Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg liefert eine Vertragsvorlage für eine Vereinbarung zwischen „gemeinsam für die Verarbeitung Verantwortliche“ nach Art. 26 Abs. 1 S. 2 DSGVO.
“Aufgrund des durch die DSGVO völlig neu gestalteten rechtlichen Konstrukts der gemeinsamen Verantwortlichkeit herrschte in diesem Bereich bislang noch immer viel „Unsicherheit“ und betroffene Unternehmen waren nicht selten darauf angewiesen, bei spezialisierten Anwaltskanzleien oder direkt bei den Aufsichtsbehörden Unterstützung bei der gesetzeskonformen Ausgestaltung einer solchen Vereinbarung anzufragen. ” – Markus Spöhr
Wir erinnern uns an das in den Medien bekannteste Beispiel für das Vorliegen einer gemeinsamen Verantwortlichkeit (auch Joint Controller genannt) im Sinne des Art. 26 DSGVO. Facebook und die Betreiber einer Facebook-Fanpage sind nach dem Urteil des EuGH vom 5. Juni 2018 für die Datenverarbeitung im Rahmen des Betriebs einer Fanpage gemeinsam verantwortlich (hierzu auch unser Beitrag „Noch mehr gemeinsame Verantwortung? – Der Facebook-„Gefällt mir“-Button“). Gemäß Art. 26 Abs.1 S.2 DSGVO, ist im Falle einer gemeinsamen Verantwortlichkeit eine Vereinbarung zwischen den Verantwortlichen zu schließen. Facebook reagierte hierauf mit Ihrem Page Insights Controller Addendum (PICA). Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hatte am 01.04.2019 hierzu Stellung genommen und hielt fest, dass das von Facebook veröffentlichte PICA nicht die Anforderungen an eine Vereinbarung nach Art. 26 DSGVO erfüllt. Über die daraus resultierenden Folgen berichteten wir in unserem News-Beitrag vom 16.04. 2019.
Doch wie hat so eine vertragliche Vereinbarung tatsächlich auszusehen und welchen Regelungsgehalt misst man ihr bei, insbesondere bei der Wahrnehmung der Betroffenenrechte? Halten wir fest: Entscheiden mehrere Verantwortliche gemeinsam über Zwecke und Mittel der Datenverarbeitung, so sind sie gemeinsam verantwortlich und müssen untereinander vereinbaren, wer im Innenverhältnis welcher Pflicht aus der Datenschutz-Grundverordnung (DSGVO) nachkommt. Aufgrund des durch die DSGVO völlig neu gestalteten rechtlichen Konstrukts der gemeinsamen Verantwortlichkeit herrschte in diesem Bereich bislang noch immer viel „Unsicherheit“ und betroffene Unternehmen waren nicht selten darauf angewiesen, bei spezialisierten Anwaltskanzleien oder direkt bei den Aufsichtsbehörden Unterstützung bei der gesetzeskonformen Ausgestaltung einer solchen Vereinbarung anzufragen.
Mustervertrag
Der LfDI Baden-Württemberg veröffentlichte nun als erste Datenschutzaufsicht in transparenter und verständlicher Form ein Vertragsmuster zur gemeinsamen Verantwortlichkeit*. Das Muster beruht auf einer gemeinsamen Entwicklung mehrerer privatwirtschaftlicher Unternehmen und öffentlicher Stellen. Die Vorlage bietet mit den enthaltenen Regelungen nun einen wirklich guten und praxisnahen Ansatz für die Erstellung eines Vertrages zur gemeinsamen Verantwortung.
Zuordnung der Zuständigkeiten mittels Wirkbereiche
Hervorzuheben ist vor allem die Zuordnung der Verarbeitungen in einzelne „Wirkbereiche“. Hierbei werden zum Beispiel ein Systemabschnitt und / oder einzelne Datenverarbeitungsprozesse oder –verfahren, auf die der jeweilige Verantwortliche Einfluss hat, „verteilt“. Die Einteilung in Wirkbereiche soll helfen, sinnvolle Regelungen bezüglich der Verantwortungen im Innenverhältnis zwischen den gemeinsamen Verantwortlichen als auch im Außenverhältnis zu den Betroffenen selbst festlegen zu können. Zudem liefert der LfDI Baden-Württemberg auch eine Vorlage bezüglich der Information der Betroffenen über den Mindestinhalt der zwischen den Parteien getroffenen Vereinbarung.
Individualvertragliche Anpassungen nötig
Das Muster liefert einen interessanten Einblick in die Sichtweise der Behörden. Klar ist aber auch, dass spezielle Verarbeitungen der individuellen Vertragssituation angepasst werden sollten. Die Vorlage sollte daher von den gemeinsam Verantwortlichen zusammen mit deren Datenschutzbeauftragten zunächst kritisch geprüft und mit den eigenen Gegebenheiten der geplanten Verarbeitung abgeglichen werden. Anschließend muss die Vorlage in den Einzelheiten auf die individuellen Gegebenheiten angepasst und / oder ergänzt werden.
Fazit
Mit der Mustervertragsvorlage zur gemeinsamen Verantwortung hat der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg eine praxis- und anwendungsnahe Handreichung zur Gestaltung der komplexen Materie entwickelt. Das Vertragsmuster klärt dabei zum einen wichtige Auslegungsfragen im betroffenen Themenbereich, zum anderen liefert sie ein gutes Fundament zum Aufbau der entsprechenden Verträge in der Praxis.
Artikel zum selben Thema:
Einwilligung – Drahtseilakt zwischen rechtlicher Ausgestaltung und praktischer Handhabung
Es begegnet uns nahezu alltäglich – das Erfordernis der Einwilligung. Im beruflichen wie auch im privaten Kontext. In der datenschutzrechtlichen […]
Interne Mitteilungen über Beschäftigte
Manche Dinge sind so trivial, man macht sie einfach. Aus Nettigkeit, aus Rücksicht, aus Freude, weil man eben muss […]
EU-US Data Privacy Framework – was lange währt wird endlich gut?
Am 10.07.2023 verabschiedete die EU-Kommission den neuen Angemessenheitsbeschluss für die USA – das Transatlantic Data Privacy Framework, kurz TADPF. […]
