Geändertes Datenschutzrecht erfordert neue Verträge mit Datenverarbeitern

Datenverarbeitungverträge müssen bestimmte Mindestregelungen beinhalten, so will es das Bundesdatenschutzgesetz. So müssen zum Beispiel Klauseln aufgenommen werden über die Benachrichtigung bei Datenschutzverstößen, Prüfrechte, die Einschaltung von Unterauftragnehmern sowie eine Reihe weiterer Punkte.

Genügen Verträge den Anforderungen nicht, drohen Bußgelder von bis zu € 50.000. Bereits bestehende Vereinbarungen sollten überprüft und Unternehmensrichtlinien erarbeitet werden, die sicherstellen, dass zukünftige Verträge den neuen Regeln entsprechen.

Welche Verträge sind betroffen?

Alle Verträge, bei denen Dritte Daten für Ihr Unternehmen speichern, nutzen oder anderweitig verarbeiten, müssen den neuen Anforderungen genügen, insbesondere, wenn diese nach dem 1. September 2009 geschlossen, erneuert oder angepasst wurden. Diese sogenannten "Auftragsdatenverarbeitungs-Verhältnisse" liegen immer dann vor, wenn ein Dritter für Ihr Unternehmen im Auftrag personenbezogene Daten verarbeitet oder darauf Zugriff hat.

Personenbezogene Daten sind sämtliche Informationen, die einer bestimmten oder bestimmbaren Person zugeordnet werden können, zum Beispiel Lieferadressen oder bisherige Käufe eines Kunden, Kontaktdaten von Geschäftspartnern oder Mitarbeiterdaten wie Name, Stellenbeschreibung, Lebenslauf oder Gehalt.

Die neuen Regeln betreffen auch konzerninterne Sachverhalte, zum Beispiel wenn eine Muttergesellschaft eine zentrale Kundendatenbank oder ein HR-System betreibt, in dem auch Kundendaten oder Mitarbeiterdaten der Tochtergesellschaften gespeichert sind.

Beispiele für möglicherweise betroffene Vertragsverhältnisse sind:

• Verträge über die Auslagerung der Lohnbuchhaltung und Gehaltsabrechnung
• Verträge mit Archivierungs-Dienstleistern
• Verträge mit Call-Centern oder Direktmarketing-Agenturen (Mailings, Newsletter-Versand, Lettershops)
• Verträge mit Unternehmen, die HR-Systeme oder Kundenverwaltungs-Systeme (CRM) anbieten
• Verträge mit externen Prüfern und Wartungsfirmen
• andere Verträge über die zur Verfügungstellung von IT-Ressourcen (z.B. Application Service Providing, Cloud Computing, Software as a Service, Website Hosting, Online Speicherplatz).

Von der Datenverarbeitung im Auftrag sind die Fälle zu unterscheiden, bei denen ein Unternehmen nicht nur die Datenverarbeitung, sondern eine ganze Aufgabe oder Funktion ausgelagert hat, z.B. die Kundenbetreuung. Für diese "Funktionsübertragungen" gelten andere und sogar strengere datenschutzrechtliche Anforderungen. Die Abgrenzung zwischen Auftragsdatenverarbeitung und Funktionsübertragung kann äußert schwierig sein und nur anhand der konkreten Umstände des Einzelfalles erfolgen.

Was verlangt das neue Recht?

Bereits bis zum 31. August 2009 galten für Auftragsdatenverarbeitungs-Verträge bestimmte Mindestanforderungen. Diese wurden konkretisiert und ausgeweitet.

Seit dem 1. September 2009 müssen die Parteien in einem schriftlichen Vertrag insbesondere Folgendes festlegen:

• Umgang, Art und Zweck der Erhebung, Nutzung und Verarbeitung von Daten durch den Auftragnehmer
• den Umfang der Weisungsbefugnisse des Auftraggebers gegenüber dem Auftragnehmer
• die vom Auftragnehmer zu treffenden technischen und organisatorischen Maßnahmen zur Datensicherheit
• die Korrektur, Löschung und Sperrung von Daten durch den Auftragnehmer
• die Befugnis des Auftragnehmers, die Datenverarbeitung an Unterauftragnehmer auszulagern
• die Pflicht des Auftragnehmers, einen Datenschutzbeauftragten zu bestellen und seine Mitarbeiter schriftlich auf das Datengeheimnis zu verpflichten
• Kontrollrechte des Auftraggebers
• Verpflichtungen des Auftragnehmers, dem Auftraggeber Datenschutzverstöße mitzuteilen, und
• die Rückgabe und Löschung der Daten beim Auftragnehmer am Ende des Auftrags

Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung durch den Auftragnehmer voll verantwortlich sowie dafür, dass die genannten zwingenden vertraglichen Vereinbarungen getroffen wurden. Darüber hinaus stellt das Bundesdatenschutzgesetz klar, dass der Auftraggeber den Auftragnehmer sorgfältig im Hinblick auf die getroffenen technischen und organisatorischen Maßnahmen zur Datensicherheit auszusuchen hat. Auftraggeber müssen ihre Auftragnehmer regelmäßig kontrollieren und das Ergebnis der Kontrollen dokumentieren.

Hat der Auftragnehmer seinen Sitz außerhalb des Europäischen Wirtschaftsraumes (EWR)müssen zusätzliche Maßnahmen getroffen werden, um ein "angemessenes Datenschutzniveau" beim Auftragnehmer sicherzustellen. Hierfür verwenden viele Unternehmen die "EU Standardvertragsklauseln für die Übermittlung von personenbezogenen Daten an Datenverarbeiter in Drittländern". Leider decken sich diese nicht voll mit den neuen strengen Anforderungen des deutschen Rechts. So sind etwa die Regelungen zur Mitteilung von Datenschutzverstößen in den EU Standardverträgen nur sehr vage geregelt. Werden von einem Auftragnehmer außerhalb des EWR unternehmenskritische Daten verarbeitet, sollten die Standardverträge deshalb durch zusätzliche vertragliche Regelungen ergänzt werden.

Welche Sanktionen drohen und wie wahrscheinlich sind diese?

Datenschutzbehörden können Unternehmen ohne ausreichende Verträge Bußgelder von bis zu € 50.000 auferlegen. Im Falle eines Datenschutzverstoßes beim Auftragnehmer können Betroffene Schadenersatzansprüche gegen den Auftraggeber geltend machen. Darüber hinaus können sich *Datenschutzbeauftragte** gegenüber ihrem Unternehmen haftbar machen, wenn sie es fahrlässig versäumen, die neuen Regelungen umzusetzen.

Auftragsdatenverarbeitungsverträge werden von Datenschutzbehörden normalerweise nicht ohne Anlass überprüft. Beschwert sich jedoch ein Betroffener, so werden von den Behörden Ermittlungen eingeleitet, in deren Rahmen von Unternehmen auch verlangt werden kann, die angewendeten Verträge vorzulegen. Ermittlungen können auch im Falle von Datenschutzverstößen aufgenommen werden. Da der deutsche Gesetzgeber nunmehr Meldepflichten bei bestimmten Verstößen vorgesehen hat, steigt die Wahrscheinlichkeit, dass Behörden von solchen Verstößen Kenntnis erlangen.

Welche Schritte empfehlen Sie?

Kurzfristig:

• Auftragdatenverarbeitungs-Verhältnisse erfassen, in denen Ihr Unternehmen Auftraggeber ist und anschließend anhand der folgenden Kriterien gewichten: (i) Menge der Daten (ii) Sensibilität der Daten (iii) Bedeutung der Daten für das Unternehmen, und (iv) Status des Auftragsdatenverarbeiters (Konzernunternehmen, Sitz innerhalb oder außerhalb der EU, Ergebnisse früherer Kontrollen).
• Unternehmenskritische Verträge prüfen und soweit erforderlich anpassen.

Mittelfristig:

• Unternehmensrichtlinien, Vorlagen und Checklisten erarbeiten, die sicherstellen, dass neue Verträge gesetzeskonform sind.
• Verfahren zur regelmäßigen Kontrolle von Datenverarbeitern einführen.
• Altverträge schrittweise anpassen (z.B. im Rahmen von Vertragsverlängerungen).