15 Irrtümer über die “Auftragsdatenverarbeitung” (siehe BDSG) – WICHTIG!

Ich habe mir vorgenommen einen einfachen Beitrag zum Thema Auftragsdatenverarbeitung zu schreiben. Und musste nach mehreren Anläufen erkennen, dass es kaum möglich ist, diesem Anspruch gerecht zu werden. Das Datenschutzrecht ist zwar allgegenwärtig, aber es gibt kaum jemanden, der es so richtig (be)greifen kann. Es ist irgendwie überall, ständig präsent, aber schwer zu konkretisieren…. Aber lange Rede, kurzer Sinn, im Zuge der BDSG Novelle müssen wir uns ja alle notgedrungen damit beschäftigen, daher zum Artikel:

„Auftragsdatenverarbeitung“ ist ein so sperriges Wort, dass es sehr gerne überlesen wird. Dabei betreffen die gesetzlichen Regelungen zur Auftragsdatenverarbeitung (siehe §11, neues BDSG seit 01.09.09) sehr viele Direktmarkter (u.a. Onlineshop-Betreiber, E-Mail–Versender/Listeigener, Onlineplattformen, Werbetreibende, Programmierer, Webdesigner, IT-Dienstleister, etc.). Diese müssen eine Vielzahl strenger gesetzlicher Datenschutzvorschriften beachten oder riskieren sonst hohe Bußgelder und Schadensersatzzahlungen. Wahrscheinlich werden viele beim Lesen aus allen Wolken fallen, aber ich kann Ihnen nur raten, sich wirklich ernsthaft mit dem Thema auseinander zu setzen.

Um den neuen Verpflichtungen durch die Datenschutznovelle im Rahmen der Auftragsdatenverarbeitung Rechnung zu tragen, gibt es also viel zu tun!

In zwei Artikeln der letzten Woche, haben wir bereits die ersten Grundlagen und Infos zur neuen Gesetzeslage zusammengefasst, siehe auch: “Auftragsdatenverarbeiter aufgepasst, Regeln nach der Datenschutz Novelle” und “Alles zum neuen BDSG (seit 01.09.09 gültig)!”

Wie geht es nun weiter?
Die ersten Musterverträge liegen im Internet wie in der Praxis vor. Ich möchte gleich vorweg nehmen, dass die Musterverträge im Internet den Eindruck erwecken, der Auftraggeber gibt dies vor. Hier werden aus meiner Sicht sogar einige Elemente vergessen. Ein zweckgebundener Auftrag beinhaltet nicht nur die datenschutzrechtlichen Aspekte, sondern regelt auch die Vergütung. Die ersten Verträge die ich gesehen habe, beinhalten dies gar nicht. Ok, wer spricht schon in Krisenzeiten über Geld, aber über Haftung und Haftungsausschlüsse (spannende Artikel dazu gibt es bei netpec.de).
Der DDV hat hier beispielsweise die entsprechende “Verpflichtungserklärung für Dienstleister und ihre Auftraggeber” überarbeitet, und stellt diese Nichtmitgliedern sowie Mitgliedern zur Verfügung.

Wirklich weiterhelfen können einem diese Dokumente derzeit beim Thema Auftragsdatenverarbeitung jedoch noch nicht. Daher sollten Sie über das Wortungetüm hinweg sehen und sicherstellen, dass Sie die nachfolgenden Fehler/Irrtümer nicht begehen.

Irrtum 1: Ich bin von den Vorschriften zur Auftragsdatenverarbeitung nicht betroffen
Irrtum 2: Es sind keine personenbezogenen Daten betroffen
Irrtum 3: Der Auftrag bezieht sich nicht auf personenbezogene Daten
Irrtum 4: Es reicht, auf die Verlässlichkeit des Auftragnehmers zu vertrauen
Irrtum 5: Es reicht, dass der Auftragnehmer erklärt er werde das Datenschutzrecht beachten
Irrtum 6: Es reicht eine Standardvereinbarung zu nutzen
Irrtum 7: Mit einer Vereinbarung über die Auftragsdatenvereinbarung sind alle gesetzlichen Anforderungen erfüllt
Irrtum 8: Nur der Auftragnehmer muss sich um die Datensicherheit kümmern
Irrtum 9: Nur der Auftraggeber muss sich um die Datensicherheit kümmern
Irrtum 10: Ich entziehe mich den Vorschriften und übertrage die ganze Datenverarbeitung auf externe Dienstleister
Irrtum 11: Ich verlege die Datenverarbeitung ins Ausland, da sind die Vorschriften laxer
Irrtum 12: Das ist mir zu kompliziert, ich achte nicht auf diese Vorschriften
Irrtum 13: Ich habe bereits eine Vereinbarung über die Auftragsdatenverarbeitung
Irrtum 14: Ich lade mir einen Mustervertrag aus dem Internet herunter
Irrtum 15: Diese Regelungen zur Auftragsdatenverarbeitung sind nur eine Last

Überrascht, aufgerüttelt? Dann habe ich mein Ziel erreicht.

Wenn Sie jetzt konkrete Antworten und Infos zu diesen Irrtümern suchen/brauchen, kann ich Ihnen diese in sehr ausführlicher Form zur Verfügung stellen. Die Herren Rechtsanwälte Thomas Schwenke und Sebastian Dramburg haben auf t3n.de alle oben erwähnten Irrtümer für Sie genau erklärt und geben erste Antworten zum Thema. Hier der Link zum sehr gelungenen und äußerst zugänglichen Artikel über die Auftragsdatenverarbeitung.

Fazit: Da die Anforderungen an die Auftragsdatenverarbeitung vom Einzelfall abhängig sind, kommen sowohl Auftraggeber wie Auftragnehmer nicht umhin sich mit der Materie vertieft auseinander zusetzen.
Im Zweifel wird empfohlen sich an einen Rechtsanwalt mit Kenntnis im Datenschutzrecht oder eine andere in diesem Bereich qualifizierte Person, zum Beispiel einen Datenschutzbeauftragten, zu werden. Diese können einen Mustervertrag ausarbeiten, der auf das eigene Unternehmen zugeschnitten ist.

P.S. Und im Übrigen kann man das sperrige Wort „Auftragsdatenverarbeitung“ mit der Abkürzung ADV vermeiden.

Mit besten Grüßen aus Essen,
Jan-Philip Ziebold
http://www.dz-media.de