{"id":6339,"date":"2025-10-24T13:50:27","date_gmt":"2025-10-24T13:50:27","guid":{"rendered":"https:\/\/sittig.law\/?p=6339"},"modified":"2025-11-06T13:53:29","modified_gmt":"2025-11-06T13:53:29","slug":"data-protection-agreement-it-service-provider","status":"publish","type":"post","link":"https:\/\/sittig.law\/en\/datenschutzvereinbarung-it-dienstleister\/","title":{"rendered":"Data protection agreement IT service provider"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Das Wichtigste im \u00dcberblick<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tRechtliche Pflicht: DIe Weitergabe personenbezogener Daten an IT-Dienstleister erfordert regelm\u00e4\u00dfig eine Auftragsdatenverarbeitungsvereinbarung nach Art. 28 DSGVO \u2013 ohne diese k\u00f6nnen empfindliche Bu\u00dfgelder drohen<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tHaftungsrisiko: Unternehmen bleiben trotz Beauftragung externer IT-Dienstleister verantwortlich f\u00fcr den Datenschutz und haften f\u00fcr Verst\u00f6\u00dfe ihrer Auftragsverarbeiter<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tPraktische Umsetzung: Eine rechtssichere Datenschutzvereinbarung muss konkrete technische und organisatorische Ma\u00dfnahmen, Pr\u00fcfrechte und klare Weisungsbefugnisse regeln \u2013 Standardvertr\u00e4ge reichen oft nicht aus<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t<\/ul>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Warum Datenschutzvereinbarungen f\u00fcr IT-Dienstleister unverzichtbar sind\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Die Digitalisierung hat IT-Dienstleister zu unverzichtbaren Partnern nahezu jedes Unternehmens gemacht. Doch sobald diese Dienstleister Zugriff auf personenbezogene Daten erhalten, bewegen sich Unternehmen in einem rechtlichen Minenfeld.<\/p>

    Viele Gesch\u00e4ftsf\u00fchrer und IT-Verantwortliche untersch\u00e4tzen die datenschutzrechtlichen Anforderungen bei der Beauftragung externer IT-Dienstleister. Ein einfacher Dienstleistungsvertrag reicht regelm\u00e4\u00dfig nicht aus, denn viele personenbezogene Daten, vor Allem von Kunden und Mitarbeitern, werden weitergegeben, damit IT-Dienstleister sie nach Weisung verarbeiten. Die Datenschutz-Grundverordnung fordert eine Auftragsverarbeitungsvereinbarung, wenn personenbezogene Daten im Auftrag verarbeitet werden. Fehlt diese oder ist sie unvollst\u00e4ndig, riskieren Unternehmen nicht nur Bu\u00dfgelder, sondern auch den Vertrauensverlust ihrer Kunden und Gesch\u00e4ftspartner.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Rechtliche Grundlagen: Auftragsverarbeitung nach DSGVO<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Die zentrale Norm: Art. 28 DSGVO<\/h3>

    Art. 28 DSGVO bildet damit den Kern der datenschutzrechtlichen Anforderungen an die Zusammenarbeit mit IT-Dienstleistern. Die Vorschrift regelt detailliert, unter welchen Voraussetzungen ein Unternehmen personenbezogene Daten zur Verarbeitung an einen Dienstleister weitergeben darf.<\/p>

    Die Grundregel ist eindeutig: Eine Auftragsverarbeitung darf nur auf Grundlage eines Vertrags erfolgen, der den Gegenstand und die Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen festlegt. Dieser Vertrag muss schriftlich oder in einem anderen dauerhaften Format vorliegen.<\/p>

    Mindestinhalte der Auftragsverarbeitungsvereinbarung<\/h3>

    Art. 28 DSGVO nennt explizit die Mindestinhalte, die eine Datenschutzvereinbarung mit IT-Dienstleistern enthalten muss:<\/p>

    Der Auftragsverarbeiter darf personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten. Diese Weisungsbefugnis ist zentral: Der IT-Dienstleister darf nicht eigenst\u00e4ndig \u00fcber den Umgang mit den Daten entscheiden, sondern muss sich strikt an die Vorgaben des Auftraggebers halten.<\/p>

    Alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, m\u00fcssen sich zur Vertraulichkeit verpflichtet haben. Dies betrifft nicht nur die direkten Mitarbeiter des IT-Dienstleisters, sondern auch m\u00f6gliche Subunternehmer.<\/p>

    Der Auftragsverarbeiter muss geeignete technische und organisatorische Ma\u00dfnahmen im Sinne von Art. 32 DSGVO ergreifen. Diese m\u00fcssen konkret beschrieben werden.<\/p>

    Die Vereinbarung muss regeln, unter welchen Bedingungen der IT-Dienstleister einen weiteren Auftragsverarbeiter hinzuziehen darf. Der Verantwortliche muss dieser Weitergabe vorab zustimmen, mindestens aber informiert werden und Widerspruchsm\u00f6glichkeiten haben.<\/p>

    Abgrenzung zur gemeinsamen Verantwortlichkeit<\/h3>

    Nicht jede Zusammenarbeit mit einem IT-Dienstleister stellt eine Auftragsverarbeitung dar. Entscheidend ist, ob der Dienstleister eigenverantwortlich \u00fcber Zwecke und Mittel der Datenverarbeitung entscheidet oder lediglich weisungsgebunden f\u00fcr den Auftraggeber t\u00e4tig wird.<\/p>

    Bestimmt der IT-Dienstleister eigenst\u00e4ndig, welche Daten er wie verarbeitet, liegt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor. Dies ist beispielsweise nicht selten bei der Nutzung von Marketing-Tools oder Analyse-Software der Fall, bei denen der Anbieter eigene Zwecke verfolgt.<\/p>

    Die Abgrenzung ist in der Praxis oft schwierig, aber rechtlich hochrelevant. Bei gemeinsamer Verantwortlichkeit gelten andere Anforderungen als bei der Auftragsverarbeitung, insbesondere m\u00fcssen die Verantwortlichen ihre jeweiligen Pflichten transparent regeln und Betroffene \u00fcber ihre Verantwortlichkeit informieren.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Pflichtinhalte einer rechtssicheren Datenschutzvereinbarung\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Gegenstand und Dauer der Verarbeitung<\/h3>

    Die Datenschutzvereinbarung muss pr\u00e4zise beschreiben, welche konkreten Dienstleistungen der IT-Dienstleister erbringt und in welchem Zusammenhang er dabei mit personenbezogenen Daten in Ber\u00fchrung kommt. Pauschale Formulierungen wie „IT-Support“ gen\u00fcgen nicht \u2013 die Vereinbarung sollte konkret benennen, ob es sich um Systemwartung, Softwarepflege, Hosting oder andere T\u00e4tigkeiten handelt.<\/p>

    Die Dauer der Auftragsverarbeitung muss ebenfalls festgelegt werden. Wichtig ist auch die Beschreibung des Verarbeitungskontexts: In welchen Systemen werden die Daten verarbeitet? Handelt es sich um Produktivsysteme oder Testsysteme? Werden Daten au\u00dferhalb der EU-Systeme verarbeitet? All diese Aspekte m\u00fcssen transparent dargelegt werden.<\/p>

    Art und Zweck der Datenverarbeitung<\/h3>

    Die Vereinbarung muss konkret benennen, zu welchem Zweck der IT-Dienstleister personenbezogene Daten verarbeitet. Der Zweck ergibt sich typischerweise aus der beauftragten Dienstleistung: Bei einem Hosting-Vertrag ist der Zweck die technische Bereitstellung der Server-Infrastruktur, bei einem Wartungsvertrag die Aufrechterhaltung der Systemfunktionalit\u00e4t.<\/p>

    Die Art der Verarbeitung umfasst die konkreten Verarbeitungsvorg\u00e4nge: Werden Daten gespeichert, \u00fcbermittelt, ver\u00e4ndert oder gel\u00f6scht? Erfolgt eine automatisierte Verarbeitung oder haben Menschen Zugriff auf die Daten? Diese Details sind wichtig, um das Risiko f\u00fcr die Rechte der Betroffenen einzusch\u00e4tzen.<\/p>

    Kategorien personenbezogener Daten und betroffener Personen<\/h3>

    Die Datenschutzvereinbarung muss auflisten, welche Kategorien personenbezogener Daten verarbeitet werden. Die Kategorien k\u00f6nnen umfassen: Stammdaten (Name, Adresse), Kontaktdaten (E-Mail, Telefon), Vertragsdaten (Kundennummer, Vertragshistorie), Zahlungsdaten oder Nutzungsdaten.<\/p>

    Besonders sensible Daten nach Art. 9 DSGVO \u2013 etwa Gesundheitsdaten, ethnische Herkunft oder biometrische Daten \u2013 m\u00fcssen explizit genannt werden, da f\u00fcr sie erh\u00f6hte Schutzanforderungen gelten.<\/p>

    Weisungsbefugnis und Verarbeitungsbeschr\u00e4nkungen<\/h3>

    Der Kern jeder Auftragsverarbeitungsvereinbarung ist die Regelung der Weisungsbefugnis. Der IT-Dienstleister darf personenbezogene Daten ausschlie\u00dflich auf die dokumentierte Weisung des Verantwortlichen verarbeiten. Diese Weisungen k\u00f6nnen im Vertrag selbst enthalten sein oder gesondert erteilt werden.<\/p>

    Die Vereinbarung sollte einen Mechanismus f\u00fcr die Erteilung weiterer Weisungen vorsehen \u2013 etwa per E-Mail, \u00fcber ein Ticketsystem oder in anderer schriftlicher Form. Wichtig ist, dass Weisungen nachvollziehbar dokumentiert werden, um im Streitfall beweisen zu k\u00f6nnen, dass der IT-Dienstleister nur weisungsgem\u00e4\u00df gehandelt hat.<\/p>

    Technische und organisatorische Ma\u00dfnahmen<\/h3>

    Art. 32 DSGVO fordert angemessene technische und organisatorische Ma\u00dfnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gew\u00e4hrleisten. Die Datenschutzvereinbarung muss diese Ma\u00dfnahmen konkret beschreiben \u2013 ein pauschaler Verweis auf Art. 32 DSGVO gen\u00fcgt nicht.<\/p>

    Zu den technischen Ma\u00dfnahmen geh\u00f6ren: Verschl\u00fcsselung von Daten bei \u00dcbertragung und Speicherung, Zugriffskontrollen, Firewalls, regelm\u00e4\u00dfige Sicherheitsupdates und Backups. Organisatorische Ma\u00dfnahmen umfassen Zutrittskontrollsysteme, Mitarbeiterschulungen, Datenschutz-Management-Prozesse und Incident-Response-Pl\u00e4ne.<\/p>

    Vertraulichkeitsverpflichtungen<\/h3>

    Alle Personen, die f\u00fcr den Auftragsverarbeiter Zugriff auf personenbezogene Daten haben, m\u00fcssen zur Vertraulichkeit verpflichtet werden. Dies gilt nicht nur f\u00fcr fest angestellte Mitarbeiter, sondern auch f\u00fcr Subunternehmer, Freelancer und externe Berater.<\/p>

    Die Vertraulichkeitsverpflichtung sollte \u00fcber die Beendigung des Arbeitsverh\u00e4ltnisses hinaus gelten und explizit auch den Datenschutz umfassen. Viele Arbeitsvertr\u00e4ge enthalten zwar allgemeine Verschwiegenheitsklauseln, diese sind aber oft nicht spezifisch genug f\u00fcr die datenschutzrechtlichen Anforderungen.<\/p>

    Unterst\u00fctzungspflichten bei Betroffenenrechten<\/h3>

    Betroffene Personen haben umfangreiche Rechte nach der DSGVO \u2013 etwa auf Auskunft, Berichtigung, L\u00f6schung oder Daten\u00fcbertragbarkeit. Wenn ein Betroffener diese Rechte geltend macht, muss der Verantwortliche darauf reagieren, ben\u00f6tigt daf\u00fcr aber h\u00e4ufig die Unterst\u00fctzung des Auftragsverarbeiters.<\/p>

    Die Datenschutzvereinbarung sollte konkret regeln, wie der IT-Dienstleister den Verantwortlichen bei der Erf\u00fcllung von Betroffenenrechten unterst\u00fctzt. Dies kann bedeuten: Bereitstellung relevanter Daten, Durchf\u00fchrung von L\u00f6schungen, Einschr\u00e4nkung der Verarbeitung oder technische Unterst\u00fctzung bei der Daten\u00fcbertragung.<\/p>

    Meldepflichten bei Datenschutzverletzungen<\/h3>

    Bei einer Datenschutzverletzung \u2013 etwa durch einen Hackerangriff, Datenverlust oder unberechtigten Zugriff \u2013 muss der Verantwortliche unter Umst\u00e4nden die Aufsichtsbeh\u00f6rde und betroffene Personen informieren. Art. 33 und 34 DSGVO sehen hierf\u00fcr enge Fristen vor.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Praktische Tipps f\u00fcr Unternehmen\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Vertragsverhandlung mit IT-Dienstleistern<\/h3>

    Bei der Beauftragung eines IT-Dienstleisters sollten Unternehmen die Datenschutzvereinbarung nicht als nachrangiges Thema behandeln. Idealerweise wird sie parallel zum Hauptvertrag verhandelt, nicht erst nach Vertragsabschluss.<\/p>

    Viele IT-Dienstleister bieten Standardvertr\u00e4ge an, die als Ausgangspunkt dienen k\u00f6nnen. Diese sollten aber stets auf die spezifische Verarbeitungst\u00e4tigkeit angepasst werden. Pauschale Vertr\u00e4ge bergen das Risiko, dass wichtige Aspekte nicht abgedeckt sind oder Regelungen unvollst\u00e4ndig bleiben.<\/p>

    Unternehmen sollten nicht z\u00f6gern, kritische Punkte anzusprechen und Nachbesserungen zu fordern. Weigert sich ein IT-Dienstleister, eine rechtskonforme Datenschutzvereinbarung abzuschlie\u00dfen, ist dies ein Warnsignal \u2013 m\u00f6glicherweise erf\u00fcllt er die datenschutzrechtlichen Anforderungen generell nicht.<\/p>

    Dokumentation und Verarbeitungsverzeichnis<\/h3>

    Jeder Verantwortliche muss nach Art. 30 DSGVO ein Verzeichnis der Verarbeitungst\u00e4tigkeiten f\u00fchren. F\u00fcr jede Auftragsverarbeitung ist eine eigene Position in diesem Verzeichnis anzulegen, die den Auftragsverarbeiter, die Art der Verarbeitung und die Kategorien der Daten auff\u00fchrt.<\/p>

    Regelm\u00e4\u00dfige \u00dcberpr\u00fcfung bestehender Vertr\u00e4ge<\/h3>

    Datenschutzrecht entwickelt sich st\u00e4ndig weiter. Vertr\u00e4ge, die vor einigen Jahren rechtssicher waren, k\u00f6nnen heute l\u00fcckenhaft sein. Unternehmen sollten ihre bestehenden Datenschutzvereinbarungen regelm\u00e4\u00dfig \u00fcberpr\u00fcfen \u2013 mindestens einmal j\u00e4hrlich oder bei wesentlichen rechtlichen \u00c4nderungen.<\/p>

    Einbindung des Datenschutzbeauftragten<\/h3>

    Unternehmen, die einen Datenschutzbeauftragten bestellt haben, sollten diesen fr\u00fchzeitig in die Vertragsverhandlungen mit IT-Dienstleistern einbinden. Der Datenschutzbeauftragte kann beurteilen, ob die vorgeschlagenen Vertragsklauseln den rechtlichen Anforderungen gen\u00fcgen und auf Risiken hinweisen.<\/p>

    Auch bei der laufenden \u00dcberpr\u00fcfung von Auftragsverarbeitern spielt der Datenschutzbeauftragte eine wichtige Rolle. Er sollte Zugriff auf alle Datenschutzvereinbarungen haben und regelm\u00e4\u00dfig pr\u00fcfen, ob die vereinbarten Ma\u00dfnahmen eingehalten werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Checkliste f\u00fcr rechtssichere Datenschutzvereinbarungen\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Vor Vertragsabschluss:<\/b><\/p>

    • Pr\u00fcfung, ob der IT-Dienstleister als Auftragsverarbeiter oder als gemeinsam Verantwortlicher agiert<\/li>
    • Kl\u00e4rung, welche personenbezogenen Daten verarbeitet werden (Kategorien und Sensibilit\u00e4t)<\/li>
    • Identifikation aller Subunternehmer, die der IT-Dienstleister einsetzt<\/li>
    • Pr\u00fcfung, ob Daten au\u00dferhalb der EU verarbeitet werden<\/li>
    • Bewertung der technischen und organisatorischen Ma\u00dfnahmen des Dienstleisters<\/li>
    • Pr\u00fcfung vorhandener Zertifizierungen<\/li><\/ul>

      Vertragsinhalte:<\/b><\/p>

      • Pr\u00e4zise Beschreibung von Gegenstand, Dauer und Zweck der Verarbeitung<\/li>
      • Detaillierte Auflistung der Kategorien personenbezogener Daten und betroffener Personen<\/li>
      • Klare Regelung der Weisungsbefugnis und des Weisungsverfahrens<\/li>
      • Konkrete Beschreibung der technischen und organisatorischen Ma\u00dfnahmen<\/li>
      • Vertraulichkeitsverpflichtung f\u00fcr alle Mitarbeiter des Dienstleisters<\/li>
      • Unterst\u00fctzungspflichten bei Betroffenenrechten<\/li>
      • Meldepflichten bei Datenschutzverletzungen mit konkreten Fristen und Kontaktwegen<\/li>
      • Pr\u00fcf- und Kontrollrechte des Verantwortlichen<\/li>
      • Pflichten bei Vertragsbeendigung<\/li>
      • Haftungs- und Schadensersatzregelungen<\/li><\/ul>

        Nach Vertragsabschluss:<\/b><\/p>

        • Eintragung der Auftragsverarbeitung im Verarbeitungsverzeichnis<\/li>
        • Dokumentation der Datenschutzvereinbarung in der Compliance-Dokumentation<\/li>
        • Information des Datenschutzbeauftragten \u00fcber die neue Auftragsverarbeitung<\/li>
        • Bei sensiblen Daten: Durchf\u00fchrung einer Datenschutz-Folgenabsch\u00e4tzung<\/li>
        • Schulung der eigenen Mitarbeiter \u00fcber den Umgang mit dem IT-Dienstleister<\/li><\/ul>

          Laufende \u00dcberpr\u00fcfung:<\/b><\/p>

          • J\u00e4hrliche Kontrolle der Einhaltung der vertraglichen Vereinbarungen<\/li>
          • Pr\u00fcfung neuer Subunternehmer und deren Dokumentation<\/li>
          • \u00dcberpr\u00fcfung der technischen und organisatorischen Ma\u00dfnahmen auf Aktualit\u00e4t<\/li>
          • Aktualisierung der Datenschutzvereinbarung bei \u00c4nderungen der Rechtslage<\/li>
          • Kontrolle der Weisungsdokumentation<\/li>
          • \u00dcberpr\u00fcfung der Meldewege f\u00fcr Datenschutzverletzungen<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t

            Datenschutzvereinbarungen sind Pflicht, nicht K\u00fcr\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t

            Die Zusammenarbeit mit IT-Dienstleistern ist f\u00fcr Unternehmen unverzichtbar, birgt aber erhebliche datenschutzrechtliche Risiken. Eine rechtssichere Datenschutzvereinbarung ist keine b\u00fcrokratische Formsache, sondern essentieller Bestandteil eines funktionierenden Datenschutz-Management-Systems.<\/p>

            Unternehmen, die keine oder unzureichende Auftragsverarbeitungsvereinbarungen abschlie\u00dfen, riskieren nicht nur Bu\u00dfgelder, sondern auch Reputationssch\u00e4den und Schadensersatzforderungen bei Datenschutzverletzungen. Die Aufsichtsbeh\u00f6rden haben in den vergangenen Jahren deutlich gemacht, dass sie Verst\u00f6\u00dfe in diesem Bereich nicht dulden.<\/p>

            Wer unsicher ist, ob bestehende Vertr\u00e4ge den rechtlichen Anforderungen gen\u00fcgen oder Unterst\u00fctzung bei der Verhandlung neuer Datenschutzvereinbarungen ben\u00f6tigt, sollte fachkundigen Rat einholen. Als Fachanw\u00e4lte f\u00fcr IT-Recht und mit Fokus auf den Datenschutz unterst\u00fctzen wir Unternehmen bei der rechtssicheren Gestaltung ihrer Vertr\u00e4ge mit IT-Dienstleistern. Kontaktieren Sie uns f\u00fcr eine individuelle Beratung \u2013 wir helfen Ihnen, Ihre Datenschutz-Compliance zu optimieren und Haftungsrisiken zu minimieren.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

            \n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t
            \n\t\t\t\t\t\t
            \n\t\t\t\t\n\t\t\t\t\t
            H\u00e4ufig gestellte Fragen <\/div><\/span>\n\t\t\t\t\t\t\t\n\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t
            \n\t\t\t\t\t\t\t
            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Ja, auch bei reinem technischen Support ist eine Auftragsverarbeitungsvereinbarung erforderlich, wenn der Dienstleister dabei Zugriff auf Systeme mit personenbezogenen Daten hat. Selbst wenn der Support-Mitarbeiter die Daten nicht aktiv verarbeitet, kann er sie potenziell einsehen, was bereits eine Verarbeitung im Sinne der DSGVO darstellt.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Standardvertr\u00e4ge k\u00f6nnen als Grundlage dienen, m\u00fcssen aber an die spezifische Verarbeitungssituation angepasst werden. Die DSGVO fordert konkrete Beschreibungen der Verarbeitung, der betroffenen Daten und der Sicherheitsma\u00dfnahmen. Ein vollst\u00e4ndig standardisierter Vertrag ohne Anpassung an die konkrete Dienstleistung erf\u00fcllt diese Anforderungen meist nicht. <\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Das Fehlen einer Auftragsdatenverarbeitungsvereinbarung stellt einen Versto\u00df gegen Art. 28 DSGVO dar und kann mit Bu\u00dfgeldern geahndet werden. Zudem haften Sie f\u00fcr alle Datenschutzverletzungen, die durch den IT-Dienstleister verursacht werden. Auch Kunden und Gesch\u00e4ftspartner k\u00f6nnen bei fehlender AVV das Vertrauen verlieren.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Eine Aktualisierung ist immer dann erforderlich, wenn sich wesentliche Umst\u00e4nde \u00e4ndern \u2013 etwa neue Verarbeitungst\u00e4tigkeiten hinzukommen, andere Daten verarbeitet werden oder der IT-Dienstleister neue Subunternehmer einsetzt. Auch bei \u00c4nderungen der Rechtslage sollten Sie pr\u00fcfen, ob Ihre Vertr\u00e4ge noch aktuell sind. Empfehlenswert ist eine j\u00e4hrliche Routine-\u00dcberpr\u00fcfung aller Datenschutzvereinbarungen, selbst wenn keine konkreten \u00c4nderungen bekannt sind.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Eine generelle Vorlagepflicht besteht nicht. Die Vereinbarung muss aber bei Kontrollen durch die Datenschutzbeh\u00f6rde auf Anforderung vorgelegt werden k\u00f6nnen. Zudem m\u00fcssen Sie die Auftragsverarbeitung in Ihrem Verarbeitungsverzeichnis dokumentieren. Bei Datenschutzverletzungen oder Beschwerden von Betroffenen wird die Beh\u00f6rde gegebenenfalls die AVV anfordern, um zu pr\u00fcfen, ob Sie Ihrer Verantwortung nachgekommen sind.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Grunds\u00e4tzlich bleiben Sie als Verantwortlicher f\u00fcr den Datenschutz haftbar, auch wenn Sie einen IT-Dienstleister beauftragen. Eine klare vertragliche Haftungsregelung ist daher wichtig, um im Schadensfall die Verantwortlichkeiten zu kl\u00e4ren.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Ja, die Dauer der Beauftragung ist irrelevant. Sobald ein IT-Dienstleister im Rahmen seiner T\u00e4tigkeit Zugriff auf personenbezogene Daten erh\u00e4lt, ist eine Auftragsverarbeitungsvereinbarung erforderlich \u2013 auch bei einmaligen oder kurzfristigen Projekten.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Ja, Cloud-Services sind typische Auftragsverarbeitungen. Die Datenschutzvereinbarung muss dabei besonders detailliert regeln, wo die Rechenzentren stehen, welche Sicherheitsma\u00dfnahmen implementiert sind und welche Subunternehmer der Cloud-Anbieter nutzt.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

            \n\t\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

            Die K\u00fcndigungsmodalit\u00e4ten richten sich nach dem zugrunde liegenden Dienstleistungsvertrag. Bei Beendigung des Hauptvertrags endet automatisch auch die Auftragsverarbeitung. Wichtig ist, dass Sie in der Datenschutzvereinbarung geregelt haben, was mit den Daten bei Vertragsende geschieht.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t