• Deutsch
  • Aktuelles
  • Auftragsdatenverarbeitung (ADV): Wenn die Datenverarbeitung ausgelagert wird

Auftragsdatenverarbeitung (ADV): Wenn die Datenverarbeitung ausgelagert wird

Datenkabel, die zu einem Notebook führen
Bei externer Datenverarbeitung kann ein ADV-Vertrag notwendig sein | © raumrot.com

Was zum Schutz von Unternehmens- und Kundendaten zu beachten ist

Ob in der Produktion von Waren, bei der Kundenbetreuung oder zur Bereitstellung zusätzlicher Dienstleistungen – viele Unternehmen lagern einzelne Arbeitsschritte oder sogar vollständige Geschäftsbereiche wie Callcenter an Dienstleister aus (Outsourcing) oder bedienen sich externer Hilfskräfte, um ihrem Leistungs- und Warenspektrum gerecht zu werden. In immer mehr Unternehmen machen sich die Beauftragung von Dienstleistern sowie flexible Beschäftigungsmodelle wie eine zeitlich begrenzte freie Mitarbeiterschaft bezahlt.

Gerade bei schwankender Auftragslage oder projektbezogener Arbeit ist die Beschäftigung von Freelancern und Mitarbeitern außerhalb eines festen Angestelltenverhältnisses besonders reizvoll. Allerdings stellt sich bei der Unterstützung durch externe Personen und Gesellschaften die Frage, wie sich die Daten und Geschäftsgeheimnisse des Auftraggebers und seiner Kunden vorschriftsgemäß im Sinne des Bundesdatenschutzgesetzes (BDSG) sichern lassen. Die nur punktuelle Bindung Dritter an das Unternehmen darf jedenfalls nicht dazu führen, dass im Umgang mit personenbezogenen Daten nachlässig umgegangen wird.

Datenweitergabe an Dritte zur Erledigung eigener Geschäftszwecke stellt meist eine Auftragsdatenverarbeitung dar

Wer zur effektiven Organisation von Datenmengen Cloud Computing wie Amazon Web Services, für die Analyse seines Website-Traffics Google Analytics, Piwik, Adobe Analytics oder ähnliche Tracking-Tools oder zur gezielten Bewerbung und Erweiterung seines Kundenstamms eine externe Marketingagentur einsetzt, dem dürfte das Schlagwort „Auftragsdatenverarbeitung“ (kurz: ADV) schon einmal über den Weg gelaufen sein.

Für all diese Formen der „Datenbearbeitung“ werden überwiegend Daten, die im Sinne des deutschen Datenschutzrechts als personenbezogene Daten zu bewerten sind, zu bestimmten Zwecken an Dritte weitergegeben. So erhalten beispielsweise E-Mail-Marketer, Zahlungsdienstleister oder andere Drittdienstleister vom beauftragenden Unternehmen für die auf Weisung zu erbringende Leistung Daten, die Rückschlüsse auf seine Kunden, Lieferanten oder Mitarbeiter zulassen. Zur Sicherung und zum Schutz dieser personenbezogenen Daten muss grundsätzlich ein schriftlicher Vertrag zur Auftragsdatenverarbeitung („ADV-Vertrag“ oder „Data Processor Agreement“) zwischen dem Unternehmen und dem beauftragten Dienstleister abgeschlossen werden. Ein solcher Vertrag muss die folgenden Mindestangaben enthalten:

  • Gegenstand und Dauer des Vertrags
  • Umfang, Art und Zweck der vorgesehenen Datenverarbeitung, Art der Daten und Kreis der davon betroffenen Personen
  • Technische und organisatorische Maßnahmen zu Datenschutz und -sicherheit
  • Vorschriften über die Berichtigung, Löschung und Sperrung von Daten
  • Festlegungen zu gesetzlichen datenschutzrechtlichen Pflichten (insbesondere Kontrollpflichten) des Auftragnehmers
  • Etwaige Befugnis zur Begründung von Unterauftragsverhältnissen
  • Kontrollrechte des Auftraggebers und Duldungs- und Mitwirkungspflichten des Auftragnehmers
  • Vorgehen bei Datenschutzverstößen und Datenpannen durch/bei Auftragnehmer
  • Weisungsbefugnisse des Auftraggebers gegenüber Auftragnehmer
  • Folgen der Auftragsbeendigung: Löschung Daten, Übergabe von Datenträgern

Dieser Katalog aus § 11 BDSG verdeutlicht, dass eine einfache Auftragserteilung, die zum Beispiel lediglich Leistungszeitraum, Leistungsziel und Vergütung klärt, in keinem Fall den gesetzlichen Anforderungen genügt. Vielmehr muss sich der Auftraggeber bereits bei der Auswahl des passenden Dienstleisters sowie bei den vertraglich festzulegenden Regelungen intensiv mit den datenschutzrechtlichen Anforderungen sowie den diesbezüglichen Gegebenheiten im eigenen Unternehmen auseinandersetzen.

Wer hier nachlässig arbeitet, riskiert, dass im Falle eines Datenlecks („Data Breach“) beim Dienstleister ein hohes Bußgeld für den Auftraggeber fällig wird. Verstöße gegen § 11 BDSG sind Ordnungswidrigkeiten nach § 43 Abs. 1 Nr. 2b BDSG, der Bußgeldrahmen des § 43 Abs. 3 BDSG ist individuell und soll den wirtschaftlichen Vorteil beim Auftraggeber abschöpfen. Berücksichtigt man dies, kann aus einer günstigen, aber nachlässig durchgeführten Beauftragung Dritter plötzlich wegen Datenschutzverstößen ein erhebliches Minusgeschäft resultieren. Vor dem Hintergrund, dass die vertragliche Absicherung der Auftragsdatenverarbeitung nach § 11 BDSG kein allzu kompliziertes Unterfangen ist, wäre das Eingehen eines solchen Risikos völlig unnötig.

Auch wenn spezialisierte Rechtsanwälte Unternehmen in der Vertragsgestaltung und bei datenschutzrechtlichen Bewertung von Beauftragungen Externer effektiv unterstützen können, spart es Geld und Zeit, wenn Entscheidungsträger im Unternehmens wissen, wann eine Vereinbarung zur Auftragsdatenverarbeitung abzuschließen ist und wann zum Beispiel eine bloße Verpflichtung auf das Datengeheimnis nach § 5 BDSG ausreichend ist, um ein adäquates Schutzniveau zu sichern.

Verpflichtung auf das Datengeheimnis oder Vertrag zur Auftragsdatenverarbeitung?

Eine bloße Verpflichtung auf das Datengeheimnis mit der Aussage, dass es

den bei der Datenverarbeitung beschäftigten Personen untersagt ist, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (vgl. § 5 BDSG)

soll häufig signalisieren, dass geltendes Datenschutzrecht beachtet und eingehalten wird. Diese Vereinbarung allein genügt jedoch in vielen Fällen nicht, sie hat für den Unterzeichner vor allem konditionierenden Charakter.

Unterscheidungskriterium für eine umfassende Sicherung der Beachtung datenschutzrechtlicher Vorgaben ist, ob eine personell-organisatorischen Einheit zwischen Beauftragten und dem beauftragenden Unternehmen besteht. Diese Einheit ist regelmäßig dann gegeben, wenn ein Unternehmen zur Unterstützung seines Teams oder zur Erledigung bestimmter Projekt freie Mitarbeiter oder sonstige Angestellte beschäftigt. Zwar sind diese Mitarbeiter strenggenommen wie beauftragte Dritte „externe Unterstützer“, die nach Weisungen des Unternehmens Aufgaben erledigen, dennoch werden sie der Betriebsorganisation des Unternehmens zuzuordnen und voll in die Unternehmensstruktur integriert. In derartigen Fällen genügt es, einen entsprechenden kurzen Passus zum Datengeheimnis in den Freelancer-Vertrag aufzunehmen.

Es bleibt zu bedenken, dass auch externe Dienstleister, mit denen das Unternehmen gegebenenfalls einen Auftragsdatenverarbeitungsvertrag abschließt, Freelancer oder freie Mitarbeiter einbinden können. In diesen Fällen muss die unterstützende Datenverarbeitung durch diese Mitarbeiter nicht über einen weiteren Auftragsdatenverarbeitungsvertrag abgesichert werden. Hat der Auftragnehmer seine externen Mitarbeiter ordnungsgemäß auf das Datengeheimnis verpflichtet, ist weder ein weiterer ADV-Vertrag noch eine Erlaubnis zur Unterbeauftragung des Freelancers als Subunternehmer notwendig.

Nur bei Weisungsbefugnis Auftragsdatenverarbeitung, sonst Funktionsübertragung

Ob ein ADV-Vertrag abzuschließen ist, hängt vor allem vom Vorliegen einer Weisungsgebundenheit ab. Dahinter versteckt sich die Frage, ob der Auftragnehmer vom Auftraggeber zur Erledigung seiner Geschäftszwecke unterstützend in seinem Namen herangezogen wird und insbesondere für die Verwendung personenbezogener Daten nur auf seine Weisungen hin arbeiten darf (Auftragsdatenverarbeitung), oder ob dem Auftragnehmer eine eigene Handhabe und Entscheidungsbefugnis zum Umgang mit den Daten eingeräumt wird (Funktionsübertragung).

Ist Letzteres der Fall, so ist meist nicht von einer Verarbeitung von Auftragsdaten auszugehen. Vielmehr erhält der Dienstleister Daten, die er selbst und eigenständig auch für sich nutzen darf und man spricht von einer „Funktionsübertragung“. Beispielsweise ist dies anzunehmen, wenn Daten zur weiteren Verarbeitung oder Aufbereitung an Dritte gesendet werden („Lettershops“, aber auch beim sogenannten „Adresshandel“), oder bei der Übermittlung von Patientendaten an Spezialkliniken oder Fachärzte im medizinische Umfeld.

Im Übrigen wird im Fall einer Funktionsübertragung die Verantwortlichkeit für die übermittelten Daten an das Unternehmen abgegeben, das die Daten empfängt. Aufgrund dessen kann auf einen Auftragsdatenverarbeitungsvertrag verzichtet werden, der grundsätzlich zur vertraglichen Regelung der sonst bestehenden Verantwortlichkeiten notwendig ist. Allerdings muss auch bei der Funktionsübertragung die zulässige Übermittlung von personenbezogenen Daten abgesichert sein. Dies kann durch die direkte Einwilligung der Personen, deren Daten weitergegeben werden, oder auf Basis der gesetzlichen Erlaubnisregelungen erfolgen.

Sollen Dienstleister beauftragt werden, die nicht in der Europäischen Union (EU) oder dem Europäischem Wirtschaftsraum (EWR) ansässig sind, können faktisch die Voraussetzungen für eine Auftragsdatenverarbeitung vorliegen. Allerdings muss aufgrund der abweichenden Sicherheitsstandards in internationalen Drittländern (außerhalb der EU und des EWR) auf andere Regelungssysteme zurückgegriffen werden.

Aufgrund der Komplexität und Einzelfallabhängigkeit der Auftragsdatenverarbeitung empfiehlt es sich, im Zweifel einen spezialisierten Rechtsanwalt oder Datenschutzbeauftragten hinzuzuziehen. Bei Spirit Legal LLP helfen unter anderem Peter Hense und Katja Rengers, Haftungsfälle durch vorsorgende Regelungen im Datenschutzbereich zu vermeiden und Bußgeldern und Schadensersatzzahlungen vorzubeugen.

Kommentar von Ass. iur. Jasmin Coeln |

Hallo Frau Rengers,
ich habe eine Frage zum Thema Freie Mitarbeiter und Auftragsdatenverarbeitung.
Sowohl aus Ihrem Artikel als auch aus dem Tätigkeitsbericht 2013/2014 des Landesamtes für Datenschutzaufsicht, entnehme ich, dass die datenschutzrechtliche Einordnung von solchen freien Mitarbeitern eines Unternehmens im Wesentlichen davon abhängt, ob der Externe/Freie nach den Vorgaben und unter der Aufsicht der verantwortlichen Stelle, vergleichbar den festangestellten Mitarbeitern (z. B. zur Bewältigung von Arbeitsspitzen), tätig wird, oder ob der Externe/Freie auf weitgehend eigenständiger Basis seine Dienstleistungen für die verantwortliche Stelle erbringt (z. B. beauftragt mit Programmierung und Wartung von spezieller Software). Im letzteren Fall wäre eine vertragliche Beauftragung des Externen nach § 11 BDSG das richtige Mittel nach dem BDSG, im ersteren Fall eine Verpflichtung nach § 5 BDSG auf das Datengeheimnis.
Gilt dies nur im datenschutzrechtlichen Sinne oder auch im arbeitrechtlichem Sinn. Werden die freien Mitarbeiter nicht automatisch zu Scheinselbständigen, wenn sie nach den Vorgaben und unter Aufsicht der verantwortlichen Stelle tätig sind. Ich halte die Grenze für fließend.
Ich freue mich über Ihre Rückmeldung,

Kommentar von Katja Rengers |

Wie mein Artikel bereits darstellte und auch den Tätigkeitsberichten der Landesdatenschutzbehörden zu entnehmen ist, muss in Punkto Freelancer/freie Mitarbeiter zunächst in datenschutzrechtlicher Hinsicht abgewogen werden, inwiefern diese in die eigene Unternehmensstruktur eingeflochten sind.

Die starke Integration eines Freelancers ins eigene Unternehmen spricht für eine Verpflichtung dieser Person auf das Datengeheimnis (Abschluss ADV-Vertrag überwiegend abzulehnen), muss jedoch nicht bedeuten, dass dieser neben dem eigenen Unternehmen seine Arbeitskraft nicht auch noch bei anderen Betrieben anbieten kann. Grundsätzlich ist es möglich, dass der freie Mitarbeiter also auch bei anderen Auftraggebern tätig wird. Zugehörigkeit im datenschutzrechtlichen Sinne hat demnach nicht unweigerlich auch Auswirkungen auf die arbeits-/steuerrechtliche Stellung eines freien Mitarbeiters. Insbesondere dürfte in diesen Fällen eine Scheinselbstständigkeit des freien Mitarbeiters wohl auszuschließen sein.

Kurzum: Es ist strikt zwischen den datenschutzrechtlichen und arbeits-/steuerrechtlichen Belangen zu trennen. Demzufolge ist nach meinem Dafürhalten auch der Schluss unzutreffend, dass der auf das Datengeheimnis verpflichtete (freie) Mitarbeiter aufgrund seiner Einbindung in die Unternehmensstruktur quasi automatisch zu einem Scheinselbstständigen wird.

Einen Kommentar schreiben

Tags

Scam Reiserecht Datenschutzrecht Europarecht Kündigung Presse Vertragsrecht Online Marketing Wettbewerbsverbot Rechtsanwältin Türkisch Zustellbevollmächtigter Panorama Markenrecht Kennzeichnungskraft Leipzig Anmeldung Beweislast ISPs USA Verbandsklage Kennzeichnung Unionsmarke 3 UWG 2014 § 15 MarkenG Bewertung Sterne BDSG Jugendschutzfilter Recap Diskriminierung Onlinevertrieb Meinungsfreiheit SEA Werktitel ITB Stellenausschreibung Gepäck Google AdWords Amazon Unterscheidungskraft Kleinanlegerschutz Booking.com Wettbewerbsrecht Jahresrückblick Dokumentationspflicht Störerhaftung EuGH Lebensmittel Suchmaschinen Apps brexit jahresabschluss wallart fristen Datenschutz Crowdfunding Urheberrecht OTMR Textilien Mindestlohn Irreführung Geschäftsführer Lizenzrecht Neujahr Autocomplete Boehmermann Website Urteil Adwords Schadensfall handel Suchalgorithmus FTC WLAN Bildrechte CRM Marketing Kritik Finanzaufsicht Gesundheit Heilkunde Ratenparität EU-Textilkennzeichnungsverordnung Google Tipppfehlerdomain kommunen Wettbewerbsbeschränkung Haftungsrecht News Expedia.com Wettbewerb Custom Audiences Prozessrecht Fotografen Abwerbeverbot Einwilligung Marke Dynamic Keyword Insertion § 5 MarkenG IT-Sicherheit Suchmaschinenbetreiber Niederlassungsfreiheit Buchungsportal Asien Spitzenstellungsbehauptung Verlängerung Osteopathie Phishing Keyword-Advertising Panoramafreiheit Hotel 5 UWG HSMA Hotelkonzept Beacons Schutzbrief data Presserecht Geschmacksmuster § 4 UWG Reisen Bafin Infosec Kundenbewertungen Versicherungsrecht Meinung Conversion §75f HGB Privacy § 50 MarkenG Linkhaftung Selbstverständlichkeiten Annual Return LinkedIn Duldungsvollmacht AstraDirekt Berlin LMIV Gäste recht am eigenen bild Handelsregister Referendar Art. 13 GMV markenanmeldung ADV vertrag Persönlichkeitsrecht Datenschutzerklärung Abmahnung Unternehmensgründung Löschung Schadenersatz Informationsfreiheit E-Mail E-Commerce Arbeitsrecht AGB Reise Vergütung Blog München Exklusivitätsklausel Urteile Weihnachten handelsrecht Distribution wetteronline.de Großbritannien § 24 MarkenG Bundeskartellamt § 8 MarkenG Newsletter LG Hamburg Impressum Creative Commons Internet of Things neu Rechtsprechung Filesharing Hausrecht Kunsturhebergesetz Ruby on Rails Impressumspflicht Bundesmeldegesetz Social Networks Barcamp urheberrechtsschutz gezielte Behinderung Opentable Freelancer besondere Darstellung Corporate Housekeeping Technologie Ofcom Datengeheimnis Gesetz Resort Handynummer

Die Rechtsanwaltssozietät Spirit Legal LLP berät in- und ausländische Unternehmen mit internationaler Ausrichtung. Unser fachlicher Beratungsschwerpunkt liegt in den Bereichen E-Commerce, Gesellschafts-, Wettbewerbs-, Marken-, IT- und Datenschutzrecht. Dank unserer Branchenerfahrung sind wir in rechtlichen Fragen der spezialisierte Ansprechpartner für Start-ups, Reiseunternehmen und die Hotellerie.

© Spirit Legal LLP 2013 - 2016, alle Rechte vorbehalten




Spirit Legal LLP hat 4.77 von 5 Sterne | 42 Bewertungen auf ProvenExpert.com