.svg)
Wen betrifft die Auftragsverarbeitungsvereinbarung?
Die Definition des Auftragsverarbeiters wird in Art. 4 Nr. 8 DSGVO definiert: Dabei ist der "Auftragsverarbeiter" eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Das Thema Auftragsverarbeitung betrifft gemäß diese Definition eine große Menge an Unternehmen, aber auch Privatpersonen, die personenbezogene Daten im Auftrag verarbeiten. Insbesondere IT-Dienstleister sind von der Regelung betroffen, da die Verarbeitung von Daten zum Kernkerngeschäft der Elektronischen Datenverarbeitung, sprich EDV gehört.
Kommt der Auftragsverarbeiter seinen Pflichten gemäß DSGVO nicht nach, so wird er im Schlechtesten Fall als Verantwortlicher gemäß Art. 28 Abs. 10 angesehen. Das betrifft auch den Abschluss eines gültigen Auftragsverarbeitungsvertrag, da die Verarbeitung von personenbezogenen Daten durch den Auftragsverarbeiter nur durch dokumentierte Weisung durch den Verantwortlichen geschehen darf.
Was muss der Auftragsverarbeitungsvertrag enthalten?
Gemäß Art. 28 Abs. 3 muss die Verarbeutng durch einen Auftragsverarbeiter auf der Grundlage eines Vertrages mit dem Verantwortlichen geschehen. In dieser Vereinbarung müssen genaue Angaben zu folgenden Punkten enthalten sein:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten
- Kategorien betroffener Personen
- Pflichten und Rechte des Verantwortlichen
Art. 28 Abs. 3 sieht zudem vor, dass der AVV auch die unter Art. 32 DSGVO Sicherheit der Verarbeitung genannten Technischen und Organisatorischen Maßnahmen (TOM) des Auftragnehmers enthalten.
Sollten sich der Auftragsverarbeiter weitere Subunternehmen in der Erfüllung seines Auftrages bedienen, so müssen die Technisch Organisatorischen Maßnahmen dieser beauftragten Subunternehmen in die eigenen TOMs eingebunden werden. Zudem müssen AVV mit den Subunternehmern geschlossen werden.
Die Form des Vertragsschlusses
Art. 28 Abs. 9 DSGVO sieht vor, dass der AVV schriftlich abzufassen ist, was auch in einem elektronischen Format erfolgen kann. Damit ist der klassische Weg der Schriftform, also eine gedruckte Version des Vertrags mit den Unterschriften der Vertragsparteien, die über den Postweg eingeholt werden.
Das genannte elektronische Format hingegen ist dabei nicht im Sinne des § 126a BGB “elektronischen Form“ zu verstehen, sondern vielmehr als ein AVV, der in einem Datei-Format abgebildet wird. Dies entspräche der Textform im Sinne des § 126b BGB.
Geht man von einer Anwendung der Textform im Sinne des § 126b BGB aus, so muss die Vereinbarung, in der die Person des Erklärenden genannt ist, auf einem dauerhaften Datenträger abgegeben werden. Als dauerhafter Datenträger wird dabei jedes Medium bezeichnet, das es dem Empfänger ermöglicht, eine auf dem Datenträger befindliche Erklärung aufzubewahren oder zu speichern, und geeignet ist, die Erklärung unverändert wiederzugeben.
Die Übersendung der AV-Vereinbarung als PDF-Datei ist grundsätzlich damit auch ohne Eintragungen von individuellen Kundendaten per E-Mail möglich. Es genügt aber nicht, wenn der AVV nur auf der Website abrufbar ist, da diese nicht geeignet ist, die Erklärung unverändert wiederzugeben. Wichtig ist allerdings, dass aus dem übersendeten Dokument der Name des Erklärenden hevorgeht, damit die Textformerfordernis erfüllt ist.
Die Erklärung, dass der Kunde mit der AVV einverstanden ist, kann auch elektronisch erfolgen. Hier gelten im Grunde keine Besonderheiten. Möglich sind unter anderem das Anklicken einer Checkbox, die Zustimmungserklärung per E-Mail oder auf andere unmissverständliche Weise. Wichtig ist nur, dass die Zustimmung ausreichend dokumentiert wird.
AVV als AGB-Anhang
AVV können räumlich gesehen, als Anhang der AGB hinzugefügt werden, allerdings handelt es sich bei der AVV um eine separate Vereinbarung, zu der er es eine ausdrückliche Zustimmung durch den Kunden bedarf. Zum liegt die Vermutung nahe, dass gemäß § 305c Überraschende und mehrdeutige Klauseln, Klauseln zur Regelung des Auftragsverarbeitungsverhätnisses nicht Bestandteil der AGB werden. Aufgrund der Formerfordernis bietet es sich zudem an, den AVV als separates PDF-Dokument zum Download anzubieten.
Die Zustimmungserklärung kann auch wie oben beschrieben elektronisch eingeholt werden.
AVV-Pflicht
Die DSGVO ist in der Notwendigkeit zur Vereinbarung der Datenverarbeitung eindeutig. Nur wer einen AVV abschließt, kann Daten für einen Verantwortlichen verarbeiten. Umgekehrt heißt, das wer Daten verarbeiten lässt benötig auch einen AVV. Die Pflicht zum Abschluss eines AVV trifft somit beide Parteien, Verantwortlichen und Auftragsverarbeiter.
Eine Ausnahme sieht die DSGVO hier allerdings nicht vor. Sollte kein AVV vorliegen, dann sollte die Beedingung der Zusammenarbeit erfolgen, denn andernalls würde Datenverarbeitung unrechtmäßig erfolgen.
