Auftragsverarbeitung - Weisungen müssen dem Datenschutzrecht entsprechen

Unverzüglich informieren!

Grundsätzlich gilt laut Art. 28 Abs. 3 Datenschutzgrundverordnung, dass der Verantwortliche vom Auftragsverarbeiter unverzüglich in Kenntnis zu setzen ist, wenn der Auftragsverarbeiter meint, eine Anweisung entspreche nicht den Vorgaben der Datenschutzgrundverordnung oder anderen datenschutzrechtlichen Bestimmungen der EU oder ihrer Mitgliedstaaten.

Mögliche Konflikte

Auftragsverarbeiter sind dazu verpflichtet, die Weisungen zu befolgen, die sie von Verantwortlichen erhalten. Sie sind aber auch ganz allgemein verpflichtet, die Gesetze zu befolgen. Verstößt eine Anweisung nun aber gegen das geltende Datenschutzrecht, scheint ein Konflikt zwischen diesen Pflichten zu entstehen.

Überprüfung durch den Verantwortlichen

Hat der Verantwortliche die Information erhalten, dass eine von ihm erteilte Weisung eventuell gegen die Vorgaben des Datenschutzes verstößt, ist es seine Pflicht, dies zu überprüfen. Er muss feststellen, ob seine Anweisung wirklich gegen die gesetzlichen Vorgaben des Datenschutzes verstößt.

Mangelnde Reaktion des Verantwortlichen bei rechtswidriger Weisung

Vom Europäischen Datenschutzausschuss wird den Parteien empfohlen, im Auftragsverarbeitungsvertrag auch festzulegen, welche Folgen es hat, wenn ein Auftragsverarbeiter einem Verantwortlichen eine Mitteilung über eine nicht datenschutzkonforme Weisung macht, der Verantwortliche dann aber untätig bleibt. So könnte beispielsweise eine Klausel Vertragsbestandteil werden, die festlegt, dass das Vertragsverhältnis endet, falls der Verantwortliche auf einer Weisung besteht, die rechtswidrig ist. Denkbar ist auch eine vertragliche Bestimmung, die es dem Auftragsverarbeiter möglich macht, eine rechtswidrige Anweisung nicht auszuführen, bevor der Verantwortliche diese zurücknimmt, anpasst oder auch bestätigt.

Auftragsverarbeiter bestimmt Mittel und Zwecke

Bestimmt der Auftragsverarbeiter die Mittel und die Zwecke der Verarbeitung, verstößt er damit gegen die Datenschutzgrundverordnung. Das hat Folgen: Er gilt damit laut Art. 28 Abs. 10 Datenschutzgrundverordnung als der Verantwortliche für diese Verarbeitung.

Sie möchten mehr zu Weisungen an Auftragsverarbeiter erfahren?

Dann lassen Sie uns miteinander sprechen, damit wir Ihnen für Ihren besonderen Fall die nötigen Informationen und Konzepte bereitstellen können. Sie erreichen uns telefonisch unter 09122 6937302 oder ganz einfach mit Ihrer Nachricht!

Ihr Team von Datenschutz Prinz

Mehr zum Thema Auftragsverarbeitung:

• Zusammenarbeit mit Unterauftragsverarbeitern
• Von der Vertraulichkeit bis zu organisatorischen und technischen Sicherheitsmaßnahmen
• Beantwortung von Anträgen
• Auftragsverarbeiter unterstützt Verantwortlichen bei der Erfüllung seiner Pflichten
• Personenbezogene Daten auch nach Auftragsverarbeitung schützen