Auftragsverarbeitung - Unterauftragsverarbeiter

Kette der Verarbeiter ist oft komplex

Es kommt regelmäßig vor, dass mehrere – oft auch viele Akteure – an Datenverarbeitungstätigkeiten beteiligt sind. Die Unterauftragsvergaben werden dadurch komplexer. Dem begegnet die Datenschutzgrundverordnung mit einer Reihe spezieller Pflichten, die einsetzen, sobald ein Auftragsverarbeiter oder ein Unterauftragsverarbeiter noch einen zusätzlichen Akteur in die Kette der Verarbeiter einbindet, um ihn mit Arbeiten zu beauftragen, in deren Kontext personenbezogene Daten verarbeitet werden. Dabei muss immer auch die Frage beantwortet werden, ob der neue Anbieter von Diensten tatsächlich Unterauftragsverarbeiter ist. Die Beantwortung sollte entsprechend den Regelungen zur Rolle eines Auftragsverarbeiters erfolgen.

Einbinden von Unterauftragsverarbeitern genehmigen

Auch wenn die Kette der Verarbeiter sehr lang werden kann, bleibt der Verantwortliche seiner Rolle und ihrer zentralen Bedeutung in Bezug auf die Entscheidung über die Mittel und die Zwecke der Verarbeitung weiterhin verpflichtet. Art. 28 Abs. 2 Datenschutzgrundverordnung bestimmt, dass Auftragsverarbeiter keine zusätzlichen Auftragsverarbeiter einbinden, ohne zuvor vom Verantwortlichen die Genehmigung dafür erhalten zu haben. Die Genehmigung muss schriftlich erfolgen, wobei auch die elektronische Form zu akzeptieren ist.

Bei allgemeiner Genehmigung: Verantwortlichen informieren

Liegt jedoch eine schriftliche Genehmigung allgemeiner Art vor, ist der Auftragsverarbeiter verpflichtet, den Verantwortlichen zu informieren, wenn Änderungen im Hinblick auf die Ersetzung oder Hinzuziehung weiterer Auftragsverarbeiter geplant sind. So kann der Verantwortliche gegen Änderungen einschreiten, indem er Einspruch erhebt.

Schriftliche Genehmigung einholen

Der Auftragsverarbeiter muss auf alle Fälle vom Verantwortlichen eine Genehmigung in Schriftform einholen – und zwar bevor der Unterauftragsverarbeiter die Verarbeitungstätigkeit der personenbezogenen Daten aufnimmt.

Damit der Verantwortliche eine Unterauftragsvergabe prüfen und gegebenenfalls genehmigen kann, hat der Auftragsverarbeiter ihm Informationen über mehrere mögliche Unterauftragsverarbeiter zu präsentieren, die folgende Daten umfassen: geplante Aufgabe, Nachweis durchgeführter Sicherheitsmaßnahmen, Standort

Gesonderte Genehmigung

Die schriftliche Genehmigung kann sich auf einen bestimmten Unterauftragsverarbeiter beziehen und für eine klar abgegrenzte Verarbeitung erteilt werden, die zu einem definierten Zeitpunkt stattfindet. Sie kann aber auch allgemeiner Art sein. Im Auftragsverarbeitungsvertrag – oder in einem sonstigen Rechtsinstrument – sollte dies definiert werden.

Liste zugelassener Unterauftragsverarbeiter

Akzeptiert der Verantwortliche schon bei der Unterzeichnung des Vertrags konkrete Unterauftragsverarbeiter, so ist eine Auflistung dieser akzeptierten Unterauftragsverarbeiter direkt im Vertrag oder in einem Vertragsanhang zu dokumentieren. Entsprechend der Genehmigung durch den Verantwortlichen, sei sie allgemein oder gesondert, sollte diese Liste stets auf aktuellen Stand sein.

Unterauftragsverarbeiter angeben

Wenn der Verantwortliche eine gesonderte Genehmigung erteilen will, dann sollte er auch eine schriftliche Angabe zu den Unterauftragsverarbeitern und zu den Verarbeitungstätigkeiten machen, auf die er Bezug nimmt. Werden im Nachhinein Änderungen vorgenommen, ist bereits vor deren Umsetzung eine erneute Genehmigung durch den Verantwortlichen unverzichtbar. Stellt der Auftragsverarbeiter einen Antrag auf eine gesonderte Genehmigung und wird diesem Antrag innerhalb der vereinbarten beziehungsweise vorgegebenen Frist nicht stattgegeben, dann sollte der Antrag als abgelehnt angesehen werden. Bei seiner Entscheidung über die Genehmigung sollte ein Verantwortlicher seine Verpflichtung berücksichtigen, nur solche Auftragsverarbeiter einzubinden, die Garantien in hinreichendem Umfang gewähren.

Allgemeine Genehmigung

Eine Alternative ist die allgemeine Genehmigung des Verantwortlichen über die Einbindung der Unterauftragsverarbeiter. Es empfiehlt sich, dies im Vertrag zu tun und dabei auch eine Auflistung möglicher Unterauftragsverarbeiter anzufügen. Zudem sollten einige Kriterien angegeben werden, die dem Auftragsverarbeiter Unterstützung bei seiner Entscheidung bieten: Dazu zählen beispielsweise Fachwissen, Zuverlässigkeit und Ressourcen der Unterauftragsverarbeiter sowie Garantien im Bereich der organisatorischen und technischen Maßnahmen. Im Falle einer allgemeinen Genehmigung ist der Auftragsverarbeiter in der Pflicht, den Verantwortlichen immer zu informieren, wenn Unterauftragsverarbeiter ersetzt oder hinzugefügt werden sollen. Der Grund dafür ist, dass der Verantwortliche auf diese Weise die Möglichkeit hat, sein Veto gegen die Ersetzung oder das Hinzufügen eines bestimmten Unterauftragsverarbeiters einzulegen.

Unterschied zwischen gesonderter und allgemeiner Genehmigung

Der hauptsächliche Unterschied zwischen allgemeiner und gesonderter Genehmigung liegt darin, welche Bedeutung es hat, wenn der Verantwortliche schweigt. Im Falle einer Genehmigung allgemeiner Art wird es als Genehmigung interpretiert, wenn der Verantwortliche in einer festgelegten Frist keinen Einspruch erhebt.

Fristen und Kommunikation

Sowohl bei der gesonderten als auch bei der allgemeinen Genehmigung sollten die Parteien die Fristen für die Ablehnung der oder die Zustimmung zu den Unterauftragsverarbeitern enthalten. Auch die Art der Kommunikation zu dieser Thematik sollte – etwa durch entsprechende Musterformulare – im Vertrag festgelegt werden. Die Verarbeitungsart, der Komplexitätsgrad der an Auftragsverarbeiter und Unterauftragsverarbeiter übergebenen Aufgaben, aber auch die Beziehungen der Vertragspartner zueinander sollten bei der Bestimmung des Zeitrahmens berücksichtigt werden. Außerdem sollten im Vertrag in allen Einzelheiten auch die Folgen dokumentiert werden, die es nach sich zieht, wenn der Verantwortliche Einspruch erhebt. Hier kann zum Beispiel an den Zeitrahmen gedacht werden, in dem Auftragsverarbeiter und Verantwortliche über eine eventuelle Beendigung der Verarbeitung entscheiden.

Auf ausreichende Garantien achten

Der Auftragsverarbeiter sollte ausschließlich solche Unterauftragsverarbeiter vorschlagen, die ihm ausreichende Garantien bieten. Und zwar aus folgendem Grund: Obwohl der Verantwortliche ja Kriterien für die Dienstleisterauswahl vorschlägt, haftet der Auftragsverarbeiter weiterhin gegenüber dem Verantwortlichen dafür, dass die Unterauftragsverarbeiter ihre Pflichten ohne Einschränkung erfüllen.

Unterauftragsverarbeiter hat dieselben Pflichten

Beabsichtigt ein Auftragsverarbeiter, einen Unterauftragsverarbeiter zu beschäftigen, der vom Verantwortlichen genehmigt wurde, so muss der Auftragsverarbeiter dennoch mit dem Unterauftragsverarbeiter einen Vertrag abschießen. Dieser Vertrag soll dem Unterauftragsverarbeiter dieselben Pflichten auferlegen, die der Auftragsverarbeiter auch gegenüber dem Verantwortlichen hat. Sofern diese Verpflichtungen entsprechend dem Recht der EU oder von deren Mitgliedstaaten nicht schon durch ein abweichendes Rechtsinstrument geregelt werden. Wichtig ist auch, dass die komplette Kette der Verarbeitungen im Rahmen einer schriftlich getroffenen Vereinbarung definiert wird.

Vertrag mit dem Unterauftragsverarbeiter

Wenn man davon spricht, dass dem Unterauftragsverarbeiter dieselben Pflichten auferlegt werden sollen wie dem Auftragsverarbeiter, so ist dies funktional, aber nicht formal zu interpretieren. Der Vertrag muss daher nicht denselben Wortlaut haben wie der von Auftragsverarbeiter und Verantwortlichem, sondern vielmehr materiell deckungsgleiche Pflichten sicherstellen. Überträgt der Auftragsverarbeiter nur einen Teil der Datenverarbeitung an den Unterauftragsverarbeiter und gelten für diesen Teil nicht alle Pflichten, die der Auftragsverarbeiter gegenüber dem Verantwortlichen hat, so sollten nicht standardmäßig alle Pflichten in den Vertrag mit dem Unterauftragsverarbeiter übernommen werden. Das könnte die Parteien genau wie Dritte verunsichern. Ein Beispiel: Ist vorgesehen, dass der Unterauftragsverarbeiter im Fall einer Datenschutzverletzung laut Datenschutzgrundverordnung diese direkt an den Verantwortlichen meldet, sollte dennoch der Auftragsverarbeiter hiervon in Kenntnis gesetzt werden.

Vereinbarungen mit Unterauftragsverarbeitern

Möchten Sie Verträge mit Unterauftragsverarbeitern gestalten? Oder möchten Sie Ihre Arbeit als Unterauftragsverarbeiter datenschutzrechtlich absichern? Auch in diesen Fällen sind wir an Ihrer Seite! Rufen Sie uns gern unter Telefon 09122 6937302 an oder tippen Sie schnell eine Nachricht an uns. Wir freuen uns, Sie kennenzulernen und zu beraten!

Ihr Team von Datenschutz Prinz

Mehr zum Thema Auftragsverarbeitung:

• Von der Vertraulichkeit bis zu organisatorischen und technischen Sicherheitsmaßnahmen
• Beantwortung von Anträgen
• Auftragsverarbeiter unterstützt Verantwortlichen bei der Erfüllung seiner Pflichten
• Personenbezogene Daten auch nach Auftragsverarbeitung schützen
• Weisungen müssen dem Datenschutzrecht entsprechen