Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so besteht nach der DS-GVO weiterhin eine Privilegierungswirkung, auch bezüglich der Übermittlung von besonderen Arten personenbezogener Daten. Gemäß Art. 28 Abs. 3 DS-GVO sind zur Zulässigkeit der Auftragsverarbeitung wie bisher Verträge mit gewissen Mindestinhalten erforderlich. Diesbezügliche Altverträge müssen jedoch aufgrund partieller Änderungen bspw. von Begriffen, Referenzen und z.T. auch von Inhalten umgestellt werden. Dies ist umso wichtiger als auch der Verantwortliche Überwachungspflichten im Hinblick auf die Ergreifung geeigneter technischer und organisatorischer Maßnahmen durch den Auftragsverarbeitung nachkommen muss (Art. 28 Abs. 5 DS-GVO).
Bei Fragen der vertraglichen Einbindung einer Auftragsverarbeitung, die nun anhand des Art. 28 DS-GVO beantwortet werden müssen, bietet der komplett überarbeitete und an die Anforderungen der DS-GVO angepasste Mustervertragstext der Bitkom (Digitalverband Deutschlands) einen hilfreichen Überblick. Dieser Leitfaden gibt auch weitere begleitende Hinweise zur Thematik der gemeinsam Verantwortlichen iSd. Art. 26 DSGVO (Joint Controllership) samt einer Checkliste für die Erstellung von diesbezüglichen Verträgen.
Ein anderes Muster wurde von der Gesellschaft für Datenschutz und Daten-Sicherheit veröffentlicht. Dieses Muster lehnt sich sehr weitgehend an die bisherigen Verträge nach § 11 BDSG an.[2]
Beide Vertragsmuster enthalten viele gute Anregungen, sollten jedoch nicht unbesehen eingesetzt werden. Zum einen sind sie sehr ausführlich (ggfs. überlang), zum anderen ist hier auch noch damit zu rechnen, dass die Aufsichtsbehörden Muster erarbeiten und veröffentlichen.
Dr. Jürgen Hartung
