Auftragsverarbeiter informieren Verantwortliche
Im Rahmen der Auftragsverarbeitung personenbezogener Daten haben Auftragsverarbeiter den Verantwortlichen sämtliche nötigen Infos zur Verfügung zu stellen, die diese brauchen, um nachzuweisen, dass sie die in Art. 28 Datenschutzgrundverordnung festgelegten Pflichten eingehalten haben. Zudem ermöglichen die Auftragsverarbeiter den Verantwortlichen Prüfungen und Inspektionen, die entweder vom Verantwortlichen selbst durchgeführt werden oder aber von einem Prüfer, der von ihm beauftragt wurde.
Einzelheiten zum Austausch der Informationen
In der Auftragsverarbeitungsvereinbarung müssen Details dazu festgelegt werden, wie häufig und in welcher Art die Informationen zwischen den Verantwortlichen und den Auftragsverarbeitern ausgetauscht werden müssen. So soll dafür gesorgt werden, dass Verantwortliche auch über die Einzelheiten der Verarbeitung rundum informiert sind, die für den Nachweis, dass sie die in Art. 28 Datenschutzgrundverordnung definierten Pflichten erfüllt haben, von Relevanz sind. Ein Beispiel hierzu: Von Auftragsverarbeitern könnten die entscheidenden Elemente eines Verzeichnisses der Verarbeitungstätigkeiten an die Verantwortlichen übergeben werden. Alle Infos über die Art und Weise, in der die vom Verantwortlichen beauftragte Verarbeitung durch den Auftragsverarbeiter erfolgt, sollte Letzterer bereitstellen. Dazu zählen folgende Fakten:
- Welche Sicherheitsmaßnahmen werden ergriffen?
- Auf welche Weise funktionieren die eingesetzten Systeme?
- Wo werden die Daten gespeichert?
- Wie werden die Aufbewahrungs- und die Speicherpflichten garantiert?
- Welche Personen haben Zugriff auf die Daten?
- Wie werden die Daten übermittelt?
- Werden Unterauftragsverarbeiter eingesetzt?
Überprüfungen und Inspektionen
Der Auftragsverarbeitungsvertrag sollte zudem Details über die Art und Weise enthalten, in der Überprüfungen und Inspektionen durchgeführt werden – entweder vom Verantwortlichen selbst oder von einem Prüfer, den er beauftragt hat. Auch Einzelheiten zur Mitwirkungspflicht bei Überprüfungen und Inspektionen sollten im Vertrag definiert werden. In der Datenschutzgrundverordnung ist beschrieben, dass Überprüfungen und Inspektionen sowohl vom Verantwortlichen als auch von einem durch diesen beauftragten Prüfer durchgeführt werden können. Diese Überprüfungen sollen gewährleisten, dass dem Verantwortlichen sämtliche Infos über die Verarbeitungstätigkeiten, mit denen er den Auftragsverarbeiter betraut hat, zur Verfügung stehen. Außerdem soll der Verantwortliche über die Garantien verfügen können, die der Auftragsverarbeiter übernimmt.
Auftragsverarbeiter darf Prüfer vorschlagen
Auftragsverarbeiter haben das Recht, einen Prüfer vorzuschlagen. Die Entscheidung über die Auswahl soll allerdings dem Verantwortlichen überlassen werden. Übernimmt ein Prüfer, der vom Auftragsverarbeiter vorgeschlagen wurde, die Prüfung, hat der Verantwortliche weiterhin das Recht, Ergebnisse, Methode und Umfang der Prüfung anzufechten. Beide Parteien sollen nach bestem Wissen und Gewissen gemeinsam prüfen, ob Überprüfungen in den Geschäftsräumen des Auftragsverarbeiters durchzuführen sind und – falls dies geschehen soll – auch den Zeitpunkt bestimmen. Außerdem sollen sie zusammen festlegen, auf welche Weise die Überprüfungen oder Inspektionen durchgeführt werden sollen. Möglich sind die Kontrolle vor Ort, aus der Ferne oder andere Möglichkeiten, die nötigen Infos zu beschaffen. Bestehen Bedenken in Bezug auf die Sicherheit, sind diese zu berücksichtigen. Die letzte Entscheidung in diesen Fragen fällt der Verantwortliche.
Prüfung von Unterauftragsverarbeitern
Entsprechend der Prüfungsergebnisse können die Verantwortlichen von den Auftragsverarbeitern verlangen, zusätzliche Maßnahmen einzusetzen, damit Mängel und Lücken, die festgestellt wurden, behoben beziehungsweise geschlossen werden. Weiterhin sollten Verantwortliche und Auftragsverarbeiter besondere Prüfungsverfahren für Unterauftragsverarbeiter definieren.
Kosten von Überprüfungen und Inspektionen
Auch über die Kostenfrage im Kontext von Überprüfungen ist zu entscheiden. Wie werden die Kosten zwischen dem Auftragsverarbeiter und dem Verantwortlichen verteilt? Allerdings fällt diese Frage nicht unter die Datenschutzgrundverordnung, sondern unterliegt lediglich wirtschaftlichen Überlegungen. Nach Art. 28 Abs. 3 Buchstabe h Datenschutzgrundverordnung ist zumindest vorgesehen, dass der Auftragsverarbeiter vertraglich verpflichtet sei, dem Verantwortlichen erstens sämtliche für Inspektionen benötigten Infos zu geben und dass er zweitens in der Pflicht steht, Inspektionen und Überprüfungen zu ermöglichen und zu diesen beizutragen, die von dem Verantwortlichen oder von einem von diesem Beauftragten vollzogen werden.
Wichtig ist, dass die Parteien keinerlei Klauseln in ihre Verträge aufnehmen sollten, nach denen unangemessene oder im Verhältnis zu hohe Gebühren und Kosten die Verantwortlichen oder auch Auftragsverarbeiter von Prüfungen und Inspektionen abschrecken. Solch eine Klausel könnte verhindern, dass die Pflichten und Rechte, die in der Datenschutzgrundverordnung festgelegt wurden, keine praktische Konsequenz hätten, weil niemand sie ausüben würde. Sie würden völlig theoretisch bleiben, obzwar sie ein wesentlicher Bestandteil der Garantien laut Art. 28 Datenschutzgrundverordnung sind.
Wir begleiten Sie bei Überprüfungen
Wenn Sie sich als Verantwortlicher oder Auftragsverarbeiter mit Überprüfungen und Inspektionen auseinanderzusetzen haben, begleiten wir Sie gern in allen Phasen. Rufen Sie uns unter Telefon 09122 6937302 an oder schreiben Sie uns eine Nachricht. Wir freuen uns darauf, mit Ihnen zu arbeiten!
Ihr Team von Datenschutz Prinz
Mehr zum Thema Auftragsverarbeitung:
- Zusammenarbeit mit Unterauftragsverarbeitern
- Von der Vertraulichkeit bis zu organisatorischen und technischen Sicherheitsmaßnahmen
- Beantwortung von Anträgen
- Auftragsverarbeiter unterstützt Verantwortlichen bei der Erfüllung seiner Pflichten
- Personenbezogene Daten auch nach Auftragsverarbeitung schützen