Kaum ein Unternehmen bearbeitet Personendaten nur mit eigenen Mitteln. Cloud-Speicher, CRM, Lohnbuchhaltung, Newsletter-Versand und IT-Support laufen über Dienstleister. Das Datenschutzrecht nennt diese Konstellation Auftragsbearbeitung, die DSGVO Auftragsverarbeitung.
Die Schweizer Regel
Nach Art. 9 DSG darf der Verantwortliche die Bearbeitung durch Vertrag oder Gesetz einem Auftragsbearbeiter übertragen, wenn dieser die Daten nur so bearbeitet, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht. Der Verantwortliche muss sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Weitere Unterauftragsbearbeiter darf dieser nur mit vorgängiger Genehmigung des Verantwortlichen beiziehen.
Die Regel der DSGVO
Art. 28 DSGVO verlangt einen Vertrag mit festgelegtem Mindestinhalt: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenkategorien und betroffene Personen, Weisungsgebundenheit, Vertraulichkeit, technische und organisatorische Massnahmen, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe nach Vertragsende und Kontrollrechte.
Abgrenzung
Nicht jede Zusammenarbeit ist Auftragsbearbeitung. Wer Daten für eigene Zwecke bearbeitet, etwa eine Bank, eine Anwältin oder ein Steuerberater im Rahmen eigener Berufspflichten, ist meist selbst Verantwortlicher. Die Einordnung entscheidet, welcher Vertrag nötig ist und wer welche Pflichten trägt.
Praxis
Ein vollständiges Verzeichnis der Auftragsbearbeiter gehört zum Bearbeitungsverzeichnis. Bei Dienstleistern im Ausland kommt die Frage der Bekanntgabe ins Ausland hinzu, bei US-Anbietern zusätzlich der CLOUD Act. Die Vertragsprüfung beschreibt unsere Checkliste zum Auftragsverarbeitungsvertrag.