Informationen, Wissenswertes und Mustervertrag zum Thema
Auftragsdatenverarbeitung
Wenn ein Unternehmen – z.B. beim Outsourcing – ein anderes Unternehmen damit beauftragt, Daten für sich zu verarbeiten, so handelt es sich dabei – sofern auch personenbezogene Daten verarbeitet werden – datenschutzrechtlich um eine Verarbeitung von Daten im Auftrag oder anders ausgedrückt Auftragsdatenverarbeitung. Auch bei Cloud Computing liegt regelmäßig eine Auftragsdatenverarbeitung vor.
Die Auftragsdatenverarbeitung ist in der Praxis extrem häufig. Genauso gehäuft beobachte ich in meiner anwaltlichen Praxis, dass regelmäßig die rechtlichen Voraussetzungen für eine Auftragsdatenverarbeitung nicht oder nicht vollständig eingehalten werden. Nähere Informationen zur Auftragsdatenverarbeitung und den rechtlichen Voraussetzungen sind in dem kurzen Video dargestellt.
Ich hoffe, das ist ein wenig hilfreich für Sie (das Video ist schon älter, und der Sound nicht optimal).
Auftragsdatenverarbeitung – ein Vertragsmuster
Sie finden hier einen kostenlosen Auftragsdatenverarbeitungsvertrag im Word-Format (.doc) zum Download.
Natürlich können Sie selbst einen Auftragsdatenverarbeitungsvertrag erstellen und so machen, dass er ideal für Sie passt. Oder Sie lassen sich einen Vertrag von einem kompetenten Anwalt erstellen. Und das ist sicher die beste Wahl. Wenn Sie dazu jedoch nicht die Zeit haben oder die Kosten hierfür sparen möchten, dann können Sie zu einem Muster-Auftragsdatenverarbeitungsvertrag greifen.
Es gibt im Internet einige Muster für Auftragsdatenverarbeitungsverträge. Dieser Auftragsdatenverarbeitung war in seinem Ursprung einer der ersten frei erhältlichen Musterverträge, der direkt nach der Novellierung der Anforderungen an die Auftragsdatenverarbeitung 2009 von mir veröffentlicht wurde. Er ist mittlerweile mehrfach überarbeitet worden und berücksichtigt – wie ich hoffe – die aktuelle Rechtsprechung.
Ich bitte um Verständnis dafür, dass es für die Nutzung des Vertrages einige, wenige Regeln gibt:
Nutzungsregeln:
Urheber für das nachfolgende Muster eines Vertrages für eine Auftragsdatenverarbeitung bin ich Rechtsanwalt Stephan Hansen-Oest. Der Vertrag kann kostenlos verwendet werden. Auch Änderungen an dem Vertrag sind erlaubt. Es ist zudem erlaubt, etwaige Hinweise zum Urheber im Vertragsdokument zu entfernen. Nicht erlaubt ist jedoch die gewerbliche Nutzung dergestalt, dass der Vertrag ohne Genehmigung des Urhebers als Vertragsmuster für gewerbliche Zwecke in Online- oder Printmedien vervielfältigt, verbreitet oder öffentlich zugänglich gemacht wird.
Haftungsausschluss:
Der Vertrag muss für die Anwendung im Einzelfall angepasst werden. Das Vertragsmuster stellt lediglich einen Vorschlag für eine vertragliche Regelung dar. Es wird dringend empfohlen, den Vertrag im Einzelfall anwaltlich anpassen und prüfen zu lassen. Dies gilt insbesondere im Hinblick auf die tatsächliche Berücksichtigung aktueller Rechtsprechung im Einzelfall. Es wird keine Haftung für Schäden durch die Verwendung des Vertragsmusters übernommen.
- Und hier ist der Vertrag:
- Jetzt neu: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Muster) – Word-Dokument (.docx)
- Neueste Version des Hybrid-Modells (BDSG+DSGVO): Mustervertrag Auftragsdatenverarbeitung (Version 3.8b) – Word-Dokument (.docx) (Stand: 27.11.2017)
- Ab Version 3.8a sind bereits die Regelungen der DSGVO (und des BDSG) beinhaltet – sog. „Kombilösung“
- Änderungen in der Version 3.5 im Vergleich zu 3.4.: Absatz 3 in Ziff. 11 hinzugefügt. Grund: Eine Aufsichtsbehörde hat angeregt, die Kontrollmaßnahmen nach § 11 Abs. 2 Nr. 4 BDSG besser zu berücksichtigen.
- Änderungen in der Version 3.4 im Vergleich zu 3.3.: Nummerierungsfehler in Ziff. 4 Abs. 12 behoben. Redaktionelle Änderung in Ziff. 3 Abs. 8. Fehler in Ziff. 6 Abs. 4 behoben.
- Änderungen in der Version 3.3 im Vergleich zu 3.2.: Kleine redaktionelle Änderung in Ziff. 4 Abs. 8.
- Änderungen in der Version 3.2. im Vergleich zu 3.1: Wichtige Fehlerkorrektur in Ziff. 6 Abs. 6 („Auftraggeber“ statt „Auftragnehmer“) – Dank an Frau B. aus Dortmund für den Hinweis.
Ich habe mich außerdem dazu entschieden, wieder auf das alte Absatzformat „(1) | (2)“ statt „1.1 | 1.2 etc.“ zu setzen. Hintergrund sind häufige Probleme mit den Absatzformatvorlagen in Word oder anderen Programmen. Die Version sollte so besser verwendet und angepasst werden können.
Redaktionelle Klarstellung in Ziff. 6 Abs. 4, damit deutlicher wird, dass nicht nur eine schriftliche Verpflichtung, sondern ein Auftragsdatenverarbeitungsvertrag mit dem Unterauftragnehmer zu schließen ist.
Die gesonderte schriftliche Bestätigung des Zurückbehaltungsrechts wurde beseitigt und das Zurückbehaltungsrecht direkt in Ziff. 14 integriert. Aus Gründen der Transparenz wurde eine textliche Hervorhebung durch einen Textrahmen und Unterstrich vorgenommen. - Änderungen in der Version 3.1. im Vergleich zu 3.0: Korrektur in Ziff. 6.6 und kleine Fehlerbehebungen redaktioneller Art
- Änderungen in der Version 3.0 im Vergleich zu 2.8.: Neue Nummerierung, diverse Aktualisierung, z.B. im Hinblick auf DIN-Normen bei Aktenvernichtung, kleinere Anpassungen
- Änderungen in der Version 2.8 im Vergleich zu 2.7.: Klarstellung und Korrektur in Ziff. 6 Abs. 6 zu UnterauftragsverhältnissenÄnderungen in der Version 2.7 im Vergleich zu 2.3.: Fehlerbereinigungen und kleine Ergänzungen
- Änderungen in der Version 2.3 im Vergleich zu 2.2.: Fehlerbereinigung in § 4 Abs. 10 und § 11 Abs. 2
- Änderungen in der Version 2.2 im Vergleich zur 2.1: Sprachliche Klarstellung in § 5 Abs. 6. Aufnahme einer Hinweispflicht des Auftragnehmers bei aufsichtsbehördlichen Maßnahmen in § 4 Abs. 7.
- Änderungen in der Version 2.1 im Vergleich zur Version 2.0: Fehlerbereinigungen (Grammatik, Kommata)
Videos zur Auftragsdatenverarbeitung
Ein Kurs zur Auftragsdatenverarbeitung in drei Lektionen. Zum Ansehen und (hoffentlich) Verstehen.
Auftragsdatenverarbeitung – Lektion 1
In diesem Video werden Geschichte, „Wesen“ und der Sinn und Zweck der Verarbeitung von Daten im Auftrag erklärt.
Die Grundzüge der gesetzlichen Regelung des § 11 BDSG und die Anwendung in der Praxis wird erläutert.
Hinweis: Wenn ich dem Video davon spreche, dass Daten frei fließen, dann sollten Sie dabei berücksichtigen, dass schon der bloße Zugriff auf Daten durch einen Dritten (ohne einen „Datenfluss“) eine Übermittlung darstellt bzw. durch eine Auftragsdatenverarbeitung geregelt werden muss.
Auftragsdatenverarbeitung – Lektion 2
Ich habe mich lange davor gesträubt, dieses Video zu veröffentlichen, weil es leider ein sehr schlechte Audioqualität hat. Ich habe das Mikrofon leider ziemlich ungünstig am Shirt befestigt, so dass z.T. mehr Knacken als Inhalt zu hören ist. Eine Neuaufnahme hätte jedoch auch keinen Sinn gemacht, ohne die anderen beiden Lektionen auch wieder aufzunehmen. Denn: alle drei Videos sind „Freestyle“, also ohne Skript entstanden.
In diesem Video geht es um die Anforderungen, die Sie bei einer Verarbeitung von Daten im Auftrag (Auftragsdatenverarbeitung) vertraglich regeln müssen, um die Vorgaben des § 11 BDSG einzuhalten.
Auftragsdatenverarbeitung – Lektion 3
In dem 3. und letzten Video geht es vor allem um internationale Bezüge bei der Auftragsdatenverarbeitung und was Sie beachten müssen, wenn Sie personenbezogenen Daten im Auftrag in anderen EU-Länderen und Ländern außerhalb der Europäischen Union beachten müssen. Außerdem gibt es ein paar abschließende ergänzende Bemerkungen.
Beachten Sie bitte, dass das Video bereits im Sommer 2011 entstanden ist und die Planungen der Europäischen Union im Hinblick auf die Einführung einer Verordnung zum Datenschutz noch nicht veröffentlicht waren. Offenbar hatte ich damals ein ganz richtiges Gefühl, dass es in Richtung einer Verordnung (statt EU-Richtlinie) gehen könnte.