderer Beobachtung, und ein Protokoll darüber, wer wann was gesehen hat, ist eine Verhaltensdokumentation. Wie sich Rollen, Rechte und Protokolle im Werkzeug selbst sauber schneiden lassen, beschreibt der Beitrag Zugriffsrechte und Prüfprotokoll im Monitoring.
Der Rahmen, der vor den acht Buchstaben steht
Bevor Artikel 28 Absatz 3 die acht Einzelpflichten aufzählt, verlangt der Einleitungssatz eigene Festlegungen: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen (DSGVO). Diese Angaben sind kein Vorwort, sondern der Bezugsrahmen: Sie bestimmen, worauf sich jede Weisung, jede Löschpflicht und jeder Nachweis später bezieht. Ein Vertrag, der hier mit "Erbringung der vertraglich vereinbarten Leistungen" auskommt, hat den Rahmen nicht gesetzt.
Für ein Monitoring lassen sich diese Punkte gut ausfüllen. Gegenstand ist die Messung der Erreichbarkeit, der Antwortzeit und der Inhaltsintegrität benannter Adressen sowie die Reichweitenmessung. Dauer ist die Laufzeit des Vertrags zuzüglich der vereinbarten Aufbewahrungsfristen. Art und Zweck sind das automatisierte Abrufen, Speichern und Auswerten von Messwerten zum Nachweis der Verfügbarkeit und zur Störungserkennung. Die Art der Daten ist die Liste aus dem vorigen Abschnitt. Kategorien betroffener Personen sind Websitebesucher und Beschäftigte des Verantwortlichen. Und die Pflichten und Rechte des Verantwortlichen sind sein Weisungsrecht, sein Kontrollrecht und seine Pflicht, rechtmäßige Weisungen zu erteilen.
Der Vertrag ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann (DSGVO). Ein im Kundenkonto hinterlegter, versionierter und abrufbarer Vertragstext genügt dieser Form. Wichtig ist weniger das Medium als die Nachvollziehbarkeit: Welche Fassung galt am Tag der Verarbeitung, wer hat sie wann angenommen, und liegt sie noch vor, wenn eine Aufsichtsbehörde zwei Jahre später fragt. Ein Vertrag, der nur als Anhang einer E-Mail existiert, erfüllt die Form, ist aber im Zweifel nicht auffindbar.
Die acht Buchstaben aus Artikel 28 Absatz 3
Auf den Einleitungssatz folgen acht Buchstaben von a bis h, und jeder von ihnen ist eine eigene Pflicht, die der Vertrag festlegen muss (DSGVO). Sie lassen sich nicht zusammenfassen und nicht durch einen Verweis auf die Verordnung ersetzen. In Kurzform:
- a) Weisungsbindung - der Auftragsverarbeiter verarbeitet nur auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer.
- b) Vertraulichkeit - die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
- c) Sicherheit - alle nach Artikel 32 erforderlichen Maßnahmen werden ergriffen.
- d) Unterauftragnehmer - die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter werden eingehalten.
- e) Betroffenenrechte - der Verantwortliche wird bei der Beantwortung von Anträgen betroffener Personen unterstützt.
- f) Sicherheit, Meldung, Folgenabschätzung - der Verantwortliche wird bei der Einhaltung der Artikel 32 bis 36 unterstützt.
- g) Ende der Leistung - die Daten werden nach Wahl des Verantwortlichen gelöscht oder zurückgegeben.
- h) Nachweis und Prüfung - alle erforderlichen Informationen werden bereitgestellt und Überprüfungen ermöglicht.
Diese Liste ist der Mindestinhalt, nicht die Obergrenze. Sie erklärt aber noch nicht, wie die Pflicht im Alltag erfüllt wird - und genau daran scheitern viele Verträge. Ein Satz wie "Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen" wiederholt Buchstabe e, ohne eine einzige Frage zu beantworten: Über welchen Weg, in welchem Format, in welcher Zeit?
Der Europäische Datenschutzausschuss hält in seinen Leitlinien 07/2020 ausdrücklich fest, dass der Vertrag die Bestimmungen der Verordnung nicht lediglich wiederholen soll, sondern konkretere Angaben dazu enthalten muss, wie die Anforderungen erfüllt werden und welches Sicherheitsniveau für die betroffene Verarbeitung gilt (Europäischer Datenschutzausschuss). Für die Prüfung eines vorgelegten Vertrags ist das ein brauchbarer Schnelltest: Wenn ein Absatz auch für einen Lohnabrechnungsdienst oder einen Newsletter-Versand unverändert passen würde, beschreibt er die konkrete Verarbeitung nicht.
Vom Normtext zur Vertragsanlage
Praktisch bewährt hat sich, den Vertragstext knapp zu halten und die veränderlichen Teile in Anlagen zu ziehen: eine Anlage für die Unterauftragnehmer, eine für die technischen und organisatorischen Maßnahmen, eine für das Löschkonzept. Anlagen lassen sich einzeln fortschreiben, ohne dass der Hauptvertrag neu unterschrieben werden muss, und sie sind der Ort, an dem aus einer Pflicht eine überprüfbare Zusage wird. Die folgende Übersicht stellt jeder Pflicht gegenüber, was in der Anlage stehen sollte, damit sie im Streitfall trägt.
| Buchstabe | Was die Norm verlangt | Was in der Anlage stehen sollte |
|---|---|---|
| a | Verarbeitung nur auf dokumentierte Weisung | Wer Weisungen erteilen darf, in welcher Form sie festgehalten werden, an welchen Standorten die Messpunkte betrieben werden |
| b | Vertraulichkeit der befugten Personen | Verpflichtung der Beschäftigten, Geltung auch für das Personal der Unterauftragnehmer, Nachweis auf Anfrage |
| c | Maßnahmen nach Artikel 32 | Die tatsächlich eingesetzten Maßnahmen statt eines Verweises auf den Stand der Technik |
| d | Bedingungen für weitere Auftragsverarbeiter | Art der Genehmigung, Vorlauffrist bei Wechseln, Widerspruchsweg, Liste mit Standort und Aufgabe |
| e | Unterstützung bei Anträgen betroffener Personen | Such- und Exportfunktion, Reaktionszeit des Anbieters, Format der Auskunft |
| f | Unterstützung bei den Artikeln 32 bis 36 | Meldeweg bei einer Verletzung, Mindestinhalt der Meldung, Zuarbeit zur Folgenabschätzung |
| g | Löschung oder Rückgabe nach Ende der Leistung | Ausgeübtes Wahlrecht, Exportformat, Frist, Umgang mit Sicherungskopien, Bestätigung |
| h | Informationen bereitstellen und Überprüfungen ermöglichen | Welche Unterlagen ohne Nachfrage bereitstehen, wie oft geprüft werden darf, Ablauf aus der Ferne oder vor Ort |
Zwei Spalten dieser Tabelle sind erfahrungsgemäß die strittigen. Bei Buchstabe c neigen Anbieter dazu, allgemeine Sicherheitsversprechen zu formulieren; bei Buchstabe h wird das Prüfrecht gern auf ein jährliches Zertifikat verengt. Beides lässt sich verhandeln, aber nur vor Vertragsschluss. Wer die Anlage erst anfordert, wenn eine Aufsichtsbehörde fragt, verhandelt unter Zeitdruck. Wie die Anforderungen aus Artikel 28 mit den übrigen Nachweispflichten zusammenspielen, zeigt die Übersicht zur DSGVO-Compliance im Monitoring.
Unterauftragnehmer: Genehmigung, Liste, Widerspruch
Ein Auftragsverarbeiter darf keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch nehmen (DSGVO). Beide Wege sind zulässig. Bei der gesonderten Genehmigung wird jeder Unterauftragnehmer einzeln freigegeben, was bei einem Werkzeug mit Messpunkten in mehreren Ländern schnell unpraktisch wird. Bei der allgemeinen Genehmigung muss der Anbieter über beabsichtigte Änderungen informieren, und der Verantwortliche kann widersprechen. Der Europäische Datenschutzausschuss stellt dazu klar, dass die bloße Veröffentlichung solcher Änderungen auf der Website des Auftragsverarbeiters den Anforderungen des Artikels 28 nicht genügt (Europäischer Datenschutzausschuss). Es braucht also einen aktiven Hinweis an eine benannte Adresse, nicht nur eine Seite, die sich still ändert.
Nach den Leitlinien 07/2020 gehören zu jedem vorgesehenen Unterauftragnehmer der Standort, die Aufgabe und der Nachweis der umgesetzten Schutzmaßnahmen, damit der Verantwortliche überhaupt entscheiden kann (Europäischer Datenschutzausschuss). Eine Liste aus Firmennamen ohne diese drei Angaben trägt die Entscheidung nicht.
Bei verteilten Prüfungen ist jeder Standort ein Verarbeitungsort. Wer Erreichbarkeit von mehreren Standorten misst, sollte wissen, welche Rechenzentren beteiligt sind und ob eine Übermittlung in ein Drittland stattfindet.
Der Weg vom Alarm zur Nachricht führt über einen Mail- oder Nachrichtendienst, der dabei Empfängerdaten verarbeitet. Dieselbe Frage stellt sich bei Bestätigungsmails, wie sie der Beitrag zur Überwachung der Double-Opt-in-Strecke beschreibt.
Die Frist sollte lang genug sein, um einen Wechsel zu prüfen und notfalls zu kündigen. Kündigt der Anbieter eine Schnittstelle ab, gilt dasselbe Zeitproblem wie bei Sunset- und Deprecation-Kopfzeilen: ohne Vorlauf bleibt nur die Zustimmung.
Kommt ein Unterauftragnehmer hinzu, müssen ihm dieselben Datenschutzpflichten auferlegt werden, die im Vertrag mit dem Verantwortlichen stehen. Kommt er seinen Pflichten nicht nach, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters (DSGVO). Für den Verantwortlichen bedeutet das: Die Kette endet für ihn beim direkten Vertragspartner, aber sie endet nicht bei der Frage, wo die Daten tatsächlich liegen. Wer Dienstleister ohnehin nach anderen Vorgaben prüfen muss, kann die Nachweise zusammenlegen; der Beitrag zu Nachweisen in der Lieferkette beschreibt die Überschneidungen.
Das Verzeichnis der Verarbeitungstätigkeiten
Der Vertrag ist die eine Hälfte der Nachweispflicht, das Verzeichnis die andere. Der Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, und es enthält sieben Angaben von Buchstabe a bis g: Kontaktdaten, Zwecke, Kategorien betroffener Personen und Daten, Kategorien von Empfängern, Drittlandsübermittlungen, Löschfristen und eine allgemeine Beschreibung der Maßnahmen nach Artikel 32 (DSGVO). Der Auftragsverarbeiter führt ein eigenes Verzeichnis mit vier Angaben von Buchstabe a bis d (DSGVO). Wer beides sauber trennt, merkt schnell, welche Angaben er vom Anbieter braucht und heute nicht hat.
{
"bezeichnung": "Verfügbarkeits- und Reichweitenmessung der Unternehmenswebsite",
"verantwortlicher": "Beispiel GmbH, Musterweg 1, 30159 Hannover",
"zwecke": [
"Nachweis der Erreichbarkeit gegenüber Kunden",
"Erkennung von Störungen und Sicherheitsvorfällen",
"Reichweitenmessung ohne Zugriff auf Endgerätespeicher"
],
"betroffene": ["Websitebesucher", "Beschäftigte des Verantwortlichen"],
"datenarten": [
"gekürzte IP-Adresse",
"Zeitstempel, aufgerufene Adresse, Verweisquelle",
"Bildschirmbreite und Sprache des Browsers",
"Name, dienstliche E-Mail-Adresse und Rufnummer der Alarmempfänger"
],
"weitergabe": [
{"rolle": "Auftragsverarbeiter", "leistung": "Monitoring und Auswertung"},
{"rolle": "Unterauftragnehmer", "leistung": "Versand der Alarmnachrichten"}
],
"drittland": null,
"fristen": {
"messreihen": "13 Monate",
"bildschirmfotos": "90 Tage",
"zugriffsprotokoll": "6 Monate"
},
"technik": "siehe Anlage 2 zum Auftragsverarbeitungsvertrag",
"stand": "2026-09-27"
}
Die Verzeichnispflicht kennt eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern, aber sie greift nur, wenn die Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft (DSGVO). Eine Website, die dauerhaft misst, verarbeitet nicht nur gelegentlich - die Ausnahme trägt hier in der Regel nicht. Ob zusätzlich eine Datenschutz-Folgenabschätzung nötig wird, ist eine eigene Prüfung; der Beitrag zur Folgenabschätzung beim Web-Tracking führt die Schwellen auf.
Ein Auftragsverarbeitungsvertrag wird selten beim Abschluss gelesen und in aller Regel an einem schlechten Tag: wenn ein Antrag auf Auskunft eingeht, wenn ein Unterauftragnehmer wechselt oder wenn erklärt werden muss, wo die Daten der letzten achtzehn Monate liegen.
— XICTRAQ
Technische und organisatorische Maßnahmen
Buchstabe c verweist auf Artikel 32, und dieser nennt vier Maßnahmen ausdrücklich: die Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen, die Fähigkeit, die Verfügbarkeit nach einem Zwischenfall rasch wiederherzustellen, sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit (DSGVO). Die Aufzählung ist nicht abschließend, aber sie gibt die Gliederung der Anlage vor. Was dort für ein Monitoring stehen sollte:
- Verschlüsselung auf dem Transportweg und im Ruhezustand, jeweils mit Angabe, was genau verschlüsselt ist - Messwerte, Bildschirmfotos, Sicherungskopien.
- Trennung der Mandanten: wie wird verhindert, dass Daten zweier Kunden in einer Auswertung landen.
- Rollen- und Rechtekonzept mit benannten Rollen, dazu die Frage, wer beim Anbieter im Störungsfall Kundendaten sehen kann.
- Protokollierung der Zugriffe, mit Aufbewahrungsfrist und Angabe, wer die Protokolle auswerten darf.
- Verfahren für Sicherungskopien einschließlich eines dokumentierten Wiederherstellungstests, nicht nur der Sicherung selbst.
- Pseudonymisierung, wo sie möglich ist: gekürzte IP-Adressen, Kennungen ohne Personenbezug, Maskierung in Bildschirmfotos.
- Löschroutinen je Datenart mit der Frist, die auch im Verzeichnis steht, damit beide Dokumente nicht auseinanderlaufen.
- Regelmäßige Überprüfung der Wirksamkeit mit Turnus und Verantwortlichem, damit Punkt vier aus Artikel 32 nicht leer bleibt.
Zu jeder Zeile der Anlage gehört die Frage, woran man ihre Umsetzung erkennt. Bei der Verschlüsselung ist es die Konfiguration, beim Rechtekonzept die Rollenliste, beim Wiederherstellungstest das Protokoll des letzten Laufs. Auf der eigenen Seite ist der Nachweis oft einfacher, als er klingt: Wer Rollen und Zugänge im Team sauber vergibt und Änderungen protokolliert, kann die Angaben zu Buchstabe b und zum Rechtekonzept jederzeit belegen, ohne sie zu rekonstruieren.
Meldewege und Fristen bei einer Verletzung
Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die zuständige Aufsichtsbehörde (DSGVO). Der Auftragsverarbeiter hat keine eigene Frist gegenüber der Behörde, aber er meldet dem Verantwortlichen unverzüglich, sobald ihm eine Verletzung bekannt wird (DSGVO). Die Frist des Verantwortlichen beginnt damit faktisch beim Anbieter, und genau deshalb gehört in den Vertrag, was "unverzüglich" hier bedeutet: an welche Adresse gemeldet wird, welche Angaben die erste Meldung mindestens enthält und wie eine Nachmeldung erfolgt, wenn der Sachverhalt noch nicht vollständig ist.
Solche Abfragen ersetzen keine Vertragsprüfung, aber sie beantworten drei Fragen, die im Vertrag oft offenbleiben: Wohin zeigen die Namen der Messpunkte, an welche Adresse liefert der Tracker aus, und wann wurde die Unterauftragnehmerliste zuletzt geändert. Eine Liste, deren Datum seit anderthalb Jahren steht, ist entweder stabil oder ungepflegt - beides ist eine Nachfrage wert. Beim Datum lohnt außerdem ein Blick auf die Zeitzone: Meldefristen und Protokolle laufen auseinander, wenn die eine Seite in UTC und die andere in Ortszeit rechnet, wie der Beitrag zur Zeitumstellung im Monitoring zeigt.
Schicken Sie einmal eine Testmeldung über den im Vertrag benannten Weg und messen Sie, wie lange es bis zur Antwort dauert. Erfahrungsgemäß deckt dieser eine Versuch mindestens einen Bruch auf: eine Adresse, die auf ein verlassenes Postfach zeigt, ein Formular hinter einer Anmeldung, die niemand im Team hat, oder eine Zuständigkeit, die beim Anbieter nur zu Geschäftszeiten besetzt ist. Das Ergebnis gehört als Notiz zum Vertrag, mit Datum.
Vertragsende: löschen oder zurückgeben
Buchstabe g verlangt, dass der Auftragsverarbeiter nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen löscht oder zurückgibt, sofern nicht eine Rechtspflicht zur Speicherung besteht (DSGVO). Das Wahlrecht liegt beim Verantwortlichen, und es will ausgeübt werden: Wer es offenlässt, überlässt die Entscheidung dem Anbieter. Sinnvoll ist, die Wahl schon im Vertrag zu treffen und drei Punkte zu ergänzen, die in der Norm nicht stehen: das Format der Rückgabe, die Frist, und den Umgang mit Sicherungskopien, die ihrem eigenen Zyklus folgen und nicht auf Zuruf einzeln gelöscht werden können.
Der Export sollte vor der Kündigung stehen, nicht danach. Ein Konto, das am Stichtag gesperrt wird, gibt in der Regel keine Daten mehr heraus, und der Nachweis der Verfügbarkeit für das vergangene Jahr ist ohne Rohdaten schwer zu führen. Welche Fristen für welche Datenart überhaupt sinnvoll sind und wo Aufbewahrung und Löschpflicht auseinanderlaufen, behandelt der Beitrag zu Aufbewahrungsfristen für Monitoring- und Analysedaten. Zum Abschluss gehört eine schriftliche Löschbestätigung mit Datum und Umfang, die zusammen mit dem Vertrag abgelegt wird.
Was ein Verstoß kostet und wer haftet
Verstöße gegen die Pflichten der Verantwortlichen und der Auftragsverarbeiter aus den Artikeln 8, 11, 25 bis 39, 42 und 43 können mit Geldbußen von bis zu 10 000 000 Euro oder, im Fall eines Unternehmens, von bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist (DSGVO). Artikel 28 liegt in diesem Bereich. Bei der Entscheidung über die Verhängung und die Höhe werden elf Kriterien von Buchstabe a bis k berücksichtigt, darunter Art und Schwere des Verstoßes, der Grad der Verantwortlichkeit, frühere Verstöße und der Umfang der Zusammenarbeit mit der Aufsichtsbehörde (DSGVO).
Neben dem Bußgeld steht der Schadenersatz. Ein Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Weisungen des Verantwortlichen gehandelt hat (DSGVO). Die Aufteilung ist also nicht hälftig, sondern folgt der Rolle. Welche Fehler in der Praxis am häufigsten zu Verfahren führen, ordnet der Beitrag DSGVO-Bußgelder vermeiden ein.
Ein unterschriebener Auftragsverarbeitungsvertrag ist eine Pflicht, kein Haftungsausschluss. Der Verantwortliche bleibt gegenüber betroffenen Personen und Aufsichtsbehörden zuständig, auch wenn ein Anbieter die Verarbeitung technisch ausführt. Was der Vertrag leistet, ist die Zuordnung von Pflichten, die Möglichkeit zur Kontrolle und ein belastbarer Rückgriff, wenn der Anbieter seine Zusagen nicht einhält. Wer ihn als Nachweis versteht, dass die eigene Prüfpflicht damit erledigt sei, hat den Zweck verfehlt.
Was vor dem ersten Messpunkt geklärt sein sollte
Die folgenden zehn Punkte lassen sich vor der Einrichtung abfragen, meist mit einer einzigen Nachricht an den Anbieter. Sie sind keine Rechtsberatung, sondern eine Vorprüfung: Wer sie beantwortet bekommt, hat den Vertragsentwurf, das Verzeichnis und die Antwort auf die erste Behördenanfrage in Teilen schon vorliegen.
- Liegt ein Auftragsverarbeitungsvertrag vor, ist er ohne Rückfrage abrufbar, und in welcher Fassung gilt er heute?
- Welche Anlagen gehören dazu, und sind Maßnahmen, Unterauftragnehmer und Löschfristen darin einzeln benannt?
- Wo werden die Daten verarbeitet und gespeichert, und findet eine Übermittlung in ein Drittland statt?
- Wie werden Unterauftragnehmer genehmigt, wie wird über Wechsel informiert, und wie lang ist die Widerspruchsfrist?
- Welche Datenarten fallen tatsächlich an, insbesondere bei Bildschirmfotos, Antwortkörpern und Browser-Prüfungen?
- Verarbeitet der Anbieter Daten auch zu eigenen Zwecken, etwa für kundenübergreifende Auswertungen?
- Über welchen Weg und mit welchem Mindestinhalt meldet der Anbieter eine Verletzung des Schutzes personenbezogener Daten?
- Welche Funktionen unterstützen die Beantwortung von Anträgen betroffener Personen, und in welchem Format kommt die Auskunft?
- Welche Löschfristen gelten je Datenart, wie wird am Vertragsende exportiert, und gibt es eine Löschbestätigung?
- Welche Nachweise stellt der Anbieter für Buchstabe h bereit, und wie läuft eine Überprüfung ab?
Sind diese Punkte geklärt, ist der Rest Fleißarbeit: Vertrag ablegen, Verzeichniseintrag schreiben, Löschfristen im Werkzeug einstellen, Zuständigkeiten benennen. XICTRAQ verarbeitet und hostet in Deutschland, stellt den Auftragsverarbeitungsvertrag mit Unterauftragnehmerliste und dokumentierten Maßnahmen bereit und exportiert die Angaben, die in das Verarbeitungsverzeichnis gehören; in der Demo lässt sich ohne Konto ansehen, welche Daten dabei überhaupt anfallen. Wie ein Auskunftsantrag mit diesen Daten beantwortet wird, beschreibt der Beitrag zum Auskunftsrecht nach Artikel 15.
Dieser Beitrag stützt sich auf: die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), insbesondere die Artikel 28, 30, 32, 33, 82 und 83 in der über EUR-Lex veröffentlichten Fassung, sowie die Leitlinien 07/2020 des Europäischen Datenschutzausschusses zu den Begriffen "Verantwortlicher" und "Auftragsverarbeiter". Die Belege im Beitrag verweisen jeweils auf den Absatz der Norm oder die Randnummer der Leitlinien. Er ersetzt keine Rechtsberatung im Einzelfall; ob eine konkrete Verarbeitung eine Auftragsverarbeitung ist, hängt vom Einzelfall ab.