Informationen, Wissenswertes und Mustervertrag zum Thema

Auftragsdatenverarbeitung

Die Verarbeitung von Daten im Auftrag ist in nahezu jedem Unternehmen die Regel. In nahezu jedem Unternehmen kommt eine Auftragsdatenverarbeitung zum Einsatz. Sei es durch die Nutzung eines externen Rechenzentrums oder die Wartung von IT-Systemen durch technische Dienstleister…immer müssen dann die Voraussetzungen des § 11 BDSG eingehalten werde. Wie Sie das umsetzen können, erfahren Sie in den nachfolgenden Videos. Und vor allem gibt es hier einen kostenlosen Mustervertrag Auftragsdatenverarbeitung, den Sie für die Umsetzung der gesetzlichen Regelungen nutzen können.

Wenn ein Unternehmen – z.B. beim Outsourcing – ein anderes Unternehmen damit beauftragt, Daten für sich zu verarbeiten, so handelt es sich dabei – sofern auch personenbezogene Daten verarbeitet werden – datenschutzrechtlich um eine Verarbeitung von Daten im Auftrag oder anders ausgedrückt Auftragsdatenverarbeitung. Auch bei Cloud Computing liegt regelmäßig eine Auftragsdatenverarbeitung vor.

Die Auftragsdatenverarbeitung ist in der Praxis extrem häufig. Genauso gehäuft beobachte ich in meiner anwaltlichen Praxis, dass regelmäßig die rechtlichen Voraussetzungen für eine Auftragsdatenverarbeitung nicht oder nicht vollständig eingehalten werden. Nähere Informationen zur Auftragsdatenverarbeitung und den rechtlichen Voraussetzungen sind in dem kurzen Video dargestellt.
Ich hoffe, das ist ein wenig hilfreich für Sie (das Video ist schon älter, und der Sound nicht optimal).

Auftragsdatenverarbeitung – ein Vertragsmuster

Sie finden hier einen kostenlosen Auftragsdatenverarbeitungsvertrag im Word-Format (.doc) zum Download.
Natürlich können Sie selbst einen Auftragsdatenverarbeitungsvertrag erstellen und so machen, dass er ideal für Sie passt. Oder Sie lassen sich einen Vertrag von einem kompetenten Anwalt erstellen. Und das ist sicher die beste Wahl. Wenn Sie dazu jedoch nicht die Zeit haben oder die Kosten hierfür sparen möchten, dann können Sie zu einem Muster-Auftragsdatenverarbeitungsvertrag greifen.

Es gibt im Internet einige Muster für Auftragsdatenverarbeitungsverträge. Dieser Auftragsdatenverarbeitung war in seinem Ursprung einer der ersten frei erhältlichen Musterverträge, der direkt nach der Novellierung der Anforderungen an die Auftragsdatenverarbeitung 2009 von mir veröffentlicht wurde. Er ist mittlerweile mehrfach überarbeitet worden und berücksichtigt – wie ich hoffe – die aktuelle Rechtsprechung.

Ich bitte um Verständnis dafür, dass es für die Nutzung des Vertrages einige, wenige Regeln gibt:

Nutzungsregeln:
Urheber für das nachfolgende Muster eines Vertrages für eine Auftragsdatenverarbeitung bin ich Rechtsanwalt Stephan Hansen-Oest. Der Vertrag kann kostenlos verwendet werden. Auch Änderungen an dem Vertrag sind erlaubt. Es ist zudem erlaubt, etwaige Hinweise zum Urheber im Vertragsdokument zu entfernen. Nicht erlaubt ist jedoch die gewerbliche Nutzung dergestalt, dass der Vertrag ohne Genehmigung des Urhebers als Vertragsmuster für gewerbliche Zwecke in Online- oder Printmedien vervielfältigt, verbreitet oder öffentlich zugänglich gemacht wird.

Kurzfassung der Nutzungsregeln: Der Vertrag kann gerne in der Praxis von Unternehmen oder auch Anwälten genutzt und verändert werden. Ich möchte jedoch nicht, dass der Vertrag ohne meine Zustimmung auf anderen Internetseiten als Vertragsmuster zum Download angeboten wird oder sich irgendwann in einem Vertragsmusterbuch wiederfindet.

Haftungsausschluss:

Der Vertrag muss für die Anwendung im Einzelfall angepasst werden. Das Vertragsmuster stellt lediglich einen Vorschlag für eine vertragliche Regelung dar. Es wird dringend empfohlen, den Vertrag im Einzelfall anwaltlich anpassen und prüfen zu lassen. Dies gilt insbesondere im Hinblick auf die tatsächliche Berücksichtigung aktueller Rechtsprechung im Einzelfall. Es wird keine Haftung für Schäden durch die Verwendung des Vertragsmusters übernommen.

Und hier ist der Vertrag:
Neueste Version: Mustervertrag Auftragsdatenverarbeitung (Version 3.5) – Word-Dokument (.docx) (Stand: 20.07.2016)
- Änderungen in der Version 3.5 im Vergleich zu 3.4.: Absatz 3 in Ziff. 11 hinzugefügt. Grund: Eine Aufsichtsbehörde hat angeregt, die Kontrollmaßnahmen nach § 11 Abs. 2 Nr. 4 BDSG besser zu berücksichtigen.
- Änderungen in der Version 3.4 im Vergleich zu 3.3.: Nummerierungsfehler in Ziff. 4 Abs. 12 behoben. Redaktionelle Änderung in Ziff. 3 Abs. 8. Fehler in Ziff. 6 Abs. 4 behoben.
- Änderungen in der Version 3.3 im Vergleich zu 3.2.: Kleine redaktionelle Änderung in Ziff. 4 Abs. 8.
- Änderungen in der Version 3.2. im Vergleich zu 3.1: Wichtige Fehlerkorrektur in Ziff. 6 Abs. 6 („Auftraggeber“ statt „Auftragnehmer“) – Dank an Frau B. aus Dortmund für den Hinweis.
  Ich habe mich außerdem dazu entschieden, wieder auf das alte Absatzformat „(1) | (2)“ statt „1.1 | 1.2 etc.“ zu setzen. Hintergrund sind häufige Probleme mit den Absatzformatvorlagen in Word oder anderen Programmen. Die Version sollte so besser verwendet und angepasst werden können.
  Redaktionelle Klarstellung in Ziff. 6 Abs. 4, damit deutlicher wird, dass nicht nur eine schriftliche Verpflichtung, sondern ein Auftragsdatenverarbeitungsvertrag mit dem Unterauftragnehmer zu schließen ist.
  Die gesonderte schriftliche Bestätigung des Zurückbehaltungsrechts wurde beseitigt und das Zurückbehaltungsrecht direkt in Ziff. 14 integriert. Aus Gründen der Transparenz wurde eine textliche Hervorhebung durch einen Textrahmen und Unterstrich vorgenommen.
- Änderungen in der Version 3.1. im Vergleich zu 3.0: Korrektur in Ziff. 6.6 und kleine Fehlerbehebungen redaktioneller Art
- Änderungen in der Version 3.0 im Vergleich zu 2.8.: Neue Nummerierung, diverse Aktualisierung, z.B. im Hinblick auf DIN-Normen bei Aktenvernichtung, kleinere Anpassungen
- Änderungen in der Version 2.8 im Vergleich zu 2.7.: Klarstellung und Korrektur in Ziff. 6 Abs. 6 zu UnterauftragsverhältnissenÄnderungen in der Version 2.7 im Vergleich zu 2.3.: Fehlerbereinigungen und kleine Ergänzungen
- Änderungen in der Version 2.3 im Vergleich zu 2.2.: Fehlerbereinigung in § 4 Abs. 10 und § 11 Abs. 2
- Änderungen in der Version 2.2 im Vergleich zur 2.1: Sprachliche Klarstellung in § 5 Abs. 6. Aufnahme einer Hinweispflicht des Auftragnehmers bei aufsichtsbehördlichen Maßnahmen in § 4 Abs. 7.
- Änderungen in der Version 2.1 im Vergleich zur Version 2.0: Fehlerbereinigungen (Grammatik, Kommata)

Tipp: Wenn Sie „nur“ einen Auftragsdatenverarbeitungsvertrag für die Wartung und Pflege von IT-Systemen benötigen, dann schauen Sie sich doch meine Sonderseite zum Datenschutz bei der Wartung & Pflege von IT-Systemen an.

Videos zur Auftragsdatenverarbeitung

Ein Kurs zur Auftragsdatenverarbeitung in drei Lektionen. Zum Ansehen und (hoffentlich) Verstehen.

Auftragsdatenverarbeitung – Lektion 1

In diesem Video werden Geschichte, „Wesen“ und der Sinn und Zweck der Verarbeitung von Daten im Auftrag erklärt.
Die Grundzüge der gesetzlichen Regelung des § 11 BDSG und die Anwendung in der Praxis wird erläutert.
Hinweis: Wenn ich dem Video davon spreche, dass Daten frei fließen, dann sollten Sie dabei berücksichtigen, dass schon der bloße Zugriff auf Daten durch einen Dritten (ohne einen „Datenfluss“) eine Übermittlung darstellt bzw. durch eine Auftragsdatenverarbeitung geregelt werden muss.

Auftragsdatenverarbeitung – Lektion 2

Ich habe mich lange davor gesträubt, dieses Video zu veröffentlichen, weil es leider ein sehr schlechte Audioqualität hat. Ich habe das Mikrofon leider ziemlich ungünstig am Shirt befestigt, so dass z.T. mehr Knacken als Inhalt zu hören ist. Eine Neuaufnahme hätte jedoch auch keinen Sinn gemacht, ohne die anderen beiden Lektionen auch wieder aufzunehmen. Denn: alle drei Videos sind „Freestyle“, also ohne Skript entstanden.

In diesem Video geht es um die Anforderungen, die Sie bei einer Verarbeitung von Daten im Auftrag (Auftragsdatenverarbeitung) vertraglich regeln müssen, um die Vorgaben des § 11 BDSG einzuhalten.

Auftragsdatenverarbeitung – Lektion 3

In dem 3. und letzten Video geht es vor allem um internationale Bezüge bei der Auftragsdatenverarbeitung und was Sie beachten müssen, wenn Sie personenbezogenen Daten im Auftrag in anderen EU-Länderen und Ländern außerhalb der Europäischen Union beachten müssen. Außerdem gibt es ein paar abschließende ergänzende Bemerkungen.

Beachten Sie bitte, dass das Video bereits im Sommer 2011 entstanden ist und die Planungen der Europäischen Union im Hinblick auf die Einführung einer Verordnung zum Datenschutz noch nicht veröffentlicht waren. Offenbar hatte ich damals ein ganz richtiges Gefühl, dass es in Richtung einer Verordnung (statt EU-Richtlinie) gehen könnte.