Auftragsdatenverarbeitung (ADV): Wenn die Datenverarbeitung ausgelagert wird

Was zum Schutz von Unternehmens- und Kundendaten zu beachten ist

Ob in der Produktion von Waren, bei der Kundenbetreuung oder zur Bereitstellung zusätzlicher Dienstleistungen – viele Unternehmen lagern einzelne Arbeitsschritte oder sogar vollständige Geschäftsbereiche wie Callcenter an Dienstleister aus (Outsourcing) oder bedienen sich externer Hilfskräfte, um ihrem Leistungs- und Warenspektrum gerecht zu werden. In immer mehr Unternehmen machen sich die Beauftragung von Dienstleistern sowie flexible Beschäftigungsmodelle wie eine zeitlich begrenzte freie Mitarbeiterschaft bezahlt.

Gerade bei schwankender Auftragslage oder projektbezogener Arbeit ist die Beschäftigung von Freelancern und Mitarbeitern außerhalb eines festen Angestelltenverhältnisses besonders reizvoll. Allerdings stellt sich bei der Unterstützung durch externe Personen und Gesellschaften die Frage, wie sich die Daten und Geschäftsgeheimnisse des Auftraggebers und seiner Kunden vorschriftsgemäß im Sinne des Bundesdatenschutzgesetzes (BDSG) sichern lassen. Die nur punktuelle Bindung Dritter an das Unternehmen darf jedenfalls nicht dazu führen, dass im Umgang mit personenbezogenen Daten nachlässig umgegangen wird.

Datenweitergabe an Dritte zur Erledigung eigener Geschäftszwecke stellt meist eine Auftragsdatenverarbeitung dar

Wer zur effektiven Organisation von Datenmengen Cloud Computing wie Amazon Web Services, für die Analyse seines Website-Traffics Google Analytics, Piwik, Adobe Analytics oder ähnliche Tracking-Tools oder zur gezielten Bewerbung und Erweiterung seines Kundenstamms eine externe Marketingagentur einsetzt, dem dürfte das Schlagwort „Auftragsdatenverarbeitung“ (kurz: ADV) schon einmal über den Weg gelaufen sein.

Für all diese Formen der „Datenbearbeitung“ werden überwiegend Daten, die im Sinne des deutschen Datenschutzrechts als personenbezogene Daten zu bewerten sind, zu bestimmten Zwecken an Dritte weitergegeben. So erhalten beispielsweise E-Mail-Marketer, Zahlungsdienstleister oder andere Drittdienstleister vom beauftragenden Unternehmen für die auf Weisung zu erbringende Leistung Daten, die Rückschlüsse auf seine Kunden, Lieferanten oder Mitarbeiter zulassen. Zur Sicherung und zum Schutz dieser personenbezogenen Daten muss grundsätzlich ein schriftlicher Vertrag zur Auftragsdatenverarbeitung („ADV-Vertrag“ oder „Data Processor Agreement“) zwischen dem Unternehmen und dem beauftragten Dienstleister abgeschlossen werden. Ein solcher Vertrag muss die folgenden Mindestangaben enthalten:

• Gegenstand und Dauer des Vertrags
• Umfang, Art und Zweck der vorgesehenen Datenverarbeitung, Art der Daten und Kreis der davon betroffenen Personen
• Technische und organisatorische Maßnahmen zu Datenschutz und -sicherheit
• Vorschriften über die Berichtigung, Löschung und Sperrung von Daten
• Festlegungen zu gesetzlichen datenschutzrechtlichen Pflichten (insbesondere Kontrollpflichten) des Auftragnehmers
• Etwaige Befugnis zur Begründung von Unterauftragsverhältnissen
• Kontrollrechte des Auftraggebers und Duldungs- und Mitwirkungspflichten des Auftragnehmers
• Vorgehen bei Datenschutzverstößen und Datenpannen durch/bei Auftragnehmer
• Weisungsbefugnisse des Auftraggebers gegenüber Auftragnehmer
• Folgen der Auftragsbeendigung: Löschung Daten, Übergabe von Datenträgern

Dieser Katalog aus § 11 BDSG verdeutlicht, dass eine einfache Auftragserteilung, die zum Beispiel lediglich Leistungszeitraum, Leistungsziel und Vergütung klärt, in keinem Fall den gesetzlichen Anforderungen genügt. Vielmehr muss sich der Auftraggeber bereits bei der Auswahl des passenden Dienstleisters sowie bei den vertraglich festzulegenden Regelungen intensiv mit den datenschutzrechtlichen Anforderungen sowie den diesbezüglichen Gegebenheiten im eigenen Unternehmen auseinandersetzen.

Wer hier nachlässig arbeitet, riskiert, dass im Falle eines Datenlecks („Data Breach“) beim Dienstleister ein hohes Bußgeld für den Auftraggeber fällig wird. Verstöße gegen § 11 BDSG sind Ordnungswidrigkeiten nach § 43 Abs. 1 Nr. 2b BDSG, der Bußgeldrahmen des § 43 Abs. 3 BDSG ist individuell und soll den wirtschaftlichen Vorteil beim Auftraggeber abschöpfen. Berücksichtigt man dies, kann aus einer günstigen, aber nachlässig durchgeführten Beauftragung Dritter plötzlich wegen Datenschutzverstößen ein erhebliches Minusgeschäft resultieren. Vor dem Hintergrund, dass die vertragliche Absicherung der Auftragsdatenverarbeitung nach § 11 BDSG kein allzu kompliziertes Unterfangen ist, wäre das Eingehen eines solchen Risikos völlig unnötig.

Auch wenn spezialisierte Rechtsanwälte Unternehmen in der Vertragsgestaltung und bei datenschutzrechtlichen Bewertung von Beauftragungen Externer effektiv unterstützen können, spart es Geld und Zeit, wenn Entscheidungsträger im Unternehmens wissen, wann eine Vereinbarung zur Auftragsdatenverarbeitung abzuschließen ist und wann zum Beispiel eine bloße Verpflichtung auf das Datengeheimnis nach § 5 BDSG ausreichend ist, um ein adäquates Schutzniveau zu sichern.

Verpflichtung auf das Datengeheimnis oder Vertrag zur Auftragsdatenverarbeitung?

Eine bloße Verpflichtung auf das Datengeheimnis mit der Aussage, dass es

den bei der Datenverarbeitung beschäftigten Personen untersagt ist, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (vgl. § 5 BDSG)

soll häufig signalisieren, dass geltendes Datenschutzrecht beachtet und eingehalten wird. Diese Vereinbarung allein genügt jedoch in vielen Fällen nicht, sie hat für den Unterzeichner vor allem konditionierenden Charakter.

Unterscheidungskriterium für eine umfassende Sicherung der Beachtung datenschutzrechtlicher Vorgaben ist, ob eine personell-organisatorischen Einheit zwischen Beauftragten und dem beauftragenden Unternehmen besteht. Diese Einheit ist regelmäßig dann gegeben, wenn ein Unternehmen zur Unterstützung seines Teams oder zur Erledigung bestimmter Projekt freie Mitarbeiter oder sonstige Angestellte beschäftigt. Zwar sind diese Mitarbeiter strenggenommen wie beauftragte Dritte „externe Unterstützer“, die nach Weisungen des Unternehmens Aufgaben erledigen, dennoch werden sie der Betriebsorganisation des Unternehmens zuzuordnen und voll in die Unternehmensstruktur integriert. In derartigen Fällen genügt es, einen entsprechenden kurzen Passus zum Datengeheimnis in den Freelancer-Vertrag aufzunehmen.

Es bleibt zu bedenken, dass auch externe Dienstleister, mit denen das Unternehmen gegebenenfalls einen Auftragsdatenverarbeitungsvertrag abschließt, Freelancer oder freie Mitarbeiter einbinden können. In diesen Fällen muss die unterstützende Datenverarbeitung durch diese Mitarbeiter nicht über einen weiteren Auftragsdatenverarbeitungsvertrag abgesichert werden. Hat der Auftragnehmer seine externen Mitarbeiter ordnungsgemäß auf das Datengeheimnis verpflichtet, ist weder ein weiterer ADV-Vertrag noch eine Erlaubnis zur Unterbeauftragung des Freelancers als Subunternehmer notwendig.

Nur bei Weisungsbefugnis Auftragsdatenverarbeitung, sonst Funktionsübertragung

Ob ein ADV-Vertrag abzuschließen ist, hängt vor allem vom Vorliegen einer Weisungsgebundenheit ab. Dahinter versteckt sich die Frage, ob der Auftragnehmer vom Auftraggeber zur Erledigung seiner Geschäftszwecke unterstützend in seinem Namen herangezogen wird und insbesondere für die Verwendung personenbezogener Daten nur auf seine Weisungen hin arbeiten darf (Auftragsdatenverarbeitung), oder ob dem Auftragnehmer eine eigene Handhabe und Entscheidungsbefugnis zum Umgang mit den Daten eingeräumt wird (Funktionsübertragung).

Ist Letzteres der Fall, so ist meist nicht von einer Verarbeitung von Auftragsdaten auszugehen. Vielmehr erhält der Dienstleister Daten, die er selbst und eigenständig auch für sich nutzen darf und man spricht von einer „Funktionsübertragung“. Beispielsweise ist dies anzunehmen, wenn Daten zur weiteren Verarbeitung oder Aufbereitung an Dritte gesendet werden („Lettershops“, aber auch beim sogenannten „Adresshandel“), oder bei der Übermittlung von Patientendaten an Spezialkliniken oder Fachärzte im medizinische Umfeld.

Im Übrigen wird im Fall einer Funktionsübertragung die Verantwortlichkeit für die übermittelten Daten an das Unternehmen abgegeben, das die Daten empfängt. Aufgrund dessen kann auf einen Auftragsdatenverarbeitungsvertrag verzichtet werden, der grundsätzlich zur vertraglichen Regelung der sonst bestehenden Verantwortlichkeiten notwendig ist. Allerdings muss auch bei der Funktionsübertragung die zulässige Übermittlung von personenbezogenen Daten abgesichert sein. Dies kann durch die direkte Einwilligung der Personen, deren Daten weitergegeben werden, oder auf Basis der gesetzlichen Erlaubnisregelungen erfolgen.

Sollen Dienstleister beauftragt werden, die nicht in der Europäischen Union (EU) oder dem Europäischem Wirtschaftsraum (EWR) ansässig sind, können faktisch die Voraussetzungen für eine Auftragsdatenverarbeitung vorliegen. Allerdings muss aufgrund der abweichenden Sicherheitsstandards in internationalen Drittländern (außerhalb der EU und des EWR) auf andere Regelungssysteme zurückgegriffen werden.

Aufgrund der Komplexität und Einzelfallabhängigkeit der Auftragsdatenverarbeitung empfiehlt es sich, im Zweifel einen spezialisierten Rechtsanwalt oder Datenschutzbeauftragten hinzuzuziehen. Bei Spirit Legal LLP helfen unter anderem Peter Hense und Katja Rengers, Haftungsfälle durch vorsorgende Regelungen im Datenschutzbereich zu vermeiden und Bußgeldern und Schadensersatzzahlungen vorzubeugen.