zukunft medien - Press & More GmbH

34 zukunft medien 3/2011
recht
Auftragsdatenverarbeitung
Lästige gesetzliche
Notwendigkeit oder
Marketingchance?
Mit der Datenschutznovelle 2009 wurden
auch die Bestimmungen zur sog. Auftragsdatenverarbeitung
im BDSG neu
strukturiert. Ausgangspunkt dieser Neuregelung
war eine Initiative des Bundesrates,
mit welcher der damaligen Befürchtung
begegnet werden sollte, dass
Callcenter mit ihren Auftraggebern in zu
loser Verbindung stünden und daher eine
hinreichende Kontrolle der Einhaltung
des BDSG nicht gewährleistet sei. Es
erfolgte dann in § 11 BDSG eine Festschreibung
von verbindlichen Voraussetzungen,
die im Falle einer Auftragsdatenverarbeitung
einzuhalten sind.
Verantwortung des
Auftraggebers bleibt
Was aber fällt unter die Auftragsdatenverarbeitung?
Ausgangspunkt ist, dass sich ein
Auftraggeber im Zusammenhang mit der
Datennutzung und Datenverarbeitung fremder
Hilfe bedient. Dies kann sowohl Dienstleistungsunternehmen
wie Callcenter und
Lettershops, als auch Servicerechenzentren
sowie die Fernwartung von Daten betreffen.
Nach dem Gesetzgeber soll in solchen Fällen
der Auftraggeber, der als verantwortliche Stelle
die Datenverwendung nicht selbst durchführt,
sondern sich hierzu Dritter bedient,
selbst für den Datenschutz verantwortlich
bleiben. Die Verantwortung soll nicht auf den
Dritten/Dienstleister verlagert werden. Der
Auftraggeber bleibt „Herr der Daten“. Entsprechend
kann der Betroffene auch seine Rechte
nach § 6 BDSG (Auskunft, Löschung, Sperrung
usw.) und Schadensersatz nach § 7
BDSG gegen den Auftraggeber als verantwortliche
Stelle geltend machen.
Sorgfaltspflicht nachkommen
Das heißt: Der Auftraggeber muss dafür Sor-
ge tragen, dass beim Auftragnehmer diejenigen
Datenschutzvorkehrungen getroffen werden,
die er selbst vornehmen müsste, wenn
er die Daten in eigener Regie verarbeiten
würde. Überträgt er nun die Datenverarbeitung
auf einen Dritten, muss er diesen sorgfältig
unter Berücksichtigung der Eignung des
dort eingesetzten Datensicherheitskonzeptes
auswählen, ihn durch entsprechende Weisungen
binden sowie die Einhaltung der erforderlichen
technischen und betriebsorganisatorischen
Maßnahmen schon vor Beginn der
Datenverarbeitung und im weiteren Verlauf
kontrollieren und diese Kontrolle auch dokumentieren,
wenn er sich nicht einem Bußgeld
aussetzen will.
Entsprechendes gilt ausdrücklich auch nach
§ 11 Abs. 5 BDSG für die Wartung oder Fernwartung
von Daten.
Die Nichteinhaltung der gesetzlich
genannten Mindestkriterien
nach § 43 BDSG kann als Ordnungs -
widrigkeit mit einer Geldbuße
bis zu 50.000 Euro geahndet werden!
Vertragliche Regelung notwendig
Das Gesetz schreibt zur Regelung des
geschilderten Problemkreises eine schriftliche
Vereinbarung vor, d.h., ein Vertrag zwischen
Auftraggeber und Auftragnehmer. § 11 Abs. 2
BDSG gibt als eine Art „Mustervertrag“ die
grundsätzlich erforderlichen Regelungsinhalte
vor. Darüber hinaus können weitere Regelungen
erforderlich sein, insbesondere:
● Gegenstand und Dauer des Auftrages,
● Umfang, Art und Zweck der vorgesehenen
Erhebung, Verarbeitung oder Nutzung von
Daten sowie die Art der Daten und der
Kreis der Betroffenen,
● die nach § 9 zu treffenden technischen und
organisatorischen Maßnahmen zur
Gewährleistung der Datensicherheit,
● die Berichtigung, Löschung und Sperrung
von Daten,
● die nach § 11 Abs. 4 BDSG bestehenden
Pflichten des Auftragnehmers, insbesondere
die von ihm vorzunehmenden Kontrollen
(Bestellung eines Datenschutzbeauftragten,
soweit gesetzlich erforderlich usw.),
● die etwaige Berechtigung zur Begründung
von Unterauftragsverhältnissen,
● die Kontrollrechte des Auftraggebers und
die entsprechenden Duldungs- und Mitwirkungspflichten
des Auftragnehmers,
● mitzuteilende Verstöße des Auftragnehmers
oder der bei ihm beschäftigten Personen
gegen Vorschriften zum Schutz personenbezogener
Daten oder gegen die im Auftrag
getroffenen Festlegungen,