DSGVO-konformer Auftragsverarbeitungsvertrag

1. Voraussetzungen

• Eine Lizenz pro Kunde: Sie müssen eine Lizenz pro Kunde erwerben.
• Lizenz für Auszüge: Nutzung von Passagen und Auszügen in anderen Rechtsdokumenten, die Kunden, Mandanten oder anderen Dritten gegenüber angeboten werden, ist ohne den Erwerb einer Lizenz für die Dritten nicht erlaubt.

2. Ihre Rechte

• Erwerb im Namen der Kunden: Sie können unsere Rechtsdokumente im Namen Ihrer Kunden (bzw. Mandanten) erwerben (geben Sie bitte deren Domains/ Unternehmen an).
• Erwerb im eigenen Namen: Sie können unsere Rechtsdokumente auch im eigenen Namen erwerben und bei Ihren Kunden einsetzen  (geben Sie jedoch bitte deren Domains/ Unternehmen an).
• Handlingzuschlag ist erlaubt: Sie können Ihren Kunden auch einen Handlingzuschlag berechnen.
• Hinweis nicht erforderlich: Sie müssen Ihre Kunden nicht darauf hinweisen, dass die Rechtsdokumente mit dem Generator erstellt wurden.
• Bearbeitung und Auszüge: Sie können die Rechtsdokumente bearbeiten oder in Teilen verwenden (Falls am Ende ein Siegel/ Hinweis auf Datenschutz-Generator.de verwendet wird, bitte am Ende auf Bearbeitung hinweisen “Bearbeitet von uns” / “Auf Grundlage von”, etc.).

3. Mengenrabatte

• Individuelle Lizenzanfragen: Ab 10 Lizenzen bieten wir Ihnen gerne ein individuelles Lizenzpaket mit zusätzlichen Vorteilen an, bitte kontaktieren Sie uns.
• Konzerne, Unternehmensgruppen und Dachvereine: Für die jeweiligen Tochterunternehmen/ Mitgliedsvereine, etc. mit mehreren Domains, bieten wir Rabatte bis zu 75% an, je nach Volumen.

4. Weitere Hinweise

• Unsere vollständigen AGB und Lizenzbestimmungen.

Werden bei der Durchführung der Auftragsverarbeitung Datenschutzverstöße, z .B. Missachtung von Betroffenenrechten, begangen, erhöhen sich die Bußgelder von bis zu 4% des zurückliegenden Jahresumsatzes, bzw. 10. Mio. Euro, je nachdem was höher ist (Art. 83 Abs. 5 DSGVO). Daneben kommen, zumindest im Fall faktischer Auswirkung, Schadensersatzansprüche der Betroffenen gem. Art. 82 Abs. 1 DSGVO in Frage.

1. Verarbeitung
2. personenbezogener Daten,
3. im Auftrag
4. und auf Weisung
5. des Auftraggebers,
6. durch einen Auftragsverarbeiter.

Die einzelnen Voraussetzungen werden nachfolgend erläutert (aus Verständnisgründen in leicht veränderter Reihenfolge).

Es müssen keine Klardaten (Namen, Adressen, etc.) sein. Auch pseudonyme Daten (z. B. mit ID-Nummern gekennzeichnete und nur vom Auftraggeber lesbare Daten oder IP-Adressen) sind im Regelfall personenbezogen.

Anonyme Daten: Nicht personenbezogen (also anonym) sind z. B. maschinelle Daten, wie der Inventarbestand eines Lagers, Finanzdaten eines Unternehmens oder Maschinendaten. Allerdings sind personenbezogene Daten “infektiös”. Wird im vorgenannten Beispiel jedoch mitgespeichert welcher Mitarbeiter an der Maschine gearbeitet hat, werden die Maschinendaten auf den Mitarbeiter bezogen, d. h. personenbezogen.]

über deren Organisation und Auslesen (z. B. im Rahmen von Datenanalysen), Übermittlung bis zur Löschung und Vernichtung (z. B. Beauftragung eines Akten- und Datenträgervernichtungsunternehmens).

Keine Auftragsverarbeitung liegt dagegen vor, wenn die Verarbeitung personenbezogener Daten z. B. lediglich die Nebenfolge einer Rechtsbeziehung ist. Schließen z. B. Unternehmen Verträge und werden dabei die Namen und Adressen der Ansprechpartner ausgetauscht, dann liegt im Hinblick auf diese Angaben keine Auftragsverarbeitung vor.

• Art und Weise der Verarbeitung wird vorab festgelegt – Der Auftragnehmer erhält eine Marschroute, d.h. Vorgaben, wie die Verarbeitung durchzuführen ist. Diese Vorgaben können individuell vereinbart oder durch AGB des Auftragnehmers festgelegt werden.
• Ein Spielraum des Auftragnehmers bei den Mitteln der Verarbeitung ist zulässig – Die Verarbeitung im Auftrag muss nicht en Detail festgelegt werden. So muss z. B. ein Webhoster nicht die eingesetzten Server bezeichnen oder ein Cloudsoftwareanbieter den Aufbau seiner Datenbank beschreiben. Wichtig ist vielmehr, dass der Auftraggeber den Verarbeitungsprozess und dessen Auswirkungen auf die Personen, deren Daten verarbeitet werden, überblicken kann.
• Bei den Zwecken der Verarbeitung darf dem Auftragnehmer kein Spielraum zustehen – Anders als bei der Bestimmung über die Mittel der Verarbeitung, darf der Auftragnehmer nicht über die Zwecke der Verarbeitung der ihm anvertrauten Daten bestimmen. Er darf also z. B. nicht darüber bestimmen, ob die Ergebnisse einer Verarbeitung der Auftragsdaten auch ihm oder Dritten zur Verfügung gestellt werden.
• Der Auftraggeber ist “HerrIn der Daten” – Der Auftraggeber muss das Recht haben, über die Löschung der im Auftrag durch den Auftragnehmer verarbeiteten Daten oder deren Rückgabe zu bestimmen. Keine Auftragsverarbeitung läge hingegen vor, wenn der Auftragnehmer die Daten zurückbehalten dürfte, weil er sie z. B. für eigene Zwecke verwenden möchte.

Getrennte Betrachtung von Verarbeitungsprozessen: Bitte beachten Sie, dass innerhalb der Zusammenarbeit mit einem Dienstleister auch mehrere für sich selbst zu beurteilende Verarbeitungsprozesse vorliegen können. Z. B. kann ein Unternehmen mit Hosting von Personaldaten beauftragt werden (Auftragsverarbeitung) und daneben mit dem Auftraggeber eine Marketingplattform betreiben. Hier wird man um eine Betrachtung im Einzelfall nicht herumkommen.

• Fälle der Auftragsverarbeitung:
  • Webhosting und Cloudspeicherung (die Speicherung und Übermittlung von Daten ist das Kerngeschäft).
  • Werbeagenturen (z. B. Erhebung von E-Mailadressen im Rahmen eines Gewinnspiels).
  • Post- und Scan sowie Akten- und Datenträgervernichtungsdienste (der Hauptzweck ist die Datenvernichtung, also deren Verarbeitung).
  • Gehaltsabrechnung (außer sie wird vom Steuerberater durchgeführt – gesetzliche Ausnahme).
  • IT-Einrichtung- und Wartung: Wenn der Kern die reine Hardwarewartung ist, liegt keine Auftragsverarbeitung vor.
  • Technischer Versanddienstleister für E-Mails (die E-Mailadressen werden als Gegenstand der Tätigkeit betrachtet).
• Kein Fall der Auftragsverarbeitung:
  • Reine Vermietung von Hardware in einem Serverpark (anders als beim Webhosting verwaltet hier der Mieter die Hardware selbst).
  • IT-Einrichtung- und Wartung: Wenn dies nicht nur der reinen Hardwarewartung geschuldet ist, sondern auch Daten wie Logfiles, Kunden-/Nutzer-Datenbanken ausgewertet werden sollen, etc. dann handelt es sich (zumindest laut Datenschutzbehörden um Auftragsverarbeitung).
  • Rechtsanwalt (Im Regelfall ist das Ziel einen juristischen Erfolg zu erreichen).
  • Steuerberater (auch hier sollen Handels-/ Steuerpflichten erfüllt werden, klargestellt seit 2020 im § 11 StBerG).
  • Dropshipping (Ein Großhändler liefert Waren aus, die Verarbeitung der Lieferadressen ist nur eine Nebenfolge).
  • Druckerei oder Copyshop (Der Hauptzweck ist der Druck von Dokumenten, nicht die Verarbeitung der in den Dokumenten vorkommenden Daten).
  • Bewachungsdienste, Transportdienste, Reinigungsdienste (zwar können die jeweiligen Dienstleister in Berührung mit personenbezogenen Daten kommen, das aber nur als Nebenfolge der Wahrnehmung ihrer Aufgaben).
  • Mitverarbeitung von Mitarbeiterdaten (Wenn ein Cloudservice Logindaten eines Mitarbeiters speichert, dann ist das nur eine Nebenfolge der Bereitstellung des eigentlichen Clouddienstes).
  • Telekommunikationsleistungen, d. h. die reine Signalübertragung, z. B. als Anbieter eines virtuellen Nebenstellenangebotes (in dem Fall müssen jedoch die speziellen Vorgaben des Telekommunikationsrechts beachtet werden).

Die vorgenannten Beispiele dürften verdeutlichen, dass eine Pauschalierung nach dem Motto “IT-Wartung ist Auftragsverarbeitung” nicht möglich ist. Stattdessen muss im Einzelfall geprüft werden, ob es tatsächlich um Datenverarbeitung als Kerngeschäft geht und eher den Datenschutzbehörden gefolgt werden soll (die sich im Zweifel eher für eine Auftragsverarbeitung aussprechen).

Vertraulichkeitsvereinbarung statt Auftragsverarbeitungsvertrag: Auch wenn keine Auftragsverarbeitung vorliegt, muss das Datenschutzniveau beim Dienstleister oder sonstigem Geschäftspartner gesichert werden. Eine entsprechende “Vertraulichkeitsverpflichtung von Geschäftspartnern und Dienstleistern (NDA)” können Sie bei uns erstellen.

Der Auftraggeber kann im Rahmen von Unterauftragsverhältnissen aber auch selbst Auftragsverarbeiter sein. Beispiel:

• Auftragsverarbeitung: Ein Unternehmen (Verantwortlicher und Auftraggeber) beauftragt eine Marketingagentur (Auftragsverarbeiterin) mit einer E-Mailkampagne an eigene Kunden.
• Unterauftragsverarbeitung: Die Marketingagentur (hier als Auftraggeberin agierend) beauftragt wiederum einen Versanddienstleister (Unterauftragsverarbeiter) mit der Durchführung des Versands der Newsletter.

Der Auftragsverarbeiter kann auch selbst Auftraggeber sein, wenn er Unterauftragnehmer beauftragt (s. o. Erläuterungen zum Auftraggeber).

Außer eine Prüfungspflicht wurde ausdrücklich vereinbart (z. B. im Rahmen des Auftrags als Leistung) oder es muss für den Auftragsverarbeiter erkennbar sein, dass eine Auftragsverarbeitung rechtswidrig ist.

Z. B. kann der Auftraggeber bestimmen, dass verarbeitete Daten gelöscht werden, weil er entdeckt hat, dass erforderliche Einwilligungen fehlen.

Durch nachträgliche Änderung können zusätzliche Kosten entstehen, die je nach erwartetem Umfang vertraglich geregelt werden können (beachten Sie weitere Hinweise zum Aufwendungsersatz, bzw. Vergütung).

Bereits deswegen hat der Auftragsverarbeiter auch das Recht, rechtswidrige Weisungen zu beanstanden. Dennoch sollte dies zur Sicherheit vertraglich klargestellt werden, ebenso wie die Pflicht, die Beanstandung zu begründen.

Unzumutbar wäre z. B. vom Auftragsverarbeiter alle paar Wochen die Anpassung datenschutzrechtlich hinreichend sicherer Verarbeitungsprozesse zu verlangen. Aber auch die Datenschutzrechte der Betroffenen müssen hinreichend gesichert werden und können wirtschaftliche Interessen des Auftragsverarbeiters durchaus überwiegen .

Sind derartige Streitkonstellationen vorhersehbar, sollten die Grenzen und Folgen des Ablehnungsrechts aufgrund der sonst bestehenden Unsicherheit vertraglich festgelegt werden.

Auch bei etwaigen Haftungsfragen gewinnt häufig die Partei, die nachweisen kann, was gesagt wurde und was nicht. Daher sollten alle Weisungen schriftlich oder textlich (E-Mail) erfolgen und im Fall mündlicher Weisungen sollte um deren Nachreichung zumindest per E-Mail oder um die Bestätigung eigener Mitschriften gebeten werden.

Allerding sollten Auftragsverarbeiter den Protokollaufwand im Rahmen ihres Angebots berücksichtigen. Wobei der Aufwand auch gering ausfallen und nur im Speichern des E-Mailverkehrs bestehen kann.

Empfohlen wird jedoch, die Ansprechpartner (oder zumindest Ansprechstellen, wie z. B. “Leitung IT”) festzulegen und anzugeben, wie diese erreichbar sind.

Ansonsten können z. B. Unklarheiten entstehen, wenn z.B. ein Mitarbeiter des Auftragsverarbeiters eine Weisung des Auftraggebers nicht weiterleitet oder nicht ausführt, da er sich für diese Aufgabe nicht zuständig fühlt oder tatsächlich (z. B. mangels Fachkompetenz) die Weisung nicht durchführen oder deren Bedeutung nicht einschätzen kann.

D.h. je sensibler die Daten (z. B. Bankverbindungen) und je größer der potentielle Schaden (z. B. Identitätsmissbrauch) und je höher das Risiko des Eintritts des Schadens ist (z. B. hoher wirtschaftlicher Wert der Informationen, Vorfälle in der Vergangenheit), desto höher muss der mit Hilfe der TOMs hergestellte Datenschutzniveau sein. Die konkrete Höhe kann jedoch nur im Einzelfall bestimmt werden.

Allerdings erleichtert die Angabe der TOMs dem Auftraggeber die Prüfung, ob die ergriffenen Maßnahmen angemessen sind (und vor allem der Nachweis der Prüfung). So kann der Abschluss des Auftragsverarbeitungsvertrages erheblich beschleunigt werden.

Allerdings ist die Anpassung nur dann zulässig, wenn das vereinbarte Schutzniveau gleichbleibt, sich bessert aber nicht sinkt. Ferner sollte der Auftraggeber über die wesentlichen Änderungen informiert werden.

Generator für Datenschutzverpflichtung: Sie können eine entsprechende “Verpflichtung von Mitarbeiter*innen auf Vertraulichkeit und Datenschutz” bei uns erstellen.

Das gilt auch für die Nutzung von Privatgeräten für berufliche Zwecke.

Dass die Fernarbeit vom Auftraggeber freigegeben werden muss, ist heutzutage dagegen eher unüblich. Anders sieht es dagegen aus, wenn das Risiko besonders hoch ist, weil z. B. besondere Kategorien von Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten), verarbeitet werden.

Darüber hinaus und dann auch außerhalb Deutschlands, im Falle von besonders risikoreichen oder umfangreichen Verarbeitungen (Art. 37 DSGVO und § 38 BDSG).

Daneben kann in einem Auftragsverarbeitungsvertrag auch unabhängig vom Gesetz eine Bestellpflicht für Datenschutzbeauftragte geregelt werden. Auch wenn dies eher unüblich ist und eine zwingende Bestellpflicht nur bei besonders risikoreichen Fällen der Auftragsverarbeitung vereinbart wird.

Allerdings gilt sie nur im Fall des Art. 30 Abs. 5 DSGVO, wenn keine besonderen Kategorien von Daten verarbeitet werden (Art. 9 DSGVO, passiert sobald Mitarbeiter beschäftigt werden, da diese z. B. für Steuerzwecke die Konfession angeben müssen) und die Verarbeitung von personenbezogenen Daten zudem nur gelegentlich erfolgt (was eigentlich nur auf “traditionelle” Unternehmen zutrifft, die kaum personenbezogene Daten verarbeiten, wie z. B. ein kleines Ladengeschäft).

Zusammenfassend wird die Pflicht zur Führung von Verzeichnissen von Verarbeitungstätigkeiten sehr häufig vorliegen, aber in der Praxis häufig unterlassen

Daher ist es generell zu empfehlen den Auftragsverarbeiter im Auftragsverarbeitungsvertrag zur Führung eines Verzeichnisses von Auftragsverarbeitungstätigkeiten zu verpflichten (also vor allem einer Übersicht, welche Daten zu welchen Zwecken mit welchen Schutzmaßnahmen, auf welche Art und Weise und im welchen Umfang im Auftrag verarbeitet werden).

• Verwahrungssorgfalt – Zu den Grundpflichten eines Auftragsverarbeiters gehört es, besondere Sorgfalt der Sicherung der im Auftrag verarbeiteten Daten zu widmen.
• Pflicht zur Rückgabe/ Löschung und Vernichtung – Auf Weisung des Auftraggebers und spätestens nach Ende der Auftragsverarbeitung muss der Auftragsverarbeiter die Daten sowie Datenträger herausgeben, bzw. löschen.
• Rückgabe und Löschung auch bei Subunternehmern – Der Auftragsverarbeiter muss sicherstellen, dass die Daten auch von (sofern vorhanden) Unterauftragsverarbeitern zurückgegeben oder bei diesen gelöscht werden. Dies geschieht durch die Vereinbarungen entsprechender Pflichten im Vertrag mit dem Auftragsverarbeiter.
• Ausschluss des Zurückbehaltungsrechts – Das Zurückbehaltungsrecht (in Deutschland geregelt im § 273 BGB) würde dem Auftragsverarbeiter ein Recht gewähren die Daten zurückzubehalten, wenn er gegenüber dem Auftraggeber z. B. noch Zahlungsansprüche hätte. In diesem Fall wäre jedoch der betroffene Dateninhaber gefährdet, so dass das Zurückbehaltungsrecht ausgeschlossen werden sollte.
• Pflicht ordnungsgemäße Vernichtung/ Löschung von Daten nachzuweisen – Der Auftragsverarbeiter muss nachweisen können, dass Daten unwiederherstellbar gelöscht wurden. In der Praxis erfolgt dies durch die Vorlage einer Protokollierung und des Ergebnisses der Löschung. Falls ein Anlass zu Zweifeln besteht (z. B. Lücken im Protokoll) darf als letzter Schritt auch eine Versicherung an Eides statt verlangt werden.

Eine Bereitstellung online ist bei sich ändernden Angaben, d. h. vor allem bei den Ansprechpartnern, TOMs oder Angaben zu Subunternehmern sogar zu empfehlen.

Sollten derartige Anfragen der Betroffenen beim Auftragsverarbeiter eingehen, dann muss er sie an den Auftraggeber weiterleiten.

Verpflichtung zur Erfüllung von Betroffenenrechten: Der Auftragsverarbeiter kann per Vertrag auch zur Erfüllung der Betroffenenrechte verpflichtet sein (z. B. beim Outsourcing ganzer Aufgabenbereiche samt dem Kundenservice).

• Informationspflichten bei Fehlern und Unregelmäßigkeiten – Da der Auftragsverarbeiter einen besseren Überblick über die Verarbeitung der maßgeblichen Daten hat, ist es nachvollziehbar, dass er Fehler oder Unregelmäßigkeiten der Verarbeitung an den Auftraggeber melden und Maßnahmen zur Risikominderung ergreifen muss.
• Unterstützung in Verfahren mit Aufsichtsbehörden – Die Datenschutzaufsichtsbehörden haben das Recht, die Verarbeitung der Daten durch den Verantwortlichen zu überprüfen, was auch eine Überprüfung der Verarbeitung beim Auftraggeber mit umfassen kann (Art. 28 Abs. 3 S. 2 lit. h und Abs. 4. DSGVO).
• Abwehr und Unterstützung gegen externe Gefährdung von Daten – Der Auftragsverarbeiter ist der verlängerte Arm des Auftraggebers und die Daten sind ihm nur für die Zwecke der Verarbeitung übertragen. Sonst hat der Auftragsverarbeiter keine Rechte an den Daten. Daher dürfen die Daten des Auftraggebers beim Auftragsverarbeiter grundsätzlich nicht durch Behörden, Gerichtsvollzieher oder Insolvenzverwalter oder andere Dritte in Beschlag genommen werden. Sollte dies doch passieren, dann muss der Auftragsverarbeiter die Dritten darauf hinweisen, dass die Daten des Auftraggebers auszunehmen sind und den Auftraggeber über eine derartige Gefährdung seiner Daten, schon wenn sie droht, informieren. Ferner muss der Auftragsverarbeiter den Auftraggeber bei der Rückgewinnung der Daten oder sonstigen und angemessenen Schadensminderungsmaßnahmen unterstützen.
• Bereitstellung von Informationen zur Erfüllung gesetzlicher Pflichten des Auftraggebers – Der Auftraggeber ist darauf angewiesen, dass der Auftragsverarbeiter ihn bei der Erfüllung seiner gesetzlichen Pflichten (z. B. gegenüber Behörden, Betroffenen oder sonstigen Dritten) mit Informationen betreffend die Verarbeitung der Daten beim Auftragsverarbeiter unterstützt.
• Keine Pflichten, wenn Auftraggeber Informationen selbst beschaffen kann – Es sollte klargestellt werden, dass der Auftragsverarbeiter den Auftraggeber nur soweit bei der Beschaffung von externen erforderlichen Informationen unterstützen muss, wie der Auftraggeber die Information sich nicht selbst verschaffen kann.

Zu beachten ist ferner, dass der Auftragnehmer die vorgenannten Pflichten nicht nur einhalten, sondern dies auch nachweisen muss.

Auftragsverarbeiter muss die Einhaltung seiner Pflichten nachweisen können: Der Auftraggeber muss auch eine ordnungsgemäße Verarbeitung beim Auftragsverarbeiter nachweisen können (u. A. auf Grund der allgemeinen Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO). Zu den Nachweisen gehören u. a. Verpflichtung der Mitarbeiter auf Datenschutz, Implementierung von Schutzmaßnahmen, etc. Daher sollten zumindest immer Protokolle geführt werden, aus denen hervorgeht, dass entsprechende Maßnahmen eingeführt wurden (z. B. Protokoll der Implementierung von und Durchführung von Mitarbeiterschulungen, Kopie eines Berechtigungskonzeptes, etc.). Im Zweifel können auch Mitarbeiter als Zeugen aufgeführt werden. Im Prinzip sollten sich Auftragsverarbeiter im Hinblick auf die im Auftrag verarbeiteten Daten so verhalten, als ob sie selbst für die Verarbeitung verantwortlich wären.

Der Auftragsverarbeiter muss den Auftraggeber bei der Beseitigung der Datenpanne sowie ihrer Folgen, als auch bei der Einhaltung seiner Meldepflichten unterstützen (Art. 28 Abs. 3 S. 2 lit. f. DSGVO).

Mitteilung der Störung der Auftragserledigung: Auch wenn noch keine Datenpanne eingetreten sein sollte, sollten Auftragsverarbeiter auch dann zur Information verpflichtet werden, wenn sie gegen das Gesetz oder diesen Auftragsverarbeitungsvertrag verstoßen haben (z. B. wenn Weisungen des Auftraggebers nicht ausgeführt oder Auskunftsanfragen von betroffenen Personen nicht weitergeleitet oder beantwortet wurden).

Damit der Auftraggeber für diese Risikoprüfung und Vornahme der Meldung hinreichend Zeit hat, sollte der Auftragsverarbeiter seinerseits mit dieser Klausel verpflichtet werden, Datenpannen unverzüglich beim Auftraggeber zu melden. Optional ist eine Bestimmung der Üblichkeit auf 24 Stunden möglich.

“Grundsätzlich” bedeutet, dass im Einzelfall eine schnellere oder kürzere Meldung angebracht sein kann, je nachdem wie schwerwiegend die Folgen der Datenpanne sein können oder wie klar es ist, dass der Schutz der Daten tatsächlich verletzt worden ist.

Mindestinhalt der Meldung: Die in dem Auftragsverarbeitungsvertrag vorgegebenen Mindestanforderungen der Meldung von Datenpannen bestimmen sich nach den für den Auftraggeber gesetzlich geltenden Vorgaben für die Meldung (Art. 33 Abs. 3 DSGVO). Dazu gehören u.a. eine Beschreibung des Vorfalls, Ansprechpartner, wahrscheinliche Folgen für Betroffene und ergriffene Gegenmaßnahmen.

• Beschränkung von Kontrollen auf den Gegenstand der Auftragsverarbeitung – Die Kontrolle ist auf die im Auftrag verarbeiteten Daten und die angegebenen technischen und organisatorischen Maßnahmen sowie einen etwaigen Einsatz von Unterauftragsverarbeitern beschränkt.
• Kein Recht auf Zugang zu Geschäftsgeheimnissen und personenbezogenen Daten Dritter – Der Auftraggeber hat kein Recht auf Zugang zu Geschäftsgeheimnissen und personenbezogenen Daten, die nicht Teil seines Auftrags sind.
• Keine Störung des Betriebsablaufs – Der Auftraggeber darf ohne einen zwingenden Grund den Betriebsablauf beim Auftragsverarbeiter nicht stören und falls die Störung unvermeidbar ist, darf sie nur in einem möglichst geringen Umfang erfolgen.
• Übliche Geschäftszeiten und 14-tägige Vorankündigung – Um etwaige Unklarheiten zu vermeiden, ist es zu empfehlen festzulegen, dass eine Prüfung nur innerhalb üblicher Geschäftszeiten zu erfolgen hat und angemessen vorab anzukündigen ist.
• Fachkunde, Vertraulichkeit und Integrität der Prüfer – Der Auftragsverarbeiter muss sicher sein, dass die Kontrollen von fachkundigen Personen durchgeführt werden, die selbst auf den Datenschutz verpflichtet sind und mit dem Auftragsverarbeiter nicht in einem Wettbewerbsverhältnis stehen. Denn nur so kann der Auftragsverarbeiter darauf vertrauen, dass die Grenzen der Erforderlichkeit eingehalten und insbesondere personenbezogene Daten Dritter oder Geschäftsgeheimnisse geschützt und zutreffende Ergebnisse erzielt werden.
• Kontrollen grundsätzlich maximal alle 12 Monate – Eine Begrenzung der Kontrollen auf 12 Monate (außer bei Anlässen, wie z. B. Datenpannen) ist üblich, zulässig und wird im Regelfall ausreichend sein. Ohne eine ausdrückliche Vereinbarung bestimmt sich ein angemessener Turnus nach den Umständen, wie z. B. Art der verarbeiteten Daten, Branchenübung etc., was durchaus ein Streitpunkt zwischen dem Auftraggeber und dem Auftragnehmer werden könnte.

Unterstützungspflicht des Auftragnehmers bei Kontrollen: Dem Gesetz entsprechend wird in dieser Klausel eine Pflicht des Auftraggebers festgelegt, den Auftraggeber bei den Kontrollen im erforderlichen Rahmen zu unterstützen. “Erforderlicher Rahmen” bedeutet, dass der Auftragsverarbeiter nur dann Unterstützung (z. B. durch Vorlage von Informationen oder Auskünfte und Erläuterungen) leisten muss, wenn der Auftraggeber sein Ziel nicht genauso gut ohne dessen Mitwirkung in einem zumutbaren Aufwand erreichen kann. Zum Beispiel muss der Auftragsverarbeiter nicht über technisches Allgemeinwissen aufklären, Verpflegung anbieten oder eine über mehrere Tage verteilte Kontrolle, die in wenigen Stunden erfolgen könnte, hinnehmen.

Dies hängt mit dem praktischen Aufwand und den Kosten zusammen. Umgekehrt versuchen auch Auftragsverarbeiter vor Ort Kontrollen eher zu vermeiden, um die Daten anderer Kunden oder Geschäftsgeheimnisse zu schützen.

Als Mittelweg ist daher empfohlen und zulässig, dass Kontrollen auch durch Vorlage von Ergebnissen von Prüfungen unabhängiger und kompetenter Dritter, Zertifikate oder behördlich genehmigte interne Verhaltensregeln erfolgen dürfen.

Derartige Ketten-Auftragsverhältnisse sind erlaubt, wenn die folgenden Voraussetzungen beachtet werden:

1. Genehmigung: Der Einsatz von Unterauftragsverarbeitern muss mit der Genehmigung des Auftraggebers erfolgen (entweder ausdrücklich für jeden Unterauftragsverarbeiter oder als pauschale Allgemeineinwilligung, Art. 28 Abs. 2 S. 1 DSGVO).
2. Einhaltung Sicherheitsniveau: Das dem Auftraggeber zugesicherte Sicherheitsniveau muss auch bei dem Unterauftragsverarbeiter nachweislich eingehalten werden (Art. 28 Abs. 4 DSGVO).

Dagegen liegt keine Unterauftragsverarbeitung in den folgenden Fällen vor:

• Mittelbarer/zufälliger Kontakt mit den Daten: Wenn die vom Auftragsverarbeiter beauftragten Dienstleister nur mittelbar oder zufällig mit den Daten in Verbindung kommen (z. B. bei IT-Wartung ohne Datenpflege, Bewachungsdienstleistungen oder als Reinigungskraft).
• Verarbeitung betrifft andere Daten, als die im Auftrag verarbeiteten: Angenommen, der Versanddienstleister X erhält vom Auftraggeber Y einen Satz E-Mailadressen zwecks Newsletterversandes. Wenn der Versanddienstleister X den Adresssatz auf einem Google-Server speichert, wird Google zum Unterauftragsverarbeiter. Werden jedoch nur die Angaben zu Ansprechpartnern des Auftraggebers bei Google-Mail gespeichert, der Adresssatz aber auf deinem eigenem Server vom Versanddienstleister X, dann ist Google kein Unterauftragsverarbeiter. Denn Kern der Auftragsverarbeitung ist die Verarbeitung des Adresssatzes, nicht der Daten der Ansprechpartner. Diese werden nur nebenbei verarbeitet.

Achtung, auch bei Nebenleistungen muss der Auftragsverarbeiter für die Sicherheit der Daten des Auftraggebers sorgen und im Optimalfall Verpflichtungen der Dienstleister zum Datenschutz oder generell zum Schutz von vertraulichen Informationen (NDAs) einholen (eine “Vertraulichkeitsverpflichtung von Geschäftspartnern und Dienstleistern (NDA)” können Sie bei uns erstellen).

• Einsatz Unterauftragsverarbeiter nur mit gesonderter Genehmigung – Nach dieser Alternative muss jeder Unterauftragsverarbeiter von dem Auftraggeber separat und vorab genehmigt werden.
• Allgemeine Genehmigung mit Einspruchsrecht – Statt für jeden Unterauftragsverarbeiter eine gesonderte Einwilligung einzuholen, kann der Auftraggeber den Einsatz von Unterauftragsverarbeitern allgemein genehmigen. In dem Fall muss der Unterauftragsverarbeiter den Auftraggeber jedoch mit einer angemessenen Vorfrist informieren, die mindestens 14 Werktage betragen sollte (die Frist kann jedoch unter den Vertragsparteien auch abweichend festgesetzt werden). Innerhalb der Frist sollte der Auftraggeber prüfen können, ob er mit dem Einsatz des Auftragsverarbeiters einverstanden ist. Der Einspruch darf nicht willkürlich erfolgen, sondern muss begründet sein. Die genannten Fristen von 14 Tagen können unter den Vertragsparteien auch abweichend festgesetzt werden, wenn die Umstände es erfordern sollten.

Eine separate Genehmigungspflicht für die Beauftragung von Unterauftragsverarbeitern kommt vor allem dann in Frage, wenn der Auftraggeber die Verarbeitung seiner Daten genau kontrollieren will. Dazu besteht zum Beispiel bei besonders sensiblen Daten, wie Gesundheitsdaten oder Daten der Beschäftigten ein Anlass.

Allerdings sollte bedacht werden, dass der Genehmigungsprozess für den Auftragsverarbeiter vor allem bei einer Vielzahl von Auftraggebern hinderlich und langwierig sein kann. Daher wird vor allem bei Massengeschäften (z. B. Onlineplattformen) eine Vorabgenehmigung mit Meldepflicht praktiziert.

Anlage Unterauftragsverhältnisse: Unterauftragsverhältnisse werden dem Auftragsverarbeitungsvertrag traditionell in einer Anlage gelistet beigelegt und gelten mit Vertragsschluss als genehmigt. Allerdings empfiehlt sich vor allem bei häufigeren Änderungen, einen Link auf einer Webseite aufzunehmen, auf der die aktuellen Subunternehmer gelistet werden.

• Sorgfältige Auswahl und Sicherstellung des Datenschutzniveaus – Der Auftragsverarbeiter muss sicherstellen, dass das Datenschutzniveau und die Schutzpflichten, die er mit dem Auftraggeber vereinbart hat, zumindest genauso auch beim Unterauftragsverarbeiter eingehalten werden. D. h. insbesondere, dass die Vereinbarungen, Verpflichtungen und TOMs aus dem Auftragsverarbeitungsvertrag zwischen dem Auftraggeber und dem Auftragsverarbeiter, sich spiegelbildlich im Auftragsverarbeitungsvertrag zwischen dem Auftragsverarbeiter und dem Unterauftragsverarbeiter wiederfinden sollten.
• Dokumentation der Prüfung und Beauftragung – Der Auftraggeber muss die Rechtmäßigkeit der Auftragsverarbeitung nachweisen können. Daher ist er auf die Dokumentation des Auftragsverarbeiters angewiesen (z. B. Verzeichnis von Verarbeitungstätigkeiten, Protokolle der technischen und organisatorischen Maßnahmen, etc.).
• Evaluation der Unterauftragsverarbeiter mindestens alle 12 Monate – Genauso wie der Auftraggeber die Verarbeitung seiner Daten durch den Auftragsverarbeiter kontrollieren muss, muss auch der Auftragsverarbeiter eine entsprechende Kontrolle bei den Unterauftragsverarbeitern durchführen. Die Frequenz von 12 Monaten ist üblich, wobei sie durch die Vertragsparteien je nach Bedarf auch abweichend festgelegt werden kann. Der Auftragsverarbeiter muss die Kontrollen der Unterauftragsverarbeiter jedoch nicht vor Ort durchführen, sondern kann z. B. auf Zertifikate oder Prüfungsberichte von neutralen Auditoren vertrauen (welche jedoch selbst nicht älter als 12 Monate, bzw. die abweichend vereinbarte Frist, sein sollten).
• Festlegung der Verantwortlichkeiten zwischen Unter- und Auftragsverarbeiter – Die Beauftragung von Unterauftragsverarbeitern muss, vor allem für den Auftraggeber, transparent erfolgen. Es muss immer klar sein, welche Aufgaben der Unterauftragsverarbeiter statt des Auftragsverarbeiters wahrnimmt. In der Praxis ist dieser Punkt eher unproblematisch, da sich diese Angaben in der Regel aus dem Auftragsverarbeitungsvertrag zwischen dem Auftragsverarbeiter und dem Unterauftragsverarbeiter ergeben.

Daher sollte auch der Auftragsverarbeitungsvertrag zwischen dem Auftraggeber und dem Auftragnehmer eine entsprechende Klausel enthalten, die explizit auf diese Berechtigung des Auftraggebers hinweist.

Daher ist es sinnvoll den räumlichen Rahmen für die Auftragsverarbeitung festzulegen, wobei z. B. die folgenden Regelungen häufiger verwendet werden:

• Verarbeitung im Drittland ist zulässig, wenn Datenschutzniveau gesichert ist – Offiziell spricht nichts dagegen, dass der Auftraggeber die Verarbeitung seiner Daten auch außerhalb der EU/ des EWR erlaubt, solange dort das EU-Datenschutzniveau gewährleistet ist. Praktisch ist das Risiko allerdings höher, wie das Beispiel des 2020 aufgehobenen EU-US-Privacy Shield zeigte. Auch in den USA war bei unter dem “Privacy Shield” selbst-zertifizierten Unternehmen ein sicheres Datenschutzniveau offiziell festgestellt worden, bis der Europäische Gerichtshof dem widersprach und die Unternehmen plötzlich besondere Sicherheitsnachweise erbringen müssen. Daher sollten Auftraggeber sich überlegen, ob sie das Risiko, dass eine Datenverarbeitung im Drittland unsicher werden könnte (bzw. als solche gelten könnte), eingehen möchten. Das gilt vor allem, wenn besonderes sensible Arten von Daten, wie z. B. Gesundheits- oder Arbeitnehmerdaten verarbeitet werden sollten.
• Beschränkung Datenverarbeitung auf EU/EWR – Die Beschränkung auf den Bereich der EU, bzw. den EWR (u.a. Norwegen, Island) ist üblich, schränkt jedoch den Auftragsverarbeiter ein, da er z. B. keine US-Dienstleister als Hilfsdienste zur Verarbeitung der Daten als Unterauftragsverarbeiter heranziehen kann.
• Beschränkung Datenverarbeitung auf EU/EWR & Schweiz – Wird neben der EU und der EWR auch die Schweiz als zulässiger Ort der Auftragsverarbeitung aufgenommen, dann ist dies grundsätzlich unproblematisch, da das Datenschutzniveau in der Schweiz von der EU-Kommission als hinreichend sicher anerkannt ist. Dass die Schweiz explizit genannt wird, hängt damit zusammen, dass die Schweiz häufig als Teil der DACH-Region (Deutschland, Schweiz, Österreich) in Verträgen mit aufgenommen wird.
• Beschränkung Datenverarbeitung auf den DACH-Bereich – Diese Beschränkung auf die DACH-Region (Deutschland, Schweiz, Österreich) ist eher unüblich, wird jedoch von manchen Auftraggebern gewünscht.
• Beschränkung Datenverarbeitung auf Deutschland – Eine Beschränkung der örtlichen Verarbeitung auf bestimmte Länder, wie hier Deutschland, ist nicht zwingend notwendig (formell, d. h. laut Gesetz, besteht in der EU/EWR das gleiche Datenschutzniveau), wird jedoch von manchen Auftraggebern gewünscht.

Sollte der Auftragsverarbeiter die Auftragsdaten in einem anderen Land, als vereinbart verarbeiten wollen, ist eine vorhergehende Genehmigung durch den Auftraggeber erforderlich.

• EU-Kommission hat ein angemessenes Datenschutzniveau festgestellt – derartige Angemessenheitsbeschlüsse existieren z. B. für die Schweiz, Neuseeland, Andorra, Argentinien, die Färöer Inseln, Guernsey, Japan und im Wesentlichen für Kanada und Israel (dagegen nicht für die USA – für die die EU-Kommission in der Vergangenheit zwar Ausnahmen gemacht hat, die jedoch vom Europäischen Gerichtshof aufgehoben wurden – “Safe Harbor” in 2015 und “Privacy Shield” in 2020).
• Abschluss sog. “Standard Contractual Clauses (SCC)” – Diese vorgefertigten und als “Standardschutz-” / bzw. “Standardvertragsklauseln” bezeichneten Vertragsvorlagen, verpflichten den Vertragspartner zur Einhaltung des europäischen Datenschutzniveaus (Standardschutzklauseln sind häufig mit Auftragsverarbeitungsverträgen verbunden). Allerdings erlauben die Standardvertragsklauseln Datentransfers in Drittländer nur, wenn das Datenschutzniveau tatsächlich gewahrt wird, d. h. sichergestellt ist, dass die Zusagen auch eingehalten werden. D. h. der Auftraggeber muss prüfen, ob die Standardvertragsklauseln tatsächlich beachtet werden (s. unseren Ratgeber Keine Angst vor US-Datentransfers ohne Privacy Shield & Muster, Ratschläge und Checkliste für Standardvertragsklauseln).
• Binding Corporate Rules – Unternehmen können sich auch selbst gegebene und verbindliche Datenschutzregeln geben. Diese Alternative ist eher selten, zumal auch eine externe Zertifizierung oder eigene Prüfung erforderlich wäre, um auf deren Grundlage Daten in Drittländer zu transferieren (das Ergebnis dürfte ähnlich wie bei Standardschutzklauseln ausfallen).
• Erforderliche Datentransfers – Wenn die Übermittlung oder sonstige Verarbeitung der Daten in Drittländern erforderlich und für die Betroffenen erkennbar ist, darf die Übermittlung erfolgen (z. B. wenn Waren für Kunden erkennbar aus den USA verschickt werden).
• Einwilligungen – Als letzte Möglichkeit bleiben praktisch nur die Einwilligungen der betroffenen Personen. Diese sind jedoch zum einen umständlich und können schnell an fehlender Transparenz, ausdrücklicher Abgabe oder an fehlender Freiwilligkeit (z. B. bei Arbeitnehmern, § 26 Abs. 2 BDSG) oder fehlender Einwilligungsfähigkeit (in Deutschland ab 16 Jahren, in Österreich ab 14, s. Art. 8 Abs. 3 DSGVO) scheitern.
• Weitere Ausnahmen – Weitere Ausnahmen können Sie Art. 49 DSGVO entnehmen (die zwar in Frage, aber nur unter strengen Voraussetzungen in Frage kommen könnten).

Sollte der Auftragsverarbeiter die Daten im Auftrag in einem anderen Land, als in diesem Auftragsverarbeitungsvertrag vereinbart, verarbeiten wollen, ist eine Genehmigung durch den Auftraggeber erforderlich.

• Information bei Fehlern in Auftragsergebnissen – Falls der Auftraggeber Unregelmäßigkeiten bei der Verarbeitung feststellt, dann sollte er den Auftragsverarbeiter darüber informieren.
• Benennung von Ansprechpartnern durch den Auftraggeber – Ansprechpartner müssen nicht zwingend benannt werden, wenn sich die Ansprechpartner sonst eindeutig bestimmen lassen (z. B. Beauftragung durch einen Einzelunternehmer oder Festlegung der Ansprechpartner im Hauptvertrag). Empfohlen wird jedoch die Ansprechpartner (oder Ansprechstellen, wie z. B. “Leitung IT”) festzulegen und anzugeben, wie diese erreichbar sind. Ansonsten können z. B. Unklarheiten entstehen, wenn sich ein bis dato unbekannter Mitarbeiter des Auftraggebers mit einer dringenden Weisung meldet und unklar ist, ob diese ausgeführt werden sollte.
• Unterstützung bei der Abwehr von Ansprüchen Dritter – Der Auftragsverarbeiter muss die Daten des Auftraggebers im Fall der Zugriffe oder Zugriffsversuche seitens Behörden, Gläubigern oder Insolvenzverwaltern schützen und muss den Auftraggeber bei der Abwehr dieser Zugriffe unterstützen. Umgekehrt muss auch der Auftraggeber dem Auftragsverarbeiter beistehen (und z. B. behördliche Anträge stellen), wenn dieser aufgrund der Auftragsverarbeitung von Dritten in Anspruch genommen wird.

Erst im Innenverhältnis muss letztendlich derjenige die Nachteile/ Kosten tragen, der für den Schaden verantwortlich war (Art. 82 Abs. 3 DSGVO).

Haftungsregelung im Auftragsverarbeitungsvertrag: Es ist rechtlich nicht geklärt, ob eine von dem Gesetz abweichende eigene Regelung der Haftungsverteilung im Innenverhältnis zwischen dem Auftraggeber und dem Auftragsverarbeiter wirksam wäre. Eine Zahl der juristischen Ansichten hält solche Regelungen für unwirksam oder fordert zumindest Detailregelungen für möglichst konkrete Fälle, um eine angemessene Haftungsverteilung wahren. Im Übrigen kann man die gesetzliche Regelung, dass am Ende derjenige haftet, der für einen Schaden verantwortlich ist, als fair bezeichnen.

• Beginn und Ende gekoppelt an Hauptvertrag – Hiernach ist der Auftragsverarbeitungsvertrag so lange wirksam wie der Hauptvertrag. Diese Regelung ist vor allem in dem häufigen Fall zu empfehlen, wenn der Auftragsverarbeitungsvertrag begleitend zu einem Hauptvertrag geschlossen wird (was z. B. auch für Rahmenverträge und andere laufende Geschäftsbeziehungen gelten kann).
• Geltung ab Unterschrift / elektronischem Abschluss des Auftragsverarbeitungsvertrages – Dieser Punkt regelt speziell, dass der Auftragsverarbeitungsvertrag erst mit dessen Unterschrift oder mit elektronischem Abschluss (z. B., wenn er online akzeptiert wird) wirksam wird.
• Bestimmung eines Laufzeitbeginns und Endes – In diesem Fall muss genau klar sein, wann eine Auftragsverarbeitung beginnt und endet. Da sich dieser Zeitpunkt in der Praxis meistens anhand des Hauptvertrages bestimmt, kann gleich auf diesen verwiesen werden.

In den meisten Fällen wird eine Kopplung des Auftragsverarbeitungsvertrages an einen Hauptvertrag sinnvoll sein. So wird sichergestellt, dass die Auftragsverarbeitung stets von einem gesetzlich vorgesehenen Auftragsverarbeitungsvertrag begleitet wird. Im Übrigen wirken die Schutzpflichten im Hinblick auf die sich noch beim Auftraggeber befindlichen Daten nach (s. Erläuterungen unten).

Eine Kündigungsfrist wird daher erst dann relevant, wenn der Auftragsverarbeitungsvertrag nicht automatisch an den Hauptvertrag gekoppelt wurde. Dann würde ein Auftragsverarbeitungsvertrag rein theoretisch unendlich lang laufen und dessen Pflichten würden fortgelten (auch wenn sie in der Mehrzahl mangels einer tatsächlich erfolgenden Auftragsverarbeitung leerlaufen würden).

Schadensersatzpflicht bei unberechtigter Kündigung: Die Kündigung eines Auftragsverarbeitungsvertrages durch den Auftragsverarbeiter bei einer laufenden Auftragsverarbeitung kann dazu führen, dass der Auftraggeber ebenfalls den gesamten Auftrag kündigen muss, um nicht gegen die Vorgaben der DSGVO zu verstoßen. Dadurch kann sich ein Auftragsverarbeiter schadensersatzpflichtig machen, wenn die Kündigung z. B. ohne Anlass erfolgte (oder gar am Ende unwirksam war). Das gilt auch umgekehrt für eine Kündigung des Auftraggebers, weshalb Kündigungen von Auftragsverarbeitungsverträgen angekündigt und genau geprüft werden sollten.

• Kündigung nur in Schriftform – Eine Vereinbarung, nach der die Kündigung des Auftragsverarbeitungsvertrages nur schriftlich, also “auf dem Papier” zu erfolgen hat, ist zwar nicht erforderlich und heutzutage immer seltener, aber zulässig.
• Kündigung in elektronischer Form möglich – Es ist zunehmend üblich, vor allem im Massengeschäft (z. B. bei Onlineplattformen oder SaaS/Cloud-Software), dass Auftragsverarbeitungsverträge elektronisch gehandhabt werden und Kündigungen z. B. per E-Mail oder im Kundenbereich einer Onlineplattform bereitgestellt und “per Klick” akzeptiert werden. Dies ist entsprechend Art. 28 Abs. 9 DSGVO zulässig, da eine Kündigung grundsätzlich im selben Format erfolgen kann, wie die Begründung des Vertrages. Wobei eine strengere Form, d. h. hier eine schriftliche Kündigung daneben möglich bleibt.

Daher ist eine Vereinbarung zu empfehlen, nach der der Auftragsverarbeiter die Dokumentationen so lange aufbewahren muss, wie der Auftraggeber sie zum Nachweis benötigt (wobei der Auftraggeber diese Fristen dem Auftragsverarbeiter mitteilen sollte, falls sie nicht deutlich sein sollten), bzw. mindestens drei Jahre. Wobei der Auftragsverarbeiter auch das Recht hat, die Dokumentationen dem Auftraggeber vor Ablauf dieser Fristen zu übergeben und sich so von der Aufbewahrungspflicht zu befreien.

• Regelung im Auftragsverarbeitungsvertrag unzulässig – Zumindest die bayerische Datenschutzaufsicht (BayLfD) hält Entgeltregelungen im Auftragsverarbeitungsvertrag für unzulässig, da sie zumindest im Hinblick auf Kontrollen deren Wirksamkeit hemmen und sich so zu Lasten der Nutzer auswirken können. Allerdings sei die Entgeltregelung zu Serviceleistungen im Hauptvertrag oder in einer gesonderten Vereinbarung zulässig.
• Regelung im Auftragsverarbeitungsvertrag zulässig – Nach der von uns vertretenen Ansicht, macht es jedoch keinen Unterschied, an welcher Stelle dieselbe Verpflichtung geregelt wird, solange deutlich gemacht wird, dass die Betroffenenrechte beachtet und nicht beeinträchtigt werden. Wenn Sie jedoch auf Nummer Sicher gehen möchten, dann können Sie die Vereinbarungen zur Aufwandsentschädigung auch in ihrem Hauptvertrag oder einem gesonderten Vertrag aufnehmen.

Inhaltlich besagen Entgeltvereinbarungen dieser Art, dass der Auftragsverarbeiter dann eine zusätzliche Vergütung verlangen kann, wenn er in einem Umfang datenschutzrechtlich in Anspruch genommen wird, mit dem er typischerweise nicht rechnen müsste. Z. B. wenn der Auftraggeber massiv gegen das Datenschutzrecht verstößt und Kontrollen sowie Prüfungen unterworfen wird, die sich auch auf den Auftragsverarbeiter auswirken.

Relevanz der Aufwandsentschädigung für die Praxis: Ab wann der Aufwand unüblich wird, muss im Einzelfall bestimmt werden. In der Praxis kommt eine zusätzliche Kostenberechnung eher selten vor. Daher sind Klauseln zur Aufwandsentschädigung zwar ein Zugewinn an Sicherheit für den Auftragsverarbeiter, sollten jedoch kein “Deal-Breaker” sein, falls der Auftraggeber sie nicht akzeptieren will.

Eine Vertragsstrafe sollte vor allem dann vereinbart werden (zumindest aus der Sicht des Auftraggebers), wenn ein besonders hohes Risiko bei Pflichtverletzungen des Auftraggebers besteht (z. B. bei Gesundheitsdaten oder Beschäftigtendaten). Auch, wenn z.B. ein Datenschutzverstoß seitens des Auftragsverarbeiters erfolgen sollte, wird eine Vertragsstrafenvereinbarung positiv zu Gunsten des Auftragsverarbeiters ausgelegt.

Um wirksam zu sein, müssen Vertragsstrafen jedoch die folgenden Voraussetzungen erfüllen:

• Transparenz – die Voraussetzungen müssen klar, Verstöße erkennbar und vermeidbar sein.
• Der Höhe nach angemessen – Die Höhe der Vertragsstrafe ist anhand des Risikos, der Eintrittswahrscheinlichkeit, möglicher Schäden und des Grades des Verschuldens des Vertragsstrafenschuldners zu bestimmen. Allerdings müssen auch die individuellen Bußgeldhöhen beachtet werden, die je nach Umsatz eines Unternehmens mit bis zu 4 % des Jahresumsatzes sehr hoch ausfallen können (Art. 83 Abs. 6 DSGVO).
• Verschuldensabhängig – Eine Vertragsstrafe ohne Verschulden, würde bedeuten, dass der Vertragsstrafenschuldner auch für eine zufällige Offenbarung von vertraulichen Informationen verantwortlich wäre. Eine derartige Garantiehaftung ist grundsätzlich unwirksam und sollte in Spezialfällen gesondert als eine Individualabrede vereinbart werden.

Die Vertragsstrafe soll zudem die Begründung eines tatsächlichen Schadens ersparen, indem sie in Höhe eines typischerweise entstehenden Schadens festgelegt wird. Jedoch sollten Auftraggeber sich die Möglichkeit einen tatsächlich höheren Schaden geltend machen zu können, vorbehalten.

• Vereinbarung des geltenden Rechts – Wenn der Auftraggeber und der Auftragsverarbeiter aus unterschiedlichen Ländern kommen, dann ist es sinnvoll das Recht zu vereinbaren, welches im Fall von Rechtsstreitigkeiten gelten soll. Man kann aber auch das Gesetz über das anwendbare Recht bestimmen lassen, was wiederum durch internationale Vereinbarungen bestimmt wird, weshalb im Regelfall das Recht im Land des Auftragsverarbeiters maßgeblich ist (so z. B. ROM I und ROM II Verträge). Im Regelfall gibt der Auftragsverarbeiter auch im Auftragsverarbeitungsvertrag vor, dass das Recht seines Landes gilt. Am Ende zählt aber letztendlich, welche Vertragspartei eher die Regeln diktiert. Das ist dann die Frage der wirtschaftlichen Position und des Verhandlungsgeschicks.
• Vereinbarung des Gerichtsstandorts – Der Gerichtsstandort ist ebenfalls relevant, denn er bestimmt, am Ort welcher Vertragspartei ein eventueller Rechtsstreit ausgetragen wird. Das kann vor allem Reisekosten, auch innerhalb eines Landes, für die Vertragsparteien und deren RechtsanwältInnen ersparen. Hier gilt das zum geltenden Recht gesagte, d. h. wenn nichts geregelt wird, es grundsätzlich der Sitz des Auftragsverarbeiters.

Wenn die Vertragsparteien keine Vereinbarungen treffen, wird der Hauptvertrag maßgeblich sein.

Die DSGVO kann nicht abbedungen werden: Zwingendes Recht kann vertraglich nicht abbedungen werden. So kann z. B. die Wirkung der DSGVO per Vertrag auch nicht aufgehoben werden, wenn bestimmt wird, dass z. B. das US-Recht gilt.

Sie sollten dazu im Hauptvertrag darauf hinweisen, z. B. in dessen Anlagenübersicht “Anlage: Auftragsverarbeitungsvertrag”.