Auftragsverarbeitung
Kurzdefinition
Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Unternehmens verarbeitet, etwa ein SaaS-Anbieter für Kundendaten.
Erklärung
Nutzt ein Unternehmen eine Cloud-Software, in der personenbezogene Daten liegen, verarbeitet der Anbieter diese Daten in der Regel in seinem Auftrag. Rechtlich spricht man dann von Auftragsverarbeitung nach Artikel 28 der Datenschutz-Grundverordnung. Das auftraggebende Unternehmen bleibt Verantwortlicher und muss sicherstellen, dass der Dienstleister geeignete Garantien bietet. Dafür braucht es einen Vertrag, den Auftragsverarbeitungsvertrag, der Gegenstand, Dauer, Art der Daten, Pflichten und Kontrollrechte regelt. Der Dienstleister darf die Daten nur nach dokumentierter Weisung verarbeiten und weitere Dienstleister nur mit Genehmigung einsetzen. Anbieter stellen den Vertrag meist als Standardtext zum Abschluss im Kundenkonto bereit. Prüfe, ob er vorliegt, welche Unterauftragnehmer genannt sind und wo die Verarbeitung stattfindet. Ohne diesen Rahmen kann der Einsatz der Software für personenbezogene Daten datenschutzrechtlich unzulässig sein.
Beispiel
Ein Coach führt seine Kundenkontakte in einem CRM. Bevor er echte Kontakte einträgt, lädt er den Auftragsverarbeitungsvertrag des Anbieters herunter, prüft die Liste der Unterauftragnehmer und legt ihn in seinen Datenschutzordner. Erst dann importiert er den Kundenstamm in das System.