{"id":6237,"date":"2025-09-26T10:00:46","date_gmt":"2025-09-26T10:00:46","guid":{"rendered":"https:\/\/sittig.law\/?p=6237"},"modified":"2025-10-21T06:39:17","modified_gmt":"2025-10-21T06:39:17","slug":"data-protection-agreement-maintenance-and-servicing-of-it-systems","status":"publish","type":"post","link":"https:\/\/sittig.law\/en\/datenschutzvereinbarung-wartung-und-pflege-von-it-systemen\/","title":{"rendered":"Data protection agreement Maintenance and servicing of IT systems"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Das Wichtigste im \u00dcberblick<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tDatenschutzvereinbarungen bei IT-Wartung sind seit der DSGVO zwingend erforderlich \u2013 ohne sie drohen Bu\u00dfgelder <\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tWartungsdienstleister werden rechtlich als Auftragsverarbeiter eingestuft \u2013 dies l\u00f6st umfassende Dokumentations- und Kontrollpflichten aus<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tTechnische und organisatorische Ma\u00dfnahmen m\u00fcssen vertraglich detailliert geregelt werden \u2013 pauschale Klauseln reichen nicht aus und k\u00f6nnen zu Haftungsrisiken f\u00fchren<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t<\/ul>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Warum Datenschutzvereinbarungen bei IT-Wartung unverzichtbar sind\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Die Digitalisierung hat Unternehmen aller Gr\u00f6\u00dfenordnungen vor neue Herausforderungen gestellt. W\u00e4hrend IT-Systeme immer komplexer werden, steigt gleichzeitig der Bedarf an professioneller Wartung und Pflege dieser Systeme. Was viele Unternehmen jedoch \u00fcbersehen: Sobald externe Dienstleister Zugang zu IT-Systemen erhalten, die personenbezogene Daten verarbeiten, entstehen weitreichende datenschutzrechtliche Verpflichtungen.<\/p>

    Die Datenschutz-Grundverordnung (DSGVO) hat die rechtlichen Anforderungen an solche Konstellationen erheblich versch\u00e4rft. Unternehmen, die ihre IT-Systeme extern warten lassen, ohne entsprechende Datenschutzvereinbarungen abzuschlie\u00dfen, bewegen sich in einer rechtlichen Grauzone, die empfindliche Bu\u00dfgelder nach sich ziehen kann. Gleichzeitig entstehen Haftungsrisiken gegen\u00fcber Betroffenen, deren Daten m\u00f6glicherweise unrechtm\u00e4\u00dfig verarbeitet werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Rechtliche Grundlagen der Datenschutzvereinbarung bei IT-Wartung\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    DSGVO als zentrale Rechtsquelle<\/h3>

    Die Datenschutz-Grundverordnung bildet das Fundament aller datenschutzrechtlichen \u00dcberlegungen bei der Wartung von IT-Systemen. Artikel 28 DSGVO regelt dabei explizit die Auftragsverarbeitung und stellt klare Anforderungen an Auftragsverarbeitungsvertr\u00e4ge (AVV) zwischen Verantwortlichen und Auftragsverarbeitern.<\/p>

    Nach Art. 28 DSGVO darf die Verarbeitung durch einen Auftragsverarbeiter nur auf der Grundlage eines Vertrags erfolgen, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet. Dieser Vertrag muss in schriftlicher Form vorliegen oder in einem anderen rechtlich bindenden Rechtsakt festgehalten werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Auftragsverarbeitung bei IT-Wartung: Definition und Abgrenzung\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Wann liegt Auftragsverarbeitung vor?<\/h3>

    Die Einordnung von IT-Wartungsdienstleistungen als Auftragsverarbeitung h\u00e4ngt entscheidend davon ab, ob der Dienstleister Zugang zu personenbezogenen Daten erh\u00e4lt. Bereits die theoretische M\u00f6glichkeit des Datenzugriffs reicht aus, um eine Auftragsverarbeitung zu begr\u00fcnden.<\/p>

    Typische Szenarien, die als Auftragsverarbeitung einzustufen sind:<\/p>

    Remote-Wartung mit Systemzugriff<\/strong>: Wenn Wartungsdienstleister per Fernzugriff auf Server, Datenbanken oder andere IT-Systeme zugreifen, die personenbezogene Daten enthalten, liegt zweifelsfrei eine Auftragsverarbeitung vor. Dies gilt auch dann, wenn der Dienstleister versichert, nicht auf die Daten zuzugreifen.<\/p>

    Vor-Ort-Wartung mit potenziellem Datenkontakt<\/strong>: Auch bei physischen Wartungsarbeiten vor Ort kann eine Auftragsverarbeitung vorliegen, wenn beispielsweise Backup-Systeme gewartet werden oder Zugang zu Servern besteht, auf denen personenbezogene Daten gespeichert sind.<\/p>

    Cloud-basierte Wartungsszenarien<\/strong>: Bei der Wartung von Cloud-Systemen ist besondere Vorsicht geboten, da hier regelm\u00e4\u00dfig personenbezogene Daten verarbeitet werden und die Abgrenzung zwischen verschiedenen Verarbeitungszwecken komplex sein kann.<\/p>

    Abgrenzung zur gemeinsamen Verantwortlichkeit<\/h3>

    Nicht jede externe IT-Dienstleistung f\u00fchrt automatisch zu einer Auftragsverarbeitung. In manchen F\u00e4llen kann auch eine gemeinsame Verantwortlichkeit vorliegen, wenn der Dienstleister eigene Entscheidungen \u00fcber Zwecke und Mittel der Verarbeitung trifft.<\/p>

    Die Abgrenzung ist in der Praxis oft schwierig und erfordert eine genaue Analyse der Vertragsgestaltung und der tats\u00e4chlichen Durchf\u00fchrung der Dienstleistung. Pauschale Einordnungen sind dabei nicht zielf\u00fchrend.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Pflichtinhalte einer Datenschutzvereinbarung nach Art. 28 DSGVO\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Grundlegende Vertragsbestandteile<\/h3>

    Gegenstand und Dauer der Verarbeitung<\/strong>: Die Vereinbarung muss pr\u00e4zise beschreiben, welche konkreten Wartungsarbeiten durchgef\u00fchrt werden und in welchem Zeitraum diese erfolgen. Vage Formulierungen wie „IT-Services“ reichen nicht aus.<\/p>

    Art und Zweck der Verarbeitung<\/strong>: Es muss klar definiert werden, zu welchem Zweck personenbezogene Daten im Rahmen der Wartung verarbeitet werden d\u00fcrfen. Dies ist besonders relevant, wenn der Wartungsdienstleister beispielsweise Logdateien analysiert oder System-Backups erstellt.<\/p>

    Kategorien personenbezogener Daten<\/strong>: Die Vereinbarung muss spezifizieren, welche Arten von personenbezogenen Daten von der Wartung betroffen sein k\u00f6nnen. Dies reicht von Stammdaten bis hin zu sensiblen Gesundheitsdaten, je nach Art des IT-Systems.<\/p>

    Kategorien von betroffenen Personen<\/strong>: Eine Auflistung der Personengruppen, deren Daten verarbeitet werden k\u00f6nnten, ist erforderlich. Dies k\u00f6nnen Kunden, Mitarbeiter, Gesch\u00e4ftspartner oder andere Personen sein.<\/p>

    Um eine DSGVO-konforme Datenverarbeitung zu gew\u00e4hrleisten, regelt Art. 32 DSGVO technische und organisatorische Ma\u00dfnahmen (TOM), deren Einhaltung erforderlich ist.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Technische und Organisatorische Ma\u00dfnahmen (TOM)\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Technische und organisatorische Ma\u00dfnahmen (TOMs) bilden den Kern jeder DSGVO-konformen Datenverarbeitung und sind nach Art. 32 DSGVO f\u00fcr alle Verantwortlichen verpflichtend. Diese Schutzma\u00dfnahmen umfassen sowohl technische Vorkehrungen wie Verschl\u00fcsselung und Zugriffskontrollen als auch organisatorische Prozesse wie Mitarbeiterschulungen und Datenschutzrichtlinien, um personenbezogene Daten wirksam vor unbefugtem Zugriff, Verlust oder Missbrauch zu sch\u00fctzen.<\/p>
    Ma\u00dfnahme<\/b><\/td>Technisch<\/b><\/td>Organisatorisch<\/b><\/td><\/tr>
    1. Zutrittskontrolle<\/b><\/td>Chipkarten-Schlie\u00dfsystem, Sicherheitst\u00fcren, Lichtschranken, Video\u00fcberwachung, Codesperre<\/td>Besucherprotokollierung, Schl\u00fcsselchipliste, rollenbasierte Serverraum-Berechtigungen<\/td><\/tr>
    2. Zugangskontrolle<\/b><\/td>Benutzer-\/Passwort-Authentifikation, Anti-Viren-Software, Smartphone-Verschl\u00fcsselung, USB-Sperrung<\/td>Benutzerprofilverwaltung, Passwortregeln, gepr\u00fcftes Reinigungspersonal<\/td><\/tr>
    3. Zugriffskontrolle<\/b><\/td>Rollenbasiertes Berechtigungskonzept, Datentr\u00e4gerverschl\u00fcsselung, Zugriffsprotokolle<\/td>Minimale Administrator-Anzahl, geregelte Rechtevergabe\/-entzug, zertifizierte Datenvernichtung<\/td><\/tr>
    4. Weitergabekontrolle<\/b><\/td>VPN, Firewall, E-Mail-Verschl\u00fcsselung<\/td>Dokumentation von Empf\u00e4ngern und L\u00f6schfristen<\/td><\/tr>
    5. Eingabekontrolle<\/b><\/td>Protokollierung aller Dateneingaben\/-\u00e4nderungen\/-l\u00f6schungen<\/td>Individuelle Benutzernamen, dokumentierte Weisungen, Berechtigungskonzept<\/td><\/tr>
    6. Auftragskontrolle<\/b><\/td>\u2013<\/td>Sorgf\u00e4ltige Auftragnehmer-Auswahl, laufende \u00dcberpr\u00fcfung, AV-Vertr\u00e4ge nach Art. 28 DSGVO, Kontrollrechte, Mitarbeiter-Verpflichtung<\/td><\/tr>
    7. Verf\u00fcgbarkeitskontrolle<\/b><\/td>Ausgelagerte Datensicherung (STRATO AG Rechenzentrum)<\/td>Backup- & Recovery-Konzept, getestete Datenwiederherstellung<\/td><\/tr>
    8. Trennungsgebot<\/b><\/td>Getrennte Produktiv-\/Testsysteme, logische Mandantentrennung<\/td>Berechtigungskonzept, definierte Datenbankrechte<\/td><\/tr>
    9. Systembelastbarkeit<\/b><\/td>Lastverteilung auf parallele Systeme, regelm\u00e4\u00dfige Updates\/Patches<\/td>Incident-Response-Prozess, dokumentierte Datenpannen-Vorgehensweise<\/td><\/tr>
    10. Regelm\u00e4\u00dfige \u00dcberpr\u00fcfung<\/b><\/td>Festgelegte Pr\u00fcfroutine, datenschutzfreundliche Voreinstellungen<\/td>Revision von Pr\u00fcfberichten, Datenschutz-Management, weisungsgebundene Auftragsverarbeitung<\/td><\/tr><\/tbody><\/table>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Besondere Herausforderungen bei verschiedenen IT-Wartungsszenarien\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Cloud-basierte IT-Systeme<\/h3>

    Die Wartung von Cloud-Infrastrukturen bringt zus\u00e4tzliche datenschutzrechtliche Komplexit\u00e4ten mit sich. Hier m\u00fcssen oft mehrere Auftragsverarbeitungsvereinbarungen ineinandergreifen: eine zwischen dem Unternehmen und dem Cloud-Provider sowie eine weitere zwischen dem Cloud-Provider und dem Wartungsdienstleister.<\/p>

    Unterauftragsverarbeitung regeln<\/strong>: Wenn der prim\u00e4re Wartungsdienstleister seinerseits Subunternehmer einsetzt, m\u00fcssen entsprechende Genehmigungsverfahren und Kontrollmechanismen etabliert werden.<\/p>

    Medizinische IT-Systeme<\/h3>

    Im Gesundheitswesen gelten besonders strenge Datenschutzanforderungen, da hier regelm\u00e4\u00dfig Gesundheitsdaten verarbeitet werden:<\/p>

    Schweigepflicht und Berufsgeheimnisschutz<\/strong>: Wartungsdienstleister m\u00fcssen sich entsprechenden Verschwiegenheitsverpflichtungen unterwerfen, die \u00fcber die standardm\u00e4\u00dfigen Datenschutzbestimmungen hinausgehen.<\/p>

    Sektorspezifische Regelungen<\/strong>: Je nach medizinischem Bereich k\u00f6nnen zus\u00e4tzliche Gesetze wie das Patientendaten-Schutz-Gesetz oder spezifische Landesgesetze relevant werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Praktische Tipps f\u00fcr rechtssichere Vertragsgestaltung\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Vertragsverhandlung strukturiert angehen<\/h3>

    Risikoanalyse als Ausgangspunkt<\/strong>: Bevor Vertragsverhandlungen beginnen, sollte eine detaillierte Analyse der datenschutzrechtlichen Risiken erfolgen. Welche Daten sind betroffen? Welche Zugriffe sind tats\u00e4chlich erforderlich? Welche Alternativen gibt es?<\/p>

    Pr\u00e4zise Leistungsbeschreibung<\/strong>: Vage Formulierungen sind der Hauptgrund f\u00fcr sp\u00e4tere Rechtsstreitigkeiten. Die Datenschutzvereinbarung sollte exakt beschreiben, welche Wartungsarbeiten durchgef\u00fchrt werden und welche Datenverarbeitungen dabei unvermeidlich sind.<\/p>

    Technische Details nicht vergessen<\/strong>: Juristische Klauseln allein reichen nicht aus. Die Vereinbarung muss auch technische Implementierungsdetails enthalten, um in der Praxis funktionsf\u00e4hig zu sein.<\/p>

    Kontrollmechanismen etablieren<\/h3>

    Reporting-Strukturen<\/strong>: Der Auftragsverarbeiter sollte verpflichtet werden, regelm\u00e4\u00dfig \u00fcber seine Aktivit\u00e4ten zu berichten. Dies umfasst sowohl routinem\u00e4\u00dfige Status-Reports als auch Berichte bei besonderen Vorkommnissen.<\/p>

    Haftung und Versicherung<\/h3>

    Haftungsverteilung klar regeln<\/strong>: Die DSGVO sieht in Art. 82 eine gesamtschuldnerische Haftung von Verantwortlichem und Auftragsverarbeiter vor. Interne Regressanspr\u00fcche sollten daher vertraglich detailliert geregelt werden.<\/p>

    Versicherungsschutz pr\u00fcfen<\/strong>: Sowohl Auftraggeber als auch Auftragsverarbeiter sollten \u00fcber eine angemessene Cyberversicherung verf\u00fcgen. Die Deckungssummen und -bereiche sollten in der Datenschutzvereinbarung spezifiziert werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Checkliste f\u00fcr rechtssichere Datenschutzvereinbarungen\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Vor Vertragsabschluss<\/h3>
    • Risikoanalyse durchgef\u00fchrt<\/strong>: Alle von der Wartung betroffenen Datenarten und -kategorien identifiziert<\/li>
    • Rechtsgrundlage gepr\u00fcft<\/strong>: Legitimation f\u00fcr die Datenverarbeitung im Rahmen der Wartung gekl\u00e4rt<\/li>
    • Alternativen evaluiert<\/strong>: M\u00f6glichkeiten zur Minimierung oder Vermeidung der Datenverarbeitung gepr\u00fcft<\/li>
    • Dienstleister-Assessment<\/strong>: Qualifikation und Zuverl\u00e4ssigkeit des Auftragsverarbeiters bewertet<\/li>
    • Versicherungsschutz<\/strong>: Ausreichende Deckung bei beiden Parteien vorhanden<\/li><\/ul>

      Vertragsinhalt<\/h3>
      • Pflichtangaben nach Art. 28 DSGVO<\/strong>: Alle in Art. 28 DSGVO geforderten Inhalte vollst\u00e4ndig enthalten<\/li>
      • Technische und organisatorische Ma\u00dfnahmen<\/strong>: Detailliert und nachpr\u00fcfbar beschrieben<\/li>
      • Weisungsrecht<\/strong>: Umfang und Aus\u00fcbung des Weisungsrechts klar definiert<\/li>
      • Unterauftragsverarbeitung<\/strong>: Genehmigungsverfahren und Kontrollmechanismen festgelegt<\/li>
      • Betroffenenrechte<\/strong>: Verfahren zur Unterst\u00fctzung bei der Erf\u00fcllung von Betroffenenrechten geregelt<\/li>
      • L\u00f6schungskonzept<\/strong>: Klare Vorgaben f\u00fcr die L\u00f6schung oder R\u00fcckgabe von Daten nach Vertragsende<\/li><\/ul>

        Nach Vertragsabschluss<\/h3>
        • Implementierung \u00fcberwacht<\/strong>: Praktische Umsetzung der vertraglichen Vorgaben kontrolliert<\/li>
        • Schulungen durchgef\u00fchrt<\/strong>: Alle beteiligten Mitarbeiter \u00fcber etwaige neue Verfahrensweisen informiert<\/li>
        • Audit-Plan erstellt<\/strong>: Regelm\u00e4\u00dfige \u00dcberpr\u00fcfungen der Auftragsverarbeitung eingeplant<\/li>
        • Dokumentation erstellt<\/strong>: Vollst\u00e4ndige Dokumentation der Auftragsverarbeitung im Verzeichnis von Verarbeitungst\u00e4tigkeiten<\/li><\/ul>

          Laufende \u00dcberwachung<\/h3>
          • Regelm\u00e4\u00dfige Reviews<\/strong>: Mindestens j\u00e4hrliche \u00dcberpr\u00fcfung der Vereinbarung auf Aktualit\u00e4t<\/li>
          • Rechtsentwicklung verfolgt<\/strong>: Neue gesetzliche Anforderungen zeitnah in Vertr\u00e4ge eingearbeitet<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t

            Rechtssicherheit durch professionelle Vertragsgestaltung\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t

            Die rechtssichere Gestaltung von Datenschutzvereinbarungen f\u00fcr die Wartung und Pflege von IT-Systemen erfordert ein tiefes Verst\u00e4ndnis sowohl der technischen Gegebenheiten als auch der rechtlichen Anforderungen. Die DSGVO hat die Komplexit\u00e4t erheblich erh\u00f6ht, aber auch die Rechtssicherheit f\u00fcr alle Beteiligten verbessert, wenn die Vorgaben konsequent umgesetzt werden.<\/p>

            Unternehmen, die ihre IT-Wartung extern vergeben, sollten sich bewusst machen, dass datenschutzkonforme Vereinbarungen nicht nur eine rechtliche Notwendigkeit darstellen, sondern auch einen wichtigen Baustein des unternehmensweiten Risikomanagements bilden. Gut gestaltete Vertr\u00e4ge sch\u00fctzen nicht nur vor Bu\u00dfgeldern, sondern schaffen auch Vertrauen bei Kunden und Gesch\u00e4ftspartnern.<\/p>

            Die Investition in professionelle rechtliche Beratung bei der Gestaltung von Datenschutzvereinbarungen amortisiert sich schnell durch die Vermeidung kostspieliger Rechtsstreitigkeiten und Bu\u00dfgelder. Gleichzeitig schafft eine solide rechtliche Grundlage die Voraussetzungen f\u00fcr eine vertrauensvolle und effiziente Zusammenarbeit mit IT-Dienstleistern.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

            \n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t
            \n\t\t\t\t\t\t
            \n\t\t\t\t\n\t\t\t\t\t
            H\u00e4ufig gestellte Fragen <\/div><\/span>\n\t\t\t\t\t\t\t\n\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t
            \n\t\t\t\t\t\t\t
            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Ja, bereits die technische M\u00f6glichkeit des Zugriffs auf personenbezogene Daten begr\u00fcndet eine Auftragsverarbeitung. Die tats\u00e4chliche Nutzung dieser M\u00f6glichkeit ist f\u00fcr die rechtliche Beurteilung irrelevant. Auch bei reinen Hardware-Wartungen kann eine Auftragsverarbeitung vorliegen, wenn beispielsweise Festplatten mit personenbezogenen Daten ausgetauscht werden m\u00fcssen.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Standardklauseln k\u00f6nnen als Ausgangspunkt dienen, m\u00fcssen aber immer an die spezifischen Gegebenheiten der jeweiligen Wartungsdienstleistung angepasst werden. Art. 28 DSGVO fordert explizit die Beschreibung des konkreten Gegenstands und der Art der Verarbeitung. Pauschale Formulierungen erf\u00fcllen diese Anforderungen nicht.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Nach Art. 82 DSGVO haften der Verantwortliche und der Auftragsverarbeiter gesamtschuldnerisch gegen\u00fcber den betroffenen Personen. Im Innenverh\u00e4ltnis bestimmt sich die Haftungsverteilung nach dem Grad des Verschuldens.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Ja, auch einmalige oder kurzfristige Wartungsarbeiten erfordern eine Datenschutzvereinbarung, wenn dabei personenbezogene Daten verarbeitet werden k\u00f6nnten. F\u00fcr solche F\u00e4lle k\u00f6nnen Rahmenvereinbarungen mit spezifischen Einzelauftr\u00e4gen sinnvoll sein.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Eine regelm\u00e4\u00dfige \u00dcberpr\u00fcfung sollte mindestens j\u00e4hrlich erfolgen. Dar\u00fcber hinaus sind Anpassungen erforderlich bei: \u00c4nderungen der Wartungsleistungen, neuen rechtlichen Anforderungen, technologischen Weiterentwicklungen oder nach Sicherheitsvorf\u00e4llen.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Art. 28 DSGVO fordert eine klare Regelung f\u00fcr die R\u00fcckgabe oder L\u00f6schung der Daten nach Beendigung der Dienstleistung. Diese Regelung muss auch technische Aspekte wie die sichere L\u00f6schung von Backup-Kopien und tempor\u00e4ren Dateien umfassen.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Internationale Daten\u00fcbermittlungen sind nur unter den Voraussetzungen des Kapitels V DSGVO zul\u00e4ssig. Bei Wartungsdienstleistungen mit grenz\u00fcberschreitenden Komponenten m\u00fcssen entsprechende Schutzma\u00dfnahmen implementiert werden.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Zertifizierungen k\u00f6nnen Anhaltspunkte f\u00fcr die Vertrauensw\u00fcrdigkeit eines Dienstleisters bieten, ersetzen aber nicht die individuelle Pr\u00fcfung und die spezifische Ausgestaltung der Datenschutzvereinbarung.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Ja, Art. 28 DSGVO fordert explizit, dass alle Personen, die Zugang zu personenbezogenen Daten haben, zur Vertraulichkeit verpflichtet werden. Dies gilt unabh\u00e4ngig davon, ob bereits gesetzliche Verschwiegenheitspflichten bestehen.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Auch f\u00fcr KMU gibt es keine Vereinfachungen bei den rechtlichen Anforderungen. Allerdings k\u00f6nnen branchenspezifische Mustervertr\u00e4ge als Ausgangspunkt dienen. Eine fr\u00fchzeitige rechtliche Beratung hilft dabei, kosteneffiziente L\u00f6sungen zu entwickeln und sp\u00e4tere, teure Korrekturen zu vermeiden.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t