Auftragsverarbeitung: Erweiterung des Gegenstands der Verarbeitung

Im Rahmen der Corona-Virus-Fragen ist diese Frage aufgekommen:

Mit unserem IT-Dienstleister haben wir einen Auftragsverarbeitungsvertrag zu Fernwartung, Nutzereinrichtung, Hardwarebereitstellung usw. geschlossen. Normalerweise erhalten neue Mitarbeiter während des Onboardings die entsprechende Hardware. Neue Mitarbeiter werden in diesen Tagen nicht persönlich in Empfang genommen und sollen daher die Hardware per Post direkt von unserem IT-Dienstleister erhalten. Nun haben wir in der AVV die "persönlichen Kontakt- und Adressdaten" NICHT inkludiert.

Können wir die Datenverarbeitung ausnahmsweise auf Art. 6 Abs. 1 lit. f) DSGVO stützen oder muss zwangsläufig die AVV für die einmalige Datenverarbeitung erweitert werden? Wie können wir in dem Fall vorgehen?

Ein Wechsel auf eine andere Rechtsgrundlage ist zwar nicht unmöglich, hier aber gar nicht erforderlich. Der Auftragsverarbeitungsvertrag wird in der Regel die Möglichkeit bieten, sog. ergänzende Weisungen zu erteilen. Und genau das wäre hier die Lösung.

In der Umsetzung muss natürlich geschaut werden, dass die Regelungen des Auftragsverarbeitungsvertrages insoweit eingehalten werden. So kann z.B. für die ergänzende Weisungen eine bestimmte Form vorgesehen werden. Ich weiß schon, warum ich meinen Mandanten seit Jahren empfehle, hier nur die Textform statt der Schriftform vorzusehen. Denn so kann das Ganze per E-Mail erfolgen.

In der E-Mail würde man dann einfach die erweiterten Leistungen und den Umgang mit den Daten als Weisung aufnehmen. Hier sind keine großen Anforderungen an die Formulierung zu stellen. Es reicht aus, wenn sinngemäß aus der E-Mail hervorgeht, dass der Auftragsverarbeitung den Ablauf nun wie oben beschrieben zu gestalten hat und im Übrigen natürlich die Regelungen des Auftragsverarbeitungsvertrages unberührt bleiben.