Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen, ist ein Vertrag zur Auftragsverarbeitung nach der DSGVO nötig. Er legt Zweck, Weisungen, Sicherheitsmaßnahmen und Löschung fest. Das betrifft etwa Hosting, Messdienstleister und Abrechnungsdienste.
« Zurück zum LexikonAuftragsverarbeitung
« Zurück zum Lexikon
Beispiel aus der Praxis
Ein Vermieter nutzt ein Portal, in dem Mieternamen, Verträge und Zählerstände gespeichert sind. Der Anbieter hostet diese Daten für ihn. Dafür schließen beide einen Auftragsverarbeitungsvertrag, der regelt, wozu der Anbieter die Daten verwenden darf, wo sie liegen und wie sie nach Vertragsende gelöscht werden.
Was das konkret bedeutet
Verantwortlich bleibt der Vermieter als Auftraggeber. Er sollte deshalb prüfen, ob technische und organisatorische Maßnahmen beschrieben sind, wer Unterauftragnehmer ist und wo gehostet wird. Bei WOODGRID ist Hosting in Deutschland vorgesehen. Die endgültigen Vertragsunterlagen sollte ein Datenschutzbeauftragter oder Jurist durchsehen.
Abgrenzung
Die Auftragsverarbeitung ist nicht mit einer Datenweitergabe an einen eigenständig Verantwortlichen zu verwechseln. Ein Netzbetreiber, der Daten für eigene Zwecke verarbeitet, handelt nicht als Auftragsverarbeiter und verlangt daher keinen solchen Vertrag.