Artikel 28 der DSGVO: Das Wichtigste für Datenverarbeiter

Artikel 28 DSGVO (Datenschutz-Grundverordnung) regelt den schriftlichen Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter (oder Unterauftragsverarbeiter). Dieser Vertrag berechtigt Auftragsverarbeiter rechtlich zur Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen. Er wird auch als Auftragsverarbeitungsvertrag (AVV) bezeichnet.

Hier ist ein Beispiel für eine Standard-Datenschutzvereinbarung und die darin enthaltenen Informationen.

Wenn Ihre Organisation ein Datenverarbeiter ist, müssen Sie Artikel 28 der DSGVO einhalten und die erforderlichen Garantien gemäß den Bestimmungen nachweisen. In diesem Artikel erläutern wir die Anforderungen an Datenverarbeiter und die Schritte, um diesen Status zu erreichen. Auch für Verantwortliche bieten wir die passenden Informationen.

Als Verantwortlicher sind Sie verpflichtet, einen rechtsgültigen Vertrag mit dem Auftragsverarbeiter abzuschließen. Der Vertrag sollte die Rollen und Pflichten des Auftragsverarbeiters sowie die Rechte des Verantwortlichen festlegen.

Vereinfacht gesagt ist der Verantwortliche letztendlich für die verwendeten personenbezogenen Daten verantwortlich und hat die Verantwortung sicherzustellen, dass die Auftragsverarbeiter auf rechtmäßige Weise eingebunden werden.

Was ist Artikel 28 DSGVO??

Artikel 28 der DSGVO behandelt den schriftlichen Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter (oder Unterauftragsverarbeiter) und legt die rechtlich bindenden Grenzen ihrer Beziehung fest.

Gemäß Artikel 28 DSGVO: Wenn der Auftragsverarbeiter zustimmt, personenbezogene Daten im Auftrag des Verantwortlichen zu verarbeiten. Zum Beispiel

Dies gilt auch dann, wenn ein Auftragsverarbeiter die Datenverarbeitung an einen Unterauftragnehmer auslagert.

Die Datenverarbeiter müssen bei der Verarbeitung ihrer Daten alle vom Verantwortlichen vorgegebenen schriftlichen Richtlinien befolgen.

Unter außergewöhnlichen Umständen ist der Auftragsverarbeiter gemäß den lokalen Datenschutzbestimmungen verpflichtet, den Verantwortlichen über die rechtliche Verpflichtung zu informieren. Der Verantwortliche muss benachrichtigt werden, bevor der Auftragsverarbeiter seine Daten verarbeitet.

Artikel 28 gilt auch dann, wenn personenbezogene Daten an einen Auftragsverarbeiter in einem Drittland übermittelt werden. Auftragsverarbeiter müssen die Sicherheitsanforderungen gemäß Artikel 32 DSGVO erfüllen und technische und organisatorische Maßnahmen wie Pseudonymisierung, Verschlüsselung und regelmäßige Tests implementieren, um die Sicherheit personenbezogener Daten zu gewährleisten.

Artikel 28 Absatz 1 der DSGVO: Auswahl des Auftragsverarbeiters

Absatz 1 des Artikels 28 DSGVO spricht von den Auswahlkriterien, die der Verantwortliche bei der Auswahl eines Auftragsverarbeiters für die Verarbeitung seiner Daten beachten muss. 

Der Verantwortliche darf nur mit Auftragsverarbeitern zusammenarbeiten, die Nachweise über ihre technischen und organisatorischen Sicherheitsvorkehrungen zur Gewährleistung der Datenintegrität und der zur Erfüllung der Anforderungen der DSGVO getroffenen Maßnahmen erbringen können.

Dies dient dem Schutz der Datenschutzrechte der Nutzer.

Artikel 28 DSGVO Absatz 2: Zusammenarbeit mit Unterauftragsverarbeitern

Datenverarbeiter dürfen Unterauftragnehmer nur mit schriftlicher Einwilligung des Verantwortlichen in die Datenverarbeitung einbeziehen. Ist eine schriftliche Einwilligung erforderlich, muss der Auftragsverarbeiter den Verantwortlichen über den Umfang der Beteiligung des Unterauftragnehmers an der Verarbeitungstätigkeit informieren. Dies ermöglicht es dem Verantwortlichen, die Beteiligung des Unterauftragnehmers abzulehnen, wenn er den Auftragsverarbeiter für ungeeignet hält, die Aufgabe mit der gewünschten Effizienz auszuführen.

Artikel 28 DSGVO Absatz 3: Steuerung der Verarbeitungstätigkeit

Gemäß Artikel 28 Absatz 3 der DSGVO ist der Verantwortliche verpflichtet, mit dem Auftragsverarbeiter einen Vertrag abzuschließen, in dem der Auftragnehmer die Dauer der Datenverarbeitung, die Art der Daten, den Zweck der Verarbeitung, die Art der zu verarbeitenden Daten, die Kategorien der betroffenen Personen sowie alle Rechte und Pflichten des Verantwortlichen angibt.

Hier folgt eine neun Punkte umfassende Beschreibung von Absatz 2 des Artikels 28 der DSGVO.

1) Die DSGVO-Verarbeitungstätigkeiten des Auftragsverarbeiters müssen mit den schriftlichen Anforderungen des Verantwortlichen übereinstimmen.

2) Ein Datenverarbeiter sollte den Zugriff auf personenbezogene Daten nur denjenigen Personen gestatten, die zur Wahrung der Vertraulichkeit der Daten verpflichtet sind.

3) Datenverarbeiter müssen alle in Artikel 32 der DSGVO genannten technischen Schutzmaßnahmen implementieren und nachweisen.

4) Datenverarbeiter dürfen ohne die schriftliche Genehmigung des Verantwortlichen keinen Unterverarbeiter einbeziehen. 

5) Wenn ein Datenverarbeiter einen Unterverarbeiter in die Datenverarbeitungstätigkeit einbezieht, ist auch der Unterverarbeiter verpflichtet, alle Anforderungen und Pflichten einzuhalten, die für einen Auftragsverarbeiter gelten.

6) Gemäß dem Auskunftsrecht der betroffenen Person ist der Auftragsverarbeiter verpflichtet, auf alle Verpflichtungen des Verantwortlichen zu reagieren und diese zu erfüllen.

7) Von Datenverarbeitern wird erwartet, dass sie die Verantwortlichen bei der Einhaltung der Vorschriften unterstützen. Dies geschieht unter Berücksichtigung des Zugriffs des Verarbeiters auf Informationen und der Art der Datenverarbeitung, an der er beteiligt ist. Daher sind sie verpflichtet, ihre Unterstützung so auszuweiten, dass die Bestimmungen der Artikel 32, 33, 34, 35 und 36 eingehalten werden.

8) Prozessoren sind verpflichtet, Daten zu löschen, wenn ein Controller eine schriftliche Anfrage dazu stellt. In einigen Fällen können sie auch aufgefordert werden, die Daten zurückzugeben.

9) Der Auftragsverarbeiter muss eine detaillierte Datenabbildung seiner Systeme und Maßnahmen zur Gewährleistung der DSGVO-Konformität vorlegen. Er ist außerdem verpflichtet, seine regelmäßigen Prüfberichte weiterzuleiten, an Inspektionen teilzunehmen und unabhängige Prüfungen durch den Verantwortlichen oder eine von diesem beauftragte Prüfstelle zu unterstützen.

Benötige ich eine Datenverarbeitungsvereinbarung?

Ja, Sie benötigen eine Datenverarbeitungsvereinbarung oder einen Vertrag, auch wenn Sie Verantwortlicher, Auftragsverarbeiter oder Unterauftragsverarbeiter sind.

Die Verantwortlichen müssen sicherstellen, dass ihre Auftragsverarbeiter den Vertrag unterzeichnen und über ihre Pflichten und Verantwortlichkeiten informiert werden, bevor sie personenbezogene Daten verarbeiten.

Ein Auftragsverarbeiter stellt einem Unterauftragsverarbeiter bei dessen Aufnahme in die Verarbeitungstätigkeit einen Vertrag oder eine Auftragsverarbeitungsvereinbarung (AVV) aus. Dieser Vertrag verpflichtet den Unterauftragsverarbeiter rechtlich zur Umsetzung der in der DSGVO festgelegten technischen und organisatorischen Anforderungen, um die Einhaltung der Vorschriften zu gewährleisten. 

Offizieller Inhalt von Artikel 28 der DSGVO

Hier ein kurzer Einblick in den Inhalt des offiziellen Entwurfs von Artikel 28 der DSGVO und dessen Auswirkungen auf Verantwortliche und Auftragsverarbeiter.

1. Erfolgt die Verarbeitung im Auftrag eines Verantwortlichen, so darf der Verantwortliche nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für die Durchführung geeigneter technischer und organisatorischer Maßnahmen bieten, sodass die Verarbeitung den Anforderungen dieser Verordnung entspricht und der Schutz der Rechte der betroffenen Person gewährleistet ist.

2. Der Auftragsverarbeiter darf ohne die vorherige spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen keinen weiteren Auftragsverarbeiter einsetzen. Im Falle einer allgemeinen schriftlichen Genehmigung hat der Auftragsverarbeiter den Verantwortlichen über alle beabsichtigten Änderungen hinsichtlich der Hinzunahme oder des Austauschs anderer Auftragsverarbeiter zu informieren, um dem Verantwortlichen die Möglichkeit zu geben, diesen Änderungen zu widersprechen.

3. Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf Grundlage eines Vertrags oder eines anderen Rechtsakts nach dem Recht der Union oder eines Mitgliedstaats, der für den Auftragsverarbeiter gegenüber dem Verantwortlichen verbindlich ist und Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und Kategorien der betroffenen Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt. Dieser Vertrag oder Rechtsakt muss insbesondere Folgendes vorsehen:

(a) verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, auch im Hinblick auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, dies ist nach dem Recht der Union oder eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, erforderlich; in diesem Fall unterrichtet der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung, es sei denn, dieses Recht verbietet eine solche Information aus wichtigen Gründen des öffentlichen Interesses;

b) stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Vertraulichkeitsverpflichtung unterliegen

c) trifft alle gemäß Artikel 32 erforderlichen Maßnahmen

d) die in den Absätzen 2 und 4 genannten Bedingungen für die Beauftragung eines anderen Auftragsverarbeiters einhält.

e) unter Berücksichtigung der Art der Verarbeitung unterstützt der/die Verantwortliche den/die Verantwortliche/n durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Verpflichtung des/der Verantwortlichen, auf Anfragen der betroffenen Person zur Ausübung ihrer in Kapitel III festgelegten Rechte zu antworten.

f) unterstützt den Verantwortlichen bei der Sicherstellung der Einhaltung der Verpflichtungen gemäß den Artikeln 32 bis 36 unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

g) nach Wahl des Verantwortlichen löscht oder gibt alle personenbezogenen Daten nach Beendigung der mit der Verarbeitung verbundenen Dienstleistungen an den Verantwortlichen zurück und löscht vorhandene Kopien, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats schreibt die Aufbewahrung der personenbezogenen Daten vor.

h) stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in diesem Artikel festgelegten Verpflichtungen nachzuweisen, und ermöglicht und unterstützt Prüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen vom Verantwortlichen beauftragten Prüfer durchgeführt werden.

Hinsichtlich Buchstabe h des ersten Unterabsatzes unterrichtet der Auftragsverarbeiter den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Anweisung gegen diese Verordnung oder andere datenschutzrechtliche Bestimmungen der Union oder eines Mitgliedstaats verstößt.

4. Beauftragt ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Verantwortlichen, so gelten für diesen anderen Auftragsverarbeiter dieselben Datenschutzpflichten wie im Vertrag oder sonstigen Rechtsakt zwischen dem Verantwortlichen und dem in Absatz 3 genannten Auftragsverarbeiter. Diese Pflichten sind durch einen Vertrag oder einen sonstigen Rechtsakt nach Unionsrecht oder dem Recht eines Mitgliedstaats festzulegen, insbesondere durch die Bereitstellung ausreichender Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen, sodass die Verarbeitung den Anforderungen dieser Verordnung entspricht. Kommt dieser andere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so bleibt der ursprüngliche Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung der Pflichten dieses anderen Auftragsverarbeiters vollumfänglich haftbar.

5. Die Einhaltung eines genehmigten Verhaltenskodex gemäß Artikel 40 oder eines genehmigten Zertifizierungsmechanismus gemäß Artikel 42 durch einen Auftragsverarbeiter kann als Element verwendet werden, um ausreichende Garantien im Sinne der Absätze 1 und 4 dieses Artikels nachzuweisen.

6. Unbeschadet eines individuellen Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter kann der Vertrag oder der sonstige Rechtsakt gemäß den Absätzen 3 und 4 dieses Artikels ganz oder teilweise auf den in den Absätzen 7 und 8 dieses Artikels genannten Standardvertragsklauseln beruhen, auch wenn diese Bestandteil einer dem Verantwortlichen oder Auftragsverarbeiter gemäß den Artikeln 42 und 43 erteilten Bescheinigung sind.

7. Die Kommission kann für die in den Absätzen 3 und 4 dieses Artikels genannten Angelegenheiten und im Einklang mit dem in Artikel 93 Absatz 2 genannten Prüfverfahren Standardvertragsklauseln festlegen .

8. Eine Aufsichtsbehörde kann für die in den Absätzen 3 und 4 dieses Artikels genannten Angelegenheiten Standardvertragsklauseln annehmen, und zwar im Einklang mit dem in Artikel 63 genannten Kohäsionmechanismus.

9. Der Vertrag oder der sonstige Rechtsakt gemäß den Absätzen 3 und 4 bedarf der Schriftform, auch in elektronischer Form.

10. Unbeschadet der Artikel 82, 83 und 84 gilt Folgendes: Verstößt ein Auftragsverarbeiter gegen diese Verordnung, indem er die Zwecke und Mittel der Verarbeitung festlegt, so gilt der Auftragsverarbeiter als Verantwortlicher für diese Verarbeitung.

Häufig gestellte Fragen