Auftragsverarbeitung mit Lieferanten: Was verlangt Art. 28 DSGVO in der Praxis?

Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Typische Fälle sind Hosting und Rechenzentrumsleistungen, Software als Dienst, IT-Wartung mit Zugriff auf Daten oder der Versand von Post und E-Mails im Auftrag.

Keine Auftragsverarbeitung liegt vor, wo ein Dienstleister überhaupt keinen Zugriff auf personenbezogene Daten hat oder selbst über Zwecke und Mittel der Verarbeitung entscheidet.

Nach Art. 28 Abs. 3 DSGVO legt der Vertrag Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen fest. Der Auftragsverarbeiter verpflichtet sich insbesondere: Daten nur auf dokumentierte Weisung zu verarbeiten (lit. a), die Vertraulichkeit sicherzustellen (lit. b), die Maßnahmen nach Art. 32 zu ergreifen (lit. c), die Regeln für Unterauftragsverarbeiter einzuhalten (lit. d), bei Betroffenenrechten (lit. e) und bei den Pflichten nach Art. 32 bis 36 zu unterstützen (lit. f), die Daten nach Ende der Leistung zu löschen oder zurückzugeben (lit. g) und alle nötigen Informationen bereitzustellen sowie Überprüfungen zu ermöglichen (lit. h).

Der Vertrag ist schriftlich abzuschließen, was auch in einem elektronischen Format möglich ist (Art. 28 Abs. 9). Als Grundlage können die Standardvertragsklauseln der Europäischen Kommission dienen (Durchführungsbeschluss (EU) 2021/915).

Schon vor dem Vertrag muss der Auftraggeber prüfen, ob der Lieferant hinreichende Garantien bietet (Art. 28 Abs. 1). Dazu gehören dokumentierte technische und organisatorische Maßnahmen nach Art. 32 – etwa Zugriffsschutz, Verschlüsselung, Datensicherung und Verfahren zur regelmäßigen Überprüfung.

Genehmigte Verhaltensregeln oder Zertifizierungen nach der DSGVO können als Faktor herangezogen werden, um hinreichende Garantien nachzuweisen (Art. 28 Abs. 5). Die Prüfung selbst ersetzen sie nicht.

Weitere Auftragsverarbeiter darf der Lieferant nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung einsetzen (Art. 28 Abs. 2). Bei einer allgemeinen Genehmigung informiert er über jede beabsichtigte Änderung, und der Auftraggeber kann widersprechen.

Dem Unterauftragsverarbeiter sind dieselben Datenschutzpflichten aufzuerlegen; kommt er ihnen nicht nach, haftet der Lieferant gegenüber dem Auftraggeber (Art. 28 Abs. 4).

Häufig fehlt der Vertrag ganz, oder er wurde einmal unterschrieben und nie wieder angesehen. Ebenso häufig sind veraltete Listen von Unterauftragsverarbeitern, technische und organisatorische Maßnahmen als allgemeine Textbausteine ohne Bezug zur Leistung und eine fehlende Regelung zur Löschung am Vertragsende.

Verstöße gegen die Pflichten aus Art. 28 können nach Art. 83 Abs. 4 DSGVO mit Geldbußen bis zu 10 Mio. € oder bis zu 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

Der Katalog von Vendo4u fragt die Punkte ab, die für die Prüfung nach Art. 28 zählen – ob ein Auftragsverarbeitungsvertrag bereitsteht, wo die Daten verarbeitet werden, welche Unterauftragsverarbeiter eingesetzt sind –, und Lieferanten hinterlegen die Dokumente dazu. Einkäufer sehen die Angaben aller Lieferanten in derselben Struktur und legen sie mit dem Export in der eigenen Akte ab.