Sie sind hier: Home » Fachartikel » Recht

Datenschutzrecht beim Outsourcing

Auftragsdatenverarbeitung: Pflicht des Auftragnehmers, einen Datenschutzbeauftragten zu bestellen und seine Mitarbeiter schriftlich auf das Datengeheimnis zu verpflichten
Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung durch den Auftragnehmer voll verantwortlich

Von Rechtsanwalt Dr. Thomas Helbing

(18.05.10) - Datenverarbeitungsverträge müssen bestimmte Mindestregelungen beinhalten, so will es das neue Bundesdatenschutzgesetz (BDSG). So müssen zum Bespiel Klauseln aufgenommen werden über die Benachrichtigung bei Datenschutzverstößen, Prüfrechte, die Einschaltung von Unterauftragnehmern sowie eine Reihe weiterer Punkte. Betroffen sind zum Beispiel Verträge über die Auslagerung der Lohnbuchhaltung und Gehaltsabrechnung oder Verträge mit Unternehmen, die Personalinformationsssyteme anbieten, auch wenn es sich nur um Tochtergesellschaften oder die Konzernmutter handelt.

Genügen Verträge den Anforderungen nicht, drohen Bußgelder von bis zu 50.000 Euro. Bereits bestehende Vereinbarungen sollten überprüft und Unternehmensrichtlinien erarbeitet werden, die sicherstellen, dass zukünftige Verträge den neuen Regeln entsprechen.

Welche Verträge sind betroffen?
Alle Verträge, bei denen Dritte Daten für Ihr Unternehmen speichern, nutzen oder anderweitig verarbeiten, müssen den neuen Anforderungen genügen, insbesondere, wenn diese nach dem 1. September 2009 geschlossen, erneuert oder angepasst wurden. Diese so genannten "Auftragsdatenverarbeitungs-Verhältnisse" liegen immer dann vor, wenn ein Dritter für Ihr Unternehmen im Auftrag personenbezogene Daten verarbeitet oder darauf Zugriff hat.

Personenbezogene Daten sind sämtliche Informationen, die einer bestimmten oder bestimmbaren Person zugeordnet werden können, zum Beispiel Lieferadressen oder bisherige Käufe eines Kunden, Kontaktdaten von Geschäftspartnern oder Mitarbeiterdaten wie Name, Stellenbeschreibung, Lebenslauf oder Gehalt.

Die neuen Regeln betreffen auch konzerninterne Sachverhalte, zum Beispiel wenn eine Muttergesellschaft eine zentrale Kundendatenbank oder ein HR-System betreibt, in dem auch Kundendaten oder Mitarbeiterdaten der Tochtergesellschaften gespeichert sind.

Beispiele für möglicherweise betroffene Vertragsverhältnisse sind:
>> Verträge über die Auslagerung der Lohnbuchhaltung und Gehaltsabrechnung
>> Verträge mit Archivierungs-Dienstleistern
>> Verträge mit Call Centern oder Direktmarketing-Agenturen (Mailings, Newsletter-Versand, Lettershops)
>> Verträge mit Unternehmen, die HR-Systeme oder Kundenverwaltungs-Systeme (CRM) anbieten
>> Verträge mit externen Prüfern und Wartungsfirmen
>> andere Verträge über die zur Verfügungstellung von IT-Ressourcen (z.B. Application Service Providing (ASP), Cloud Computing, Software-as-a-Service (SaaS), Website-Hosting, Online-Speicherplatz).

Von der Datenverarbeitung im Auftrag sind die Fälle zu unterscheiden, bei denen ein Unternehmen nicht nur die Datenverarbeitung, sondern eine ganze Aufgabe oder Funktion ausgelagert hat, z.B. die Kundenbetreuung. Für diese "Funktionsübertragungen" gelten andere und sogar strengere datenschutzrechtliche Anforderungen. Die Abgrenzung zwischen Auftragsdatenverarbeitung und Funktionsübertragung kann äußert schwierig sein und nur anhand der konkreten Umstände des Einzelfalles erfolgen.

Was verlangt das neue Recht?
Bereits bis zum 31. August 2009 galten für Auftragsdatenverarbeitungs-Verträge bestimmte Mindestandforderungen. Diese wurden jetzt konkretisiert und ausgeweitet.

Seit dem 1. September 2009 müssen die Parteien in einem schriftlichen Vertrag insbesondere Folgendes festlegen:
>> Umgang, Art und Zweck der Erhebung, Nutzung und Verarbeitung von Daten durch den Auftragnehmer
>> den Umfang der Weisungsbefugnisse des Auftraggebers gegenüber dem Auftragnehmer
>> die vom Auftragnehmer zu treffenden technischen und organisatorischen Maßnahmen zur Datensicherheit
>> die Korrektur, Löschung und Sperrung von Daten durch den Auftragnehmer
>> die Befugnis des Auftragnehmers, die Datenverarbeitung an Unterauftragnehmer auszulagern
>> die Pflicht des Auftragnehmers, einen Datenschutzbeauftragten zu bestellen und seine Mitarbeiter schriftlich auf das Datengeheimnis zu verpflichten
>> Kontrollrechte des Auftraggebers
>> Verpflichtungen des Auftragnehmers, dem Auftraggeber Datenschutzverstöße mitzuteilen, und
>> die Rückgabe und Löschung der Daten beim Auftragnehmer am Ende des Auftrags

Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung durch den Auftragnehmer voll verantwortlich sowie dafür, dass die genannten zwingenden vertraglichen Vereinbarungen getroffen wurden. Darüber hinaus stellt das Bundesdatenschutzgesetz klar, dass der Auftraggeber den Auftragnehmer sorgfältig im Hinblick auf die getroffenen technischen und organisatorischen Maßnahmen zur Datensicherheit auszusuchen hat. Auftraggeber müssen ihre Auftragnehmer regelmäßig kontrollieren und das Ergebnis der Kontrollen dokumentieren.

Hat der Auftragnehmer seinen Sitz außerhalb des Europäischen Wirtschaftsraumes (EWR) müssen zusätzliche Maßnahmen getroffen werden, um ein "angemessenes Datenschutzniveau" beim Auftragnehmer sicherzustellen. Hierfür verwenden viele Unternehmen die "EU Standardvertragsklauseln für die Übermittlung von personenbezogenen Daten an Datenverarbeiter in Drittländern".

Leider decken sich diese nicht voll mit den neuen strengen Anforderungen des deutschen Rechts. So sind etwa die Regelungen zur Mitteilung von Datenschutzverstößen in den EU-Standardverträgen nur sehr vage geregelt. Werden von einem Auftragnehmer außerhalb des EWR unternehmenskritische Daten verarbeitet, sollten die Standardverträge deshalb durch zusätzliche vertragliche Regelungen ergänzt werden.

Welche Sanktionen drohen und wie wahrscheinlich sind diese?
Datenschutzbehörden können Unternehmen ohne ausreichende Verträge Bußgelder von bis zu 50.000 Euro auferlegen. Im Falle eines Datenschutzverstoßes beim Auftragnehmer können Betroffene Schadenersatzansprüche gegen den Auftraggeber geltend machen. Darüber hinaus können sich Datenschutzbeauftragte gegenüber ihrem Unternehmen haftbar machen, wenn sie es fahrlässig versäumen, die neuen Regelungen umzusetzen.

Auftragsdatenverarbeitungsverträge werden von Datenschutzbehörden normalerweise nicht ohne Anlass überprüft. Beschwert sich jedoch ein Betroffener, so werden von den Behörden Ermittlungen eingeleitet, in deren Rahmen von Unternehmen auch verlangt werden kann, die angewendeten Verträge vorzulegen. Ermittlungen können auch im Falle von Datenschutzverstößen aufgenommen werden. Da der deutsche Gesetzgeber nunmehr Meldepflichten bei bestimmten Verstößen vorgesehen hat, steigt die Wahrscheinlichkeit, dass Behörden von solchen Verstößen Kenntnis erlangen.

Welche Schritte empfehlen Sie? Wie können Sie helfen?

Kurzfristig:
>> Auftragdatenverarbeitungs-Verhältnisse erfassen, in denen Ihr Unternehmen Auftraggeber ist und anschließend anhand der folgenden Kriterien gewichten: Menge der Daten Sensibilität der Daten
Bedeutung der Daten für das Unternehmen, und
Status des Auftragsdatenverarbeiters (Konzernunternehmen, Sitz innerhalb oder außerhalb der EU, Ergebnisse früherer Kontrollen).
>> Unternehmenskritische Verträge prüfen und soweit erforderlich anpassen.

Mittelfristig:
>> Unternehmensrichtlinien, Vorlagen und Checklisten erarbeiten, die sicherstellen, dass neue Verträge gesetzeskonform sind.
>> Verfahren zur regelmäßigen Kontrolle von Datenverarbeitern einführen.
>> Altverträge schrittweise anpassen (z.B. im Rahmen von Vertragsverlängerungen).
Wir können Sie unterstützen bei der Prüfung bestehender Verträge, dem Entwurf und der Verhandlung erforderlicher Anpassungen sowie der Erarbeitung von internen Richtlinien und Checklisten.

Bitte kontaktieren Sie uns, wenn Sie weitere Informationen oder eine kostenlose Vorlage für eine Richtlinie oder Checkliste wünschen.

Autor: Dr. Thomas Helbing
Kurzvita: Dr. Thomas Helbing ist Rechtsanwalt und berät Unternehmen zu allen Fragen des Datenschutz-, IT- und Online-Rechts.
Weitere Beiträge und mehr über die Kanzlei finden Sie auf www.thomashelbing.com.
E-Mail: helbing (at) thomashelbing.com
Telefon: (0 89) 39 29 70 07

Lesen Sie mehr:
Neu: Änderungen bei Standardvertragsklauseln

Corporate Compliance Zeitschrift

Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>

Meldungen: Recht

Cyberkrieg: Wenn der Verhandlungspartner fehlt
Produzenten und Versorger in den Bereichen Energie, Wasser, Finanzwesen und Gesundheit sowie Industrieunternehmen geraten zunehmend ins Visier von Angreifern. Die Folge: millionenschwere Produktionsausfälle und Versorgungsengpässe, bis hin zur Gefährdung von Menschenleben. Jüngste Beispiele sind etwa Attacken auf die größte Pipeline der USA, die irische Gesundheitsbehörde oder ein Vorfall in einem kroatischen Umspannwerk, der Europa an den Rand eines Strom-Blackouts führte.
Nutzung von "Compliance-Storage"
Auf dem Weg zur Digitalisierung von Akten müssen Unternehmen gesetzliche Vorgaben, Branchenanforderungen sowie Vorschriften für spezielle Akten oder Steuerunterlagen berücksichtigen. Das macht ihnen die Wahl einer geeigneten IT-Lösung nicht unbedingt leichter. Eine Orientierungshilfe bieten hier Zertifizierungen die den Nachweis für die Konformität der Archivierungsmaßnahmen mit gesetzlichen Vorschriften wie der GoBD oder der Schweizer GeBüV erbringen. In Zusammenarbeit mit Daniel Spichty, Partner beim Schweizer Kompetenzzentrum Records Management, gibt DMS-Spezialist Kendox einen Überblick über den Status Quo, die Anforderungen sowie Herausforderungen und fasst zusammen, worauf Unternehmen zukünftig bei der digitalen Archivierung achten müssen und warum die GeBüV als Benchmark für Compliance-Anforderungen gilt.
Umsetzung in nationales Recht: FATCA wird konkret
Die iBS - Innovative Banking Solutions AG kommentiert das zwischen den USA und den fünf größten EU-Staaten getroffene zwischenstaatliche Musterabkommen zur Verbesserung der Steuerehrlichkeit und Umsetzung des Foreign Account Tax Compliance Act (FATCA). Vor dem Hintergrund der US-amerikanischen Bestrebungen, FATCA international durchzusetzen, haben sich die USA und die fünf großen europäischen Volkswirtschaften Deutschland, Frankreich, Großbritannien, Italien und Spanien auf ein Musterabkommen zur bilateralen Bekämpfung von Steuerhinterziehung verständigt. Die Zusammenarbeit hatten die Staaten im Februar 2012 angekündigt.
Compliance im Außenhandel
Im Außenhandel spielen heute über die reine Einfuhr- und Ausfuhranmeldung hinaus zahlreiche steuerliche und rechtliche Aspekte eine Rolle. Sanktionsverordnungen und Präferenzkalkulation sind hierfür nur zwei Beispiele. Hinzu kommt, dass Einfuhren, Ausfuhren und alle weiteren zollrechtlich relevanten Vorgänge zukünftig ausschließlich elektronisch über das ATLAS-Verfahren abgewickelt werden sollen. Zoll und Außenhandel sind heute derart komplex, dass Unternehmen sie - ähnlich wie Steuerangelegenheiten - nur noch mit Hilfe erfahrener Experten und einer leistungsstarken Software effizient und konform mit den geltenden rechtlichen Bestimmungen abwickeln können.
Herausgehobene Bedeutung einer Criminal Compliance
Der III. Zivilsenat des BGH hatte unlängst über die Frage zu entscheiden, ob bzw. nach welchen Maßgaben eine Kapitalanlage-Vertriebsorganisation für strafbare Handlungen eines von ihr eingesetzten Handelsvertreters dem geschädigten Anleger gegenüber haftbar gemacht werden kann (BGH, Urteil v. 15.03.2012 - III ZR 148/11).

Arbeitsrecht und Compliance-Regelungen Auskunftsrecht und Urheberrechtsverstöße