Wer für Sie Daten verarbeitet, braucht einen Vertrag — auch Ihre Software.

Wann brauche ich einen Auftragsverarbeitungsvertrag?

Immer dann, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für Sie verarbeitet — er entscheidet nicht über Zwecke und Mittel, sondern führt aus.

Typische Fälle im Handwerksbetrieb: die Betriebssoftware mit Kunden- und Mitarbeiterdaten, der Cloud-Speicher, das Lohnbüro, der IT-Dienstleister mit Fernwartungszugang, ein Callcenter, ein Newsletter-Versender.

Kein Auftragsverarbeiter ist, wer eigenverantwortlich handelt: die Steuerkanzlei bei der Erstellung des Jahresabschlusses, der Rechtsanwalt, der Wirtschaftsprüfer. Sie sind selbst Verantwortliche.

Die Abgrenzung ist nicht immer eindeutig — die Steuerkanzlei etwa ist bei der reinen Lohnabrechnung nach verbreiteter Auffassung Auftragsverarbeiterin, bei der Beratung nicht. Im Zweifel klärt das Ihre Datenschutzberatung.

Was muss in dem Vertrag stehen?

Art. 28 Abs. 3 DSGVO gibt einen festen Katalog vor: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen, sowie die Pflichten und Rechte des Verantwortlichen.

Dazu die Zusagen des Auftragsverarbeiters: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit der eingesetzten Personen, technische und organisatorische Maßnahmen nach Art. 32, Regelungen zu Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten und Meldepflichten, Löschung oder Rückgabe am Ende, und Nachweise für Kontrollen.

„Unterauftragsverarbeiter" ist der Punkt, an dem Verträge unvollständig sind. Ihre Software nutzt selbst Dienstleister — Hosting, E-Mail-Versand, Fehlerdiagnose. Sie haben Anspruch darauf, sie zu kennen und einer Änderung widersprechen zu können.

Was bedeutet das für meine eigene Verantwortung?

Sie bleibt bei Ihnen. Der Auftragsverarbeiter haftet für seine eigenen Verstöße; verantwortlich gegenüber Kunden und Mitarbeitern sind Sie.

Praktisch heißt das: Sie müssen Ihre Dienstleister auswählen und dabei prüfen, ob sie hinreichende Garantien bieten (Art. 28 Abs. 1 DSGVO). Ein AVV, den man unterschreibt, ohne hineinzusehen, erfüllt das nicht.

Und Sie müssen Auskunfts- und Löschverlangen beantworten können — auch wenn die Daten in einem System liegen, das jemand anders betreibt. Deshalb ist eine funktionierende Exportmöglichkeit kein Komfortmerkmal.

Welche Unterlagen sollte ich ohnehin haben?

Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Die Ausnahme für Betriebe unter 250 Beschäftigten greift praktisch nie, weil sie bei nicht nur gelegentlicher Verarbeitung entfällt — und Kunden- und Personaldaten verarbeitet jeder Betrieb regelmäßig.

Die AVV mit allen Auftragsverarbeitern, gesammelt an einer Stelle.

Ein Löschkonzept: welche Datenart, welche Frist, welches Ereignis startet sie.

Die Informationen nach Art. 13/14 DSGVO für Kunden und Beschäftigte.

Eine Meldekette für den Fall einer Datenpanne — Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde binnen 72 Stunden, und diese Frist läuft auch am Wochenende.

Ein Datenschutzbeauftragter ist nach § 38 BDSG zu benennen, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind — oder unabhängig davon in bestimmten Fällen des Art. 37 DSGVO.

Was ist mit Daten, die auf dem Handy des Monteurs liegen?

Sie unterliegen denselben Regeln. Fotos einer Baustelle mit Personen darauf, Kundenadressen im Telefonbuch, Nachrichten in einem privaten Messenger — all das ist Verarbeitung personenbezogener Daten in Ihrem Betrieb.

Der praktisch häufigste Verstoß im Handwerk ist deshalb kein fehlender Vertrag, sondern ein privater Messenger als Baustellen-Kommunikation: Daten auf privaten Geräten, bei einem Anbieter ohne AVV, ohne Löschkonzept und ohne Zugriff des Betriebs.

Eine betriebliche Lösung mit klarem Zugriff und klarer Löschung ist hier kein Komfort, sondern der Unterschied zwischen dokumentierbarer und undokumentierter Verarbeitung.

Wie hält NexDeck es damit?

NexDeck ist Auftragsverarbeiter seiner Mandanten. Ein AVV nach Art. 28 DSGVO steht bereit; das Verzeichnis der Unterauftragsverarbeiter ist öffentlich einsehbar, mit Rechtsträger, Land und Zweck.

Die Verarbeitung findet in der EU statt. Die technischen und organisatorischen Maßnahmen sind dokumentiert.

Ein Datenexport des gesamten Mandanten ist eingebaut — Datensätze und Belege. Das ist die Voraussetzung dafür, dass Sie Auskunfts- und Löschverlangen beantworten und den Anbieter wechseln können.

Ein AVV mit uns deckt uns ab, nicht Ihre übrigen Dienstleister. Das Thema ist mit einer Unterschrift nicht erledigt.

Produktbezug

Wohin als Nächstes.

• GPS-Ortung von Mitarbeitern
• Verfahrensdokumentation nach GoBD
• Aufbewahrungsfristen für Rechnungen und Belege