Art. 28 DSGVO: Auftragsverarbeitung einfach erklärt

Auftragsverarbeitung

Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet, ohne selbst über Zwecke und Mittel der Verarbeitung zu entscheiden. Der Auftragsverarbeiter ist in diesem Sinn der „verlängerte Arm“ des Verantwortlichen.

Was regelt Art. 28 DSGVO?

Art. 28 der Datenschutz-Grundverordnung hat zehn Absätze. Für die Praxis sind vor allem die Absätze 1 bis 4 und 9 wichtig.

Pflichtinhalte des Vertrags nach Art. 28 Abs. 3

Der Vertrag muss zunächst die Eckdaten der Verarbeitung festlegen: Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Darüber hinaus muss er den Auftragsverarbeiter insbesondere zu Folgendem verpflichten:

Zusätzlich muss der Auftragsverarbeiter den Verantwortlichen unverzüglich informieren, wenn er meint, dass eine Weisung gegen die DSGVO oder anderes Datenschutzrecht verstößt (Art. 28 Abs. 3 Unterabsatz 2).

Verantwortlicher, Auftragsverarbeiter und gemeinsame Verantwortung

Ob Art. 28 überhaupt anwendbar ist, hängt von der Rollenverteilung ab. Die DSGVO kennt drei Konstellationen:

Daneben gibt es Dienstleister, die personenbezogene Daten zwar erhalten, aber als eigenständig Verantwortliche verarbeiten. Ein AVV ist dann nicht erforderlich. Beispiele sind Banken im Zahlungsverkehr, Post- und Kurierdienste, Rechtsanwälte und Steuerberater. Für Steuerberater stellt § 11 Abs. 2 StBerG ausdrücklich klar, dass sie weisungsfrei und als Verantwortliche handeln.

Unterauftragsverarbeiter (Abs. 2 und 4)

Viele Dienstleister nutzen ihrerseits Subdienstleister, etwa ein SaaS-Anbieter ein Rechenzentrum. Art. 28 regelt das in zwei Schritten:

• Genehmigung (Abs. 2): Der Auftragsverarbeiter braucht eine vorherige gesonderte (für einen bestimmten Subdienstleister) oder allgemeine schriftliche Genehmigung des Verantwortlichen. Bei einer allgemeinen Genehmigung muss er über jede beabsichtigte Änderung informieren, und der Verantwortliche kann Einspruch erheben.
• Weitergabe der Pflichten (Abs. 4): Dem Unterauftragsverarbeiter müssen per Vertrag dieselben Datenschutzpflichten auferlegt werden wie dem Auftragsverarbeiter. Kommt der Subdienstleister ihnen nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen.

In der Praxis führt der Auftragsverarbeiter eine Liste seiner Unterauftragsverarbeiter, oft als Anlage zum AVV oder auf einer öffentlichen Webseite, und kündigt Änderungen mit einer Frist an.

Form des Vertrags (Abs. 9)

Nach Art. 28 Abs. 9 DSGVO ist der Vertrag schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. Die „Schriftlichkeit“ ist ein Begriff des Unionsrechts und nicht mit der Schriftform nach § 126 BGB gleichzusetzen. Deutsche Aufsichtsbehörden, etwa das Bayerische Landesamt für Datenschutzaufsicht, halten eine qualifizierte elektronische Signatur deshalb nicht für zwingend. Ein AVV kann also elektronisch geschlossen werden, solange der Vertragstext dauerhaft gespeichert und nachgewiesen werden kann. Wie das in der Praxis aussieht, beschreibt unser Beitrag zu den AVV-Signaturanforderungen.

Standardvertragsklauseln (Abs. 7)

Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 Standardvertragsklauseln für das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO erlassen. Wer sie verwendet, erfüllt die inhaltlichen Anforderungen von Art. 28 Abs. 3 und 4, muss aber die Anhänge (Beschreibung der Verarbeitung, TOMs, Unterauftragsverarbeiter) selbst ausfüllen.

Davon zu unterscheiden sind die Standardvertragsklauseln für Übermittlungen in Drittländer nach dem Durchführungsbeschluss (EU) 2021/914. Sie regeln die Datenübermittlung außerhalb des EWR und ersetzen den AVV nicht automatisch, auch wenn ihr Modul 2 die Anforderungen des Art. 28 mit abdeckt.

Haftung und Bußgelder

• Schadensersatz (Art. 82): Betroffene können materiellen und immateriellen Schaden ersetzt verlangen. Der Auftragsverarbeiter haftet nur, wenn er speziell ihm auferlegte Pflichten verletzt oder gegen rechtmäßige Weisungen des Verantwortlichen gehandelt hat (Art. 82 Abs. 2 Satz 2). Sind beide verantwortlich, haften sie gegenüber der betroffenen Person für den gesamten Schaden (Art. 82 Abs. 4).
• Bußgelder (Art. 83): Verstöße gegen Art. 28 fallen unter Art. 83 Abs. 4 Buchst. a und können mit bis zu 10 Mio. € oder 2 % des gesamten weltweiten Jahresumsatzes des Vorjahres geahndet werden, je nachdem, welcher Betrag höher ist. Ein fehlender AVV kann das Bußgeld also gegen beide Seiten auslösen.
• Rollenwechsel (Art. 28 Abs. 10): Verarbeitet ein Auftragsverarbeiter die Daten für eigene Zwecke, gilt er insoweit selbst als Verantwortlicher, mit allen Pflichten und Haftungsrisiken.

Beispiele: Wann ist ein AVV nötig?

Für die Fälle mit „Ja“ können Sie unsere kostenlose Vorlage für einen Auftragsverarbeitungsvertrag verwenden. Sie folgt dem Aufbau des Art. 28 Abs. 3 und lässt sich direkt elektronisch unterschreiben.

Häufig gestellte Fragen zu Art. 28 DSGVO

• Was besagt Art. 28 DSGVO?

  Art. 28 DSGVO regelt die Auftragsverarbeitung. Lässt ein Verantwortlicher personenbezogene Daten von einem Dienstleister verarbeiten, darf er nur Dienstleister mit hinreichenden Datenschutzgarantien wählen und muss mit ihnen einen Vertrag schließen, der die Mindestinhalte aus Absatz 3 enthält. Außerdem regelt die Vorschrift den Einsatz von Unterauftragsverarbeitern und die Form des Vertrags.

• Wann brauche ich einen Vertrag nach Art. 28 DSGVO?

  Immer dann, wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, ohne eigene Zwecke zu verfolgen. Typische Fälle sind Cloud- und SaaS-Anbieter, Hosting, IT-Support, Newsletter-Versand und externe Lohnabrechnung. Kein AVV ist nötig, wenn der Dienstleister selbst Verantwortlicher ist, etwa ein Steuerberater oder eine Bank.

• Was muss in einem Auftragsverarbeitungsvertrag stehen?

  Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien der Betroffenen sowie die Pflichten und Rechte des Verantwortlichen. Außerdem die acht Pflichten aus Art. 28 Abs. 3 Buchst. a bis h: Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und bei Art. 32 bis 36, Löschung oder Rückgabe nach Vertragsende sowie Nachweis- und Kontrollrechte.

• Muss ein AVV handschriftlich unterschrieben werden?

  Nein. Art. 28 Abs. 9 DSGVO verlangt, dass der Vertrag schriftlich abgefasst wird, und lässt ausdrücklich ein elektronisches Format zu. Nach Auffassung deutscher Aufsichtsbehörden ist auch keine qualifizierte elektronische Signatur zwingend. Wichtig ist, dass der Vertragsinhalt dauerhaft dokumentiert und der Abschluss nachweisbar ist.

• Was ist der Unterschied zwischen Art. 26 und Art. 28 DSGVO?

  Art. 26 regelt die gemeinsame Verantwortlichkeit: Zwei oder mehr Stellen legen Zwecke und Mittel der Verarbeitung gemeinsam fest und schließen eine Vereinbarung darüber, wer welche Pflicht erfüllt. Art. 28 regelt die Auftragsverarbeitung: Ein Dienstleister verarbeitet Daten nur nach Weisung, ohne eigene Zwecke.

• Welches Bußgeld droht bei einem fehlenden AVV?

  Verstöße gegen Art. 28 DSGVO können nach Art. 83 Abs. 4 mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das Risiko trifft den Verantwortlichen und den Auftragsverarbeiter. Die tatsächliche Höhe richtet sich nach den Umständen des Einzelfalls.

• Darf ein Auftragsverarbeiter Subunternehmer einsetzen?

  Nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen (Art. 28 Abs. 2). Bei einer allgemeinen Genehmigung muss er über geplante Änderungen informieren, damit der Verantwortliche widersprechen kann. Dem Subunternehmer müssen dieselben Datenschutzpflichten auferlegt werden, und der Auftragsverarbeiter haftet für ihn.

• Gibt es offizielle Musterklauseln für einen AVV?

  Ja. Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 Standardvertragsklauseln für die Auftragsverarbeitung nach Art. 28 Abs. 7 DSGVO veröffentlicht. Sie können unverändert verwendet werden, die Anhänge mit der Beschreibung der Verarbeitung und den technischen und organisatorischen Maßnahmen müssen aber individuell ausgefüllt werden.