Auftragsverarbeitung unter der Datenschutz-Grundverordnung

Seit der Anwendbarkeit der Datenschutz-Grundverordnung (DSGVO) haben etliche Verantwortliche schon erlebt, dass sie Verträge zur Auftragsverarbeitung zugesendet bekommen haben, die im Kern keine Auftragsverarbeitung ist.

Zwar herrscht grundsätzlich Vertragsfreiheit, und die Auftragsverarbeitung lässt sich mit viel gutem Willen ausdehnen auf Bereiche, die nur entfernt noch etwas mit AV zu tun haben. So legt mancher Auftraggeber oder -nehmer selbst dann AV-Verträge vor, wenn Kernelemente wie Weisungsbindung und Datenverarbeitung als Zweck des Vertrags gar nicht vorhanden sind.

Bedenkt man jedoch den Aufwand, der mit der Abwicklung dieser Verträge verbunden ist, so lohnt sich die Überlegung, ob es sich tatsächlich um Auftragsverarbeitung handelt oder ob nicht sowieso schon eine andere Rechtsgrundlage vorhanden ist, die einen AV-Vertrag überflüssig macht.

Wir haben im Folgenden einige typische Fragen und Konstellationen zusammengestellt, auf die Sie in der Praxis stoßen könnten.

Auftragsverarbeitung kein Muss

Frage: Verantwortliche erhalten derzeit für beinahe jede Art der Verarbeitung einen Vertrag über Auftragsverarbeitung. Ist das wirklich richtig?

Antwort: Die DSGVO hat die klassische Übermittlung personenbezogener Daten von einem Verantwortlichen zu einem anderen Verantwortlichen nicht außer Kraft gesetzt. Sie ist weiterhin möglich! Der Empfänger der Daten legt in diesen Fällen die Zwecke und die Mittel der Weiterverarbeitung selbst fest, er kann die Daten insbesondere dazu nutzen, eigene Aufgaben zu erfüllen. Um die Daten zu übermitteln und beim Empfänger…