Auftragskontrolle - Beachten Sie die neuen gesetzlichen Anforderungen um Bußgelder zu vermeiden!

Der Gesetzgeber hat mit der aktuellen BDSG Novelle die Regelungen zur Auftragsdatenverarbeitung erheblich verschärft:

Der neue § 11 BDSG, welcher zum 01.09.2009 in Kraft tritt, lautet wie folgt:

§ 11 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag
(1) Werden personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich. Die in den §§ 6, 7 und 8 genannten Rechte sind ihm gegenüber geltend zu machen.

(2) Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind:

1. der Gegenstand und die Dauer des Auftrags,
2. der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen,
3. die nach § 9 zu treffenden technischen und organisatorischen Maßnahmen,
4. die Berichtigung, Löschung und Sperrung von Daten
5. die nach Absatz 4 bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen,
6. die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen,
7. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten
des Auftragnehmers,
8. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen,
9. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält,
10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags.

Er kann bei öffentlichen Stellen auch durch die Fachaufsichtsbehörde erteilt werden. Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren.

(3) Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen. Ist er der Ansicht, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen.

(4) Für den Auftragnehmer gelten neben den §§ 5, 9, 43 Abs. 1, Nr. 2, 10 und 11, Abs. 2, Nr. 1 bis 3 und Abs. 3 sowie § 44 nur die Vorschriften über die Datenschutzkontrolle oder die Aufsicht, und zwar für

1. a) öffentliche Stellen,
b) nicht-öffentliche Stellen, bei denen der öffentlichen Hand die Mehrheit der Anteile gehört oder die Mehrheit der Stimmen zusteht und der Auftraggeber eine öffentliche Stelle ist,
die §§ 18, 24 bis 26 oder die entsprechenden Vorschriften der Datenschutzgesetze der Länder,
2. die übrigen nicht-öffentlichen Stellen, soweit sie personenbezogene Daten im Auftrag als Dienstleistungsunternehmen geschäftsmäßig erheben, verarbeiten oder nutzen, die §§ 4f , 4g und 38.
(5) Die Absätze 1 bis 4 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

Zu beachten ist in diesem Zusammenhang auch die Bußgeldregelung des § 43 Nr. 2b BDSG:

2b. entgegen § 11 Absatz 2 Satz 2 einen Auftrag nicht richtig, nicht vollständig oder nicht in der vorgeschriebenen Weise erteilt oder entgegen § 11 Absatz 4 sich nicht vor Beginn der Datenverarbeitung über die Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen überzeugt,

Damit ergeben sich für Unternehmen zukünftig einige wichtige Veränderungen. Einerseits müssen die vertraglichen Regelungen erheblich konkreter gefasst werden. Andererseits brauchen Unternehmen um so mehr ein internes Kontrollsystem für ihre Auftragsdatenverarbeiter. Selbst als Auftragnehmer wird man um diese Thema nicht mehr herumkommen. Für alle Fragen zu diesem Thema sind wir selbstverständlich – auch weiterhin - der richtige Ansprechpartner für Sie. Wenn Sie mehr über den neuen § 11 BDSG oder die sonstigen BDSG Regelungen erfahren möchten, rufen Sie uns an, wir bieten Ihnen Gruppenseminare und Präsentationen zur BDSG Novelle an. Gerne machen wir auch Briefings für Ihre Unternehmensleitung.

Bei Fragen sprechen Sie uns bitte an.

Verpflichtung zum Führen eines Verfahrensverzeichnisses

(„Jedermann-Verzeichnis“ und „interne Verarbeitungsübersicht“)

Dem Beauftragten für den Datenschutz eines Unternehmens (betrieblicher Datenschutzbeauftragter) ist von der verantwortlichen Stelle eine Übersicht über die in § 4 e Satz 1 BDSG genannten Angaben sowie (zusätzlich) über die zugriffsberechtigten Personen zur Verfügung zu stellen.

§ 4 e Satz 1 BDSG gibt Aufschluss darüber, welche Informationen ein Unternehmen im Falle einer Meldepflicht an die Aufsichtsbehörde zu melden hat. Die Meldepflicht ist für Unternehmen heute jedoch eher die Ausnahme. Der wichtigste Befreiungsgrund von der Meldepflicht ist, dass ein Datenschutzbeauftragter im Unternehmen bestellt wurde.

Man unterscheidet zwischen dem (öffentlichen) Verfahrensverzeichnis / „Jedermann-Verzeichnis“ und der internen Verarbeitungsübersicht.

Das öffentliche Verfahrensverzeichnis ist „Jedermann“ auf Antrag verfügbar zu machen. Eine besondere Antragsbefugnis ist hierfür nicht erforderlich, jeder interessierte Bürger kann sich hierzu an eine beliebige verantwortliche Stelle (Unternehmen) werden. Das öffentliche Verfahrensverzeichnis hingegen enthält nur einen Teil der eigentlich meldepflichtigen Informationen, nämlich die Angaben nach § 4e Abs. 1 Nr. 1- 8 BDSG. Die Beschreibungen der technisch-organisatorische Maßnahmen (§ 4 e Nr. 9 BDSG) sind hier nicht enthalten.

Sofern die Meldepflicht entfällt, da ein Beauftragter für den Datenschutz bestellt wurde, macht dieser das (öffentlich) Verfahrensverzeichnis im Falle eines Antrags dem Anfragenden verfügbar.

Sofern die Meldepflicht lediglich entfällt, da die Mitarbeitergrenzen unterschritten wurde, trifft diese Verpflichtung die verantwortliche Stelle (vgl. § 4 g Abs. 2 Satz 3), d.h. die Geschäftsführung.

Die (interne) Verarbeitungsübersicht besteht aus den meldepflichtigen Informationen ds § 4 e BDSG sowie (zusätzlich) den Angaben über zugriffsberechtigte Personen (vgl. § 4g Abs. 2 Satz 1 BDSG). Diese Übersicht ist ausschließlich für interne Zwecke zu erstellen und dient dem Datenschutzbeauftragten zur Erfüllung seiner Standardaufgaben (Prüfung aller automatisierter Verarbeitungen, Vornahme der Vorabkontrolle in den gesetzlich geregelten Fällen).

Die Pflicht eine Übersicht über die in § 4 e Satz 1 Nr. 1 bis 8 BDSG genannten Angaben zu führen (und, dass sei am Rande erwähnt, die Zulässigkeit automatisierter Verarbeitungen zu prüfen) besteht auch dann, wenn keine Meldepflicht besteht, insbesondere dann, wenn lediglich neun „Personen“ oder weniger als mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Unternehmen beschäftigt sind, und kein Datenschutzbeauftragter bestellt worden ist.

Nicht entnehmen lässt sich der gesetzlichen Regelung, dass auch eine Liste der zugriffsberechtigten Personen zu führen ist, wenn weder eine Meldepflicht, noch eine Verpflichtung einen Datenschutzbeauftragten zu bestellen, besteht (vgl. § 4 g Abs. 2 Satz 1).

Weiterführende Informationen zum Thema Verfahrensverzeichnis:

Interne Verarbeitungsübersicht
Verfahrensverzeichnis und Verarbeitungsübersicht nach BDSG -Ein Praxisleitfaden-