Das Wichtigste im Überblick
- DSGVO-konforme Verträge schützen: Unternehmen müssen bei der Verarbeitung personenbezogener Daten durch Dritte rechtssichere Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO abschließen – Verstöße können Bußgelder nach sich ziehen.
- Standardvertragsklauseln ermöglichen internationale Datenübermittlung: Für Datentransfers in Drittländer sind zusätzliche Schutzmaßnahmen zwingend erforderlich.
- Vertragliche Pflichten gehen über bloße Unterschrift hinaus: Technische und organisatorische Maßnahmen (TOMs) müssen vertraglich fixiert, regelmäßig überprüft und dokumentiert werden
Warum vertragliche Regelungen im Datenschutz unverzichtbar sind
Die Datenschutz-Grundverordnung hat die rechtlichen Anforderungen an den Umgang mit personenbezogenen Daten grundlegend verändert. Während viele Unternehmen sich auf technische Maßnahmen konzentrieren, wird die vertragliche Absicherung häufig unterschätzt. Dabei bilden datenschutzkonforme Verträge das rechtliche Fundament jeder Datenverarbeitung.
In der heutigen vernetzten Geschäftswelt arbeiten Unternehmen selten isoliert. Cloud-Dienste, externe Dienstleister, internationale Partnerschaften – all diese Konstellationen erfordern die Übermittlung oder gemeinsame Verarbeitung personenbezogener Daten. Ohne rechtssichere vertragliche Grundlagen drohen nicht nur empfindliche Bußgelder, sondern auch Haftungsrisiken gegenüber Betroffenen und Geschäftspartnern.
Die Komplexität der DSGVO zeigt sich besonders im Vertragsrecht: Verschiedene Verarbeitungskonstellationen erfordern unterschiedliche vertragliche Instrumente. Hinzu kommen spezifische Anforderungen bei internationalen Datentransfers und die Notwendigkeit, vertragliche Regelungen kontinuierlich an neue Rechtsprechung und Leitlinien der Aufsichtsbehörden anzupassen.
Rechtliche Grundlagen: Das datenschutzrechtliche Vertragsgerüst
Auftragsverarbeitungsvertrag, Art. 28 DSGVO
Besondere Bedeutung kommt den Auftragsverarbeitungsverträgen nach Art. 28 DSGVO zu, in denen die Beziehung zwischen den Verantwortlichen und den Auftragsverarbeitern geregelt ist. Wir begleiten Unternehmen dabei, diese rechtlichen Vorgaben in praxistaugliche Vertragswerke umzusetzen.
Ein Auftragsverarbeitungsvertrag ist immer dann erforderlich, wenn ein Unternehmen bezüglich der Datenverarbeitung einen externen Dienstleister beauftragt, der im Rahmen dieser Tätigkeit Zugriff auf personenbezogene Daten erhält. Typische Beispiele sind IT-Dienstleister, Cloud-Anbieter, Lohnbuchhaltungsbüros oder Callcenter. Der Vertrag muss nach Art. 28 DSGVO zwingend bestimmte Mindestinhalte aufweisen, darunter Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung sowie die Art der personenbezogenen Daten und Kategorien betroffener Personen.
Besonders wichtig sind die Pflichten des Auftragsverarbeiters, die detailliert festgeschrieben werden müssen. Dazu gehört die Verpflichtung, Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, die Vertraulichkeit sicherzustellen und geeignete technische und organisatorische Maßnahmen zu treffen. Der Auftragsverarbeiter muss dem Verantwortlichen zudem alle Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung der DSGVO-Pflichten erforderlich sind, und Überprüfungen durch den Verantwortlichen oder einen beauftragten Prüfer ermöglichen.
Vertragsklauseln für Drittstaaten
Bei internationalen Geschäftsbeziehungen kommen zusätzliche Anforderungen hinzu. Werden Daten in Drittländer außerhalb der EU übermittelt, müssen nach Art. 44 ff. DSGVO geeignete Garantien vorliegen. Liegt für Länder außerhalb der EU kein Angemessenheitsbeschluss vor, müssen die Standardvertragsklauseln der EU-Kommission genutzt werden. Wir unterstützen bei der Implementierung rechtssicherer Lösungen für Datenübermittlungen.
Technische und organisatorische Maßnahmen vertraglich festlegen
Konkretisierung der TOMs im Vertrag
Art. 32 DSGVO fordert dem Stand der Technik entsprechende technische und organisatorische Maßnahmen. Vertragliche TOMs-Kataloge müssen diese abstrakten Anforderungen für die konkrete Verarbeitungssituation präzisieren. Pauschale Verweisungen auf Industriestandards genügen nicht – die Maßnahmen müssen auf die spezifischen Risiken der Verarbeitung zugeschnitten sein.
Die vertragliche Fixierung schafft Rechtssicherheit für beide Seiten: Der Verantwortliche kann sich auf definierte Schutzstandards verlassen, der Auftragsverarbeiter weiß genau, welche Anforderungen zu erfüllen sind. Gleichzeitig ermöglicht die schriftliche Dokumentation den Nachweis gegenüber Aufsichtsbehörden.
Anpassungspflichten und Weiterentwicklung
Datensicherheit ist kein statischer Zustand. Technologische Entwicklungen, neue Bedrohungsszenarien und veränderte Verarbeitungsumfänge erfordern eine kontinuierliche Anpassung der Schutzmaßnahmen. Verträge sollten daher Mechanismen zur regelmäßigen Überprüfung und Aktualisierung der TOMs vorsehen.
Nutzen Sie gerne unsere DSGVO-Checkliste für weiterführende Informationen zu den technischen und organisatorischen Maßnahmen.
Praktische Tipps für rechtssichere Datenschutzverträge
Systematische Bestandsaufnahme durchführen
Bewerten Sie für jeden Dienstleister, ob eine Auftragsverarbeitung, eine gemeinsame Verantwortlichkeit oder eine andere Konstellation vorliegt, um festzustellen, welcher Vertrag abgeschlossen werden soll.
Prüfen Sie bestehende Verträge auf Vollständigkeit der Datenschutzklauseln. Viele ältere Verträge entsprechen nicht mehr den aktuellen Anforderungen der DSGVO und müssen nachgebessert werden. Priorisieren Sie dabei Dienstleister mit Zugriff auf besonders sensible Daten oder große Datenmengen.
Standardisierung und Individualisierung in Balance
Musterverträge können als Ausgangsbasis dienen, müssen aber immer an die konkrete Situation angepasst werden.
Entwickeln Sie unternehmenseigene Musterverträge für typische Konstellationen, die auf Ihre spezifischen Anforderungen zugeschnitten sind. Dies spart Zeit bei wiederkehrenden Vertragssituationen und gewährleistet gleichzeitig einen einheitlichen Schutzstandard. Bei komplexen oder risikoreichen Verarbeitungen ist eine individuelle rechtliche Prüfung unverzichtbar.
Vertragsmanagement und Dokumentation
Richten Sie ein systematisches Vertragsmanagement ein. Dokumentieren Sie, mit welchen Dienstleistern welche Verträge geschlossen wurden, wann diese abgeschlossen wurden und wann sie zur Überprüfung anstehen. Versionskontrolle bei Vertragsänderungen ist essentiell für die Rechenschaftspflicht.
Bewahren Sie nicht nur die unterzeichneten Verträge auf, sondern auch die zugrunde liegenden Risikoanalysen und Abwägungsentscheidungen. Bei internationalen Transfers ist die TIA-Dokumentation zwingend erforderlich und sollte für Aufsichtsbehörden jederzeit abrufbar sein.
Implementieren Sie Prozesse zur regelmäßigen Überprüfung der Verträge. Änderungen in der Rechtsprechung, neue Leitlinien der Aufsichtsbehörden oder technologische Entwicklungen können Anpassungen erforderlich machen. Jährliche Reviews sind empfehlenswert.
SITTIG LAW unterstützt Sie bei der Entwicklung eines vollständigen Vertragsmanagements für datenschutzrechtliche Vereinbarungen – von der Bestandsaufnahme über die Vertragserstellung bis zur fortlaufenden Aktualisierung.
Checkliste für datenschutzkonforme Verträge
Auftragsverarbeitungsvertrag prüfen:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung konkret beschrieben
- Art der personenbezogenen Daten und Kategorien betroffener Personen festgelegt
- Weisungsrecht des Verantwortlichen eindeutig geregelt
- Regelungen zu Unterauftragsverarbeitern getroffen
- Technische und organisatorische Maßnahmen konkret beschrieben
- Unterstützungspflichten bei Betroffenenrechten festgelegt
- Regelungen zur Löschung oder Rückgabe der Daten nach Vertragsende
Bei internationalen Datentransfers zusätzlich:
- Geeignetes Modul der Standardvertragsklauseln ausgewählt
- Regelungen zu Anfragen ausländischer Behörden getroffen
- Prüfung der Alternativen zum Datentransfer dokumentiert
Bei gemeinsamer Verantwortlichkeit:
- Transparente Festlegung der jeweiligen Verantwortlichkeiten
- Regelungen zur Information der Betroffenen
- Vereinbarung über Erfüllung von Betroffenenrechten
- Interne Haftungsverteilung geregelt
- Wesentliche Inhalte für Betroffene zugänglich gemacht
Allgemeine Anforderungen:
- Verträge vor Beginn der Datenverarbeitung abgeschlossen
- Schriftform oder elektronische Form mit qualifizierter Signatur gewährt
- Alle Verträge zentral dokumentiert und archiviert
- Regelungen zur regelmäßigen Überprüfung und Anpassung getroffen
Vertragliche Absicherung als Fundament datenschutzkonformer Datenverarbeitung
Datenschutzkonforme Verträge sind weit mehr als formale Pflichtübungen. Sie bilden das rechtliche Fundament für jede Zusammenarbeit, bei der personenbezogene Daten eine Rolle spielen. Die Investition in hochwertige, rechtssichere Vertragswerke zahlt sich mehrfach aus: durch Vermeidung von Bußgeldern, durch Schutz vor Haftungsrisiken und durch Schaffung von Vertrauen bei Kunden und Geschäftspartnern.
Die zunehmende Komplexität des Datenschutzrechts – verstärkt durch neue Technologien, internationale Datenflüsse und eine dynamische Rechtsprechung – macht professionelle rechtliche Beratung unverzichtbar. Standardverträge aus dem Internet mögen als erste Orientierung dienen, ersetzen aber keine individuelle Prüfung und Anpassung an die konkrete Unternehmenssituation.
SITTIG LAW verbindet als spezialisierte Kanzlei IT-rechtliche und strafrechtliche Expertise – eine Kombination, die gerade im Datenschutzrecht von unschätzbarem Wert ist. Die Schnittstelle zwischen präventiver Vertragsgestaltung und potentieller strafrechtlicher Relevanz von Datenschutzverstößen erfordert umfassendes Verständnis beider Rechtsgebiete.
Häufig gestellte Fragen
Ja, für jeden Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, ist ein separater Auftragsverarbeitungsvertrag erforderlich. Der Vertrag muss die spezifischen Verarbeitungstätigkeiten, die Art der verarbeiteten Daten und die konkreten Sicherheitsmaßnahmen für diesen Dienstleister regeln. Rahmenverträge sind möglich, müssen aber für jede konkrete Verarbeitungstätigkeit entsprechende Anlagen oder Spezifikationen enthalten.
Wenn Sie nachträglich feststellen, dass ein Dienstleister ohne AVV arbeitet, sollten Sie umgehend einen Auftragsverarbeitungsvertrag abschließen und die bisherige Verarbeitung dokumentieren.
Eine jährliche Überprüfung ist empfehlenswert. Zusätzlich sollten Verträge aktualisiert werden, wenn sich wesentliche Änderungen ergeben: neue Dienstleistungen, geänderte Verarbeitungsumfänge, neue Unterauftragsverarbeiter, relevante Rechtsprechung oder Leitlinien der Aufsichtsbehörden. Bei internationalen Transfers kann die Rechtslage besonders dynamisch sein – hier sollten Sie noch häufigere Überprüfungen einplanen.
Die TOMs müssen so konkret beschrieben sein, dass nachvollziehbar ist, welches Schutzniveau gewährleistet wird. Pauschale Verweise wie „angemessene technische Maßnahmen“ genügen nicht, beschreiben Sie die eingesetzten Verschlüsselungsmethoden.. Die Detailtiefe sollte dem Risiko der Verarbeitung entsprechen – bei hochsensiblen Daten sind sehr konkrete Beschreibungen erforderlich.
Bei der Auftragsverarbeitung handelt der Dienstleister weisungsgebunden und trifft keine eigenen Entscheidungen über Zwecke und Mittel der Verarbeitung. Bei gemeinsamer Verantwortlichkeit entscheiden beide Parteien gemeinsam über das „Ob“ und „Wie“ der Datenverarbeitung.
Es besteht keine generelle Pflicht zur Vorlage von Verträgen bei der Aufsichtsbehörde. Im Rahmen von Kontrollen oder bei der Prüfung von Beschwerden kann die Behörde jedoch Einsicht in Ihre Verträge verlangen. Sie sollten daher alle datenschutzrelevanten Verträge jederzeit vorlegen können.
German 
English