Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Das ist keine Formalie: Er ist eines der ersten Dokumente, das bei einer Prüfung oder einer Betroffenenanfrage verlangt wird.
Diese Seite ordnet ein, wer betroffen ist und wie man die Nachweise ordnet. Sie ist keine Rechtsberatung.
Wer Auftragsverarbeiter ist
Ein Auftragsverarbeiter verarbeitet Daten nach Ihren Weisungen, ohne eigene Zwecke zu verfolgen. Bei einer normalen Website betrifft das:
| Dienstleister | Verarbeitet | Vertrag nötig |
|---|---|---|
| Hoster | Logdaten, Datenbankinhalte, E-Mail | ja |
| Formulardienst | Formularinhalte | ja |
| Newsletter-Dienst | E-Mail-Adressen, Öffnungsverhalten | ja |
| Backup-Anbieter | Kopien aller Daten | ja |
| Analysewerkzeug | Nutzungsdaten, IP-Adressen | ja |
| CDN | IP-Adressen der Besucher | ja |
| Agentur mit Systemzugriff | alles im System | in der Regel ja |
| Buchungs- oder Shopsystem | Kunden- und Bestelldaten | ja |
| Partnerprogramm | eigene Zwecke des Netzwerks | nein, eigenverantwortlich |
| Domain-Registrar | Inhaberdaten, nicht Besucherdaten | in der Regel nein |
Die letzten zwei Zeilen zeigen die Abgrenzung: Wer eigene Zwecke verfolgt, ist nicht Auftragsverarbeiter, sondern selbst Verantwortlicher. Für ein Partnernetzwerk gilt das, weshalb dort kein AV-Vertrag greift, sondern eine eigene Bewertung der Übermittlung. Siehe DSGVO für Websites.
Was der Vertrag regeln muss
Art. 28 DSGVO nennt die Pflichtinhalte. In einem Standardvertrag eines seriösen Anbieters sind sie enthalten, prüfen sollte man dennoch:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Kategorien der Daten und der betroffenen Personen
- Weisungsgebundenheit des Verarbeiters
- Verpflichtung zur Vertraulichkeit der eingesetzten Personen
- Technische und organisatorische Maßnahmen zur Sicherheit
- Regelung zu Unterauftragsverarbeitern, inklusive Informationspflicht bei Wechsel
- Unterstützung bei Betroffenenanfragen
- Unterstützung bei Meldepflichten nach einem Vorfall
- Löschung oder Rückgabe der Daten nach Vertragsende
- Nachweis- und Prüfrechte
Der Punkt zu den Unterauftragsverarbeitern ist der, an dem es praktisch interessant wird: Ein deutscher Hoster kann Unterauftragsverarbeiter außerhalb der EU einsetzen, etwa für Support-Werkzeuge oder Spamfilter. Die Liste sollte einsehbar sein.
Wo man ihn bekommt
Bei den meisten Anbietern im Kundenkonto: als Dokument zum Herunterladen oder als Vereinbarung, die mit einem Klick abgeschlossen wird. Suchbegriffe im Kundenbereich: Auftragsverarbeitung, AVV, DPA.
Ein Anbieter, der keinen Vertrag bereitstellt und auf Anfrage keinen liefert, ist für ein Projekt mit personenbezogenen Daten nicht geeignet. Das ist ein hartes Ausschlusskriterium, nicht ein Nachteil.
Nachweise ordnen
Ein Ordner mit einer einfachen Übersicht genügt und macht jede Anfrage zu einer Zehnminutensache:
| Feld | Inhalt |
|---|---|
| Dienstleister | Name und Sitz |
| Zweck | wofür er eingesetzt wird |
| Daten | welche Kategorien |
| Vertrag | Datei, Datum des Abschlusses |
| Serverstandort | Land oder Region |
| Drittland | ja/nein, Grundlage der Übermittlung |
| Unterauftragsverarbeiter | Liste oder Link |
| Löschfrist | vereinbarte Frist |
Diese Übersicht ist gleichzeitig die Grundlage für die Datenschutzerklärung. Wer sie führt, hat beide Dokumente ohne zusätzlichen Aufwand konsistent.
Der praktische Ablauf
- Beim Aufsetzen des Projekts jeden Dienst notieren, sobald er hinzukommt
- Vertrag sofort abschließen, nicht später
- Datei ablegen, nicht nur den Abschluss bestätigen
- In die Übersicht eintragen
- Bei einem Anbieterwechsel neuen Vertrag abschließen und den alten Eintrag als beendet markieren
- Einmal jährlich prüfen, ob die Liste noch der Realität entspricht
Schritt 5 ist der, der bei einem Hosterwechsel typischerweise vergessen wird: Der Vertrag mit dem alten Anbieter gilt nicht für den neuen. Siehe Hosting wechseln.
Bei Dienstleistern mit Systemzugriff
Für Agenturen, Freelancer und Wartungsdienstleister mit Administratorzugang gilt dasselbe. Neben dem AV-Vertrag lohnt eine Regelung dazu, wer welchen Zugang hat, wie lange, und was bei Beendigung passiert.
Praktisch heißt das: eigene Konten pro Person statt eines geteilten Zugangs, Rechte nur im nötigen Umfang, und ein Entfernen des Zugangs nach Projektende. Der letzte Punkt wird sehr häufig übersehen, und alte Administratorkonten sind gleichzeitig ein Sicherheitsproblem. Siehe WordPress-Sicherheit.