Das noch vor Gültigkeit der DSGVO vom BMI entwickelte und vom BfDI veröffentlichte Muster zur Auftragsverarbeitung ist aktuell die wohl wichtigste Orientierung bei der Erstellung von Auftragsverarbeitungsverträgen im deutschsprachigen Raum. Mit seinem »Positionspapier zum Bundesmuster zur Auftragsverarbeitung« regt Bitkom nun eine Weiterentwicklung und Überarbeitung des Musters an und legt damit den Finger in viele »Wunden«, die das Bundesmuster in der praktischen Anwendung vielfach hat.
“Daneben können die Hinweise des Bitkom auch ein guter Anlass sein, dass sich Datenschutzbeauftragte, Justiziare und anwaltliche Berater mal wieder mit den rechtlichen Aspekten der Vorlagen des eigenen Datenschutzmanagements beschäftigen.” – Matthias Herkert
Mit seinem »Positionspapier zum Bundesmuster zur Auftragsverarbeitung« (hier geht es zur Veröffentlichung auf der Seite des Bitkom) zielt Bitkom neben einem »möglichst einheitlichen Verständnis der Datenschutz-Grundverordnung« vor allem auf praxisgerechte Auslegung der europäischen Datenschutzregeln mit Blick auf die in der Praxis häufig eingesetzte Musterempfehlung des BfDI (hier geht es zum Bundesmuster zur Auftragsverarbeitung auf der Homepage des Bundesministeriums).
Unterstützungsleistungen und Vergütung
Einen für die Praxis sinnvollen Hinweis zu Vergütungen für datenschutzrechtliche Unterstützungsleistungen findet sich im Positionspapier des Bitkom bereits im vorlagerten Teil im Sinne einer »grundsätzlichen Anmerkung«. Während Fragen zur grundsätzlichen Zulässigkeit von Vergütungen kaum mehr zu Unsicherheiten führen sollten (wir haben hierzu bereits Ende 2018 u.a. zu »Entgeltpflichten bei Vor-Ort-Kontrollen beim Auftragsverarbeiter« berichtet), greift Bitkom die noch immer häufig angewandte Praxis der Vereinbarung von Pauschalpreisen oder Aufwandsvergütungen mit Obergrenze auf und verweist auf den »derzeit nicht vorhersehbaren Umfang« möglicher zukünftiger Unterstützungsleistungen und rät zu einer Vergütung nach Aufwand ohne Obergrenze.
Die an dieser Stelle, aber auch im Weiteren zu anderen Themen, angefügte Anregung, entsprechende Vereinbarungen gesondert und übersichtlich in einem separaten Paragraphen vorzunehmen, zielt neben dem BfDI als Adressaten des Positionspapiers sicherlich auch mahnend an alle betrieblichen Datenschutzbeauftragten, bei der Erstellung und Gestaltung die juristischen Grundlagen an einen systematischen Aufbau von Verträgen nicht außer Acht zu lassen.
Kurzes Wort mit großer Wirkung
In einer übersichtlichen Darstellung greift Bitkom im 4. Teil des Positionspapieres unter anderem zahlreiche Einzelbegriffe auf, die in der Praxis sicherlich schon fast jeden Datenschutzbeauftragten zum Nachdenken brachten. Eine Klarstellung, dass Unterstützungsleistungen des Auftragsverarbeiters »angesichts der Art der Verarbeitung« und nicht grundsätzlich und damit weitreichend »angemessen« sein sollten erscheint hierbei genauso sinnvoll wie die Erwähnung, dass Begriffe wie »stellt sicher«, die auf eine Garantie im Rechtssinne mit der Folge einer unbeschränkten und verschuldensunabhängigen Haftung hindeuten könnten, vermieden und daher ersetzt werden sollten.
Dass in der betrieblichen Praxis indes insbesondere Datenschutzbeauftragte mit entsprechendem juristischen Hintergrund hier die eigenen Muster wohl bereits entsprechend weitsichtig gestaltet haben werden, nimmt den Hinweisen hierbei keinesfalls ihre praktische Bedeutung.
Stärkere Berücksichtigung digitaler Verarbeitungen
Dass die im Bundesmuster zur Auftragsverarbeitung beinahe archaisch anmutenden Formulierungen zur Aushändigung beziehungswiese nachweislich protokollierten, datenschutzgerechten Vernichtung von Unterlagen, Ergebnissen und Datenbeständen durch Bitkom als Vertreter der digitalen Wirtschaft aufgegriffen wird, überrascht kaum. Die vorgeschlagenen Anpassungen zielen daher auf eine bessere Berücksichtigung digitaler Verarbeitungssituationen und die Herausforderungen der Datenlöschung insbesondere in komplexen Strukturen ab.
Anpassungen bei den Regelungen zu Subunternehmern
Aufbauend auf das bereits zu Beginn des Positionspapieres vorgeschlagene und durch Art. 28 Abs. 4 DSGVO gedeckte Verständnis, das Subunternehmerschaften nur dann vorliegen, wenn die weiteren Auftragnehmer die geschuldete Hauptleistung teilweise oder vollständig übernehmen, folgen im vierten Teil zahlreiche Empfehlungen, um die in der Praxis an dieser Stelle häufigen Auslegungsprobleme abzumildern.
Neben einem Vorschlag zur Ausdifferenzierung von Nebenleistungen wie Post- , Transport- und Versand- und Reinigungsleistungen empfiehlt Bitkom insbesondere eine sinnvolle Klarstellung zu den Rechtsfolgen einer Ablehnung von Subunternehmern durch die verantwortliche Stelle wie auch zur Ausgestaltung der Kündigungsrechte.
Fazit
Mit seinen Anmerkungen und Ergänzungen zum Bundesmuster zur Auftragsverarbeitung des BfDI möchte der Bitkom nach eigener Aussage einen »konstruktiven Dialog und Austausch über das Muster begünstigen«.
Daneben können die Hinweise des Bitkom auch als Anregungen zur Überarbeitung und Anpassung der vielfältigen Vertragsmuster zur Auftragsverarbeitung verstanden werden, die in den Unternehmen zum Einsatz kommen, und ein guter Anlass sein, dass sich Datenschutzbeauftragte, Justiziare und anwaltliche Berater mal wieder mit den rechtlichen Aspekten der Vorlagen des eigenen Datenschutzmanagements beschäftigen.
Artikel zum selben Thema:
Einwilligung – Drahtseilakt zwischen rechtlicher Ausgestaltung und praktischer Handhabung
Es begegnet uns nahezu alltäglich – das Erfordernis der Einwilligung. Im beruflichen wie auch im privaten Kontext. In der datenschutzrechtlichen […]
Interne Mitteilungen über Beschäftigte
Manche Dinge sind so trivial, man macht sie einfach. Aus Nettigkeit, aus Rücksicht, aus Freude, weil man eben muss […]
EU-US Data Privacy Framework – was lange währt wird endlich gut?
Am 10.07.2023 verabschiedete die EU-Kommission den neuen Angemessenheitsbeschluss für die USA – das Transatlantic Data Privacy Framework, kurz TADPF. […]
