Was ist ein Auftragsverarbeitungsvertrag?
In der Rechtsberatung tauchte die Frage auf, was ein Auftragsverarbeitungsvertrag ist und ob man einen solchen auf abschließen muss.
Worum geht es?
Es handelt sich um einen Vertragstypus, der mit Blick auf die Datenschutzbestimmungenentstanden ist.
Ein solcher Vertrag ist notwendig, wenn jemand (Auftraggeber) ein anderes Unternehmen (Auftragnehmer) mit der Verarbeitung von personenbezogenen Daten beauftragt.
Von personenbezogene Daten spricht man, bei allen Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine natürliche Person gilt als identifizierbar, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie z. B. einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, identifiziert werden kann.Diese Daten unterliegen grundsätzlich dem Datenschutz.
Wen betrifft es?
Solche Auftragsverhältnisse kommen z. B. zustande, wenn ein gewerblicher Vermieter ein anderes Unternehmen mit der Verarbeitung personenbezogene Daten von Mietern in größerem Umfang beauftragt. Die Vertragspartner sind nach der geltenden Datenschutzgrundverordnung (DSGVO) verpflichtet, die Regularien wie mit den personenbezogenen Daten zu verfahren ist, schriftlich festzuhalten (vgl. Art. 28 DSGVO). Wichtig ist, die Verarbeitung der personenbezogenen Daten wird von dem Auftragnehmer in großem Umfang und in erster Linie vorgenommen, es ist so zu sagen seine Hauptaufgabe.
Bei der Tätigkeit von Ärzten, Rechtsanwälten, Paketdiensten und Verwaltern einer Gemeinschaft von Wohnungseigentümern ist es üblicherweise anders. Bei diesen Dienstleistern stehen andere Tätigkeiten und Aufgaben im Vordergrund. Es werden zwar auch von diesen personenbezogene Daten be-/verarbeitet, allerdings erfolgt die Bearbeitung eher nebenbei, um das eigentliche Auftragsziel zu erreichen bzw. die eigentliche Leistung zuerbringen.
Warum soll eine solche Vereinbarung getroffen werden?
Die schriftliche Regelung wie mit den personenbezogenen Daten umzugehen ist, soll vor allem sicherstellen, wer bei möglichen Verstößen haftet, in wessen Verantwortung ein etwaiger Verstoß also fällt. Zudem sollen die Beteiligten wissen, für was sie zuständig sind.
