Auftragsverarbeitung: Auftragsverarbeitung bezeichnet nach Art. 28 DSGVO die Verarbeitung personenbezogener Daten durch einen externen Dienstleister im Auftrag und nach Weisung eines Verantwortlichen, geregelt durch einen schriftlichen Auftragsverarbeitungsvertrag (AVV).
Typische Fälle von Auftragsverarbeitung sind Cloud-Hosting, externe IT-Administration, Lohnbuchhaltung durch einen Steuerberater, E-Mail-Marketing-Tools oder Aktenvernichtung. Der Auftragsverarbeiter darf die Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen nutzen und nicht für eigene Zwecke.
Art. 28 Abs. 3 DSGVO schreibt Mindestinhalte für den AVV vor: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen. Der Auftragsverarbeiter muss zudem angemessene technische und organisatorische Maßnahmen nachweisen und darf Subunternehmer nur mit vorheriger Zustimmung des Verantwortlichen einsetzen.
Auftragsverarbeitung wird häufig mit Informationssicherheit verwechselt, ist aber ein enger gefasster Begriff aus dem Datenschutzrecht:
| Merkmal | Datenschutz (DSGVO) | Informationssicherheit (ISO 27001) |
|---|---|---|
| Schutzgut | Personenbezogene Daten natürlicher Personen | Alle Informationswerte des Unternehmens |
| Rechtsgrundlage | DSGVO, BDSG | Freiwillige Norm, Kundenanforderung |
| Zentrales Dokument | Auftragsverarbeitungsvertrag | Statement of Applicability, Risikoanalyse |
Ein ISMS nach ISO 27001 umfasst damit deutlich mehr als personenbezogene Daten, schließt aber Auftragsverarbeitung als Teilbereich der Lieferantenbeziehungen ein.
Fehlt ein AVV oder ist er lückenhaft, drohen nach Art. 83 DSGVO Bußgelder von bis zu 2 Prozent des weltweiten Jahresumsatzes oder 10 Millionen Euro, je nachdem, welcher Betrag höher liegt. In der Praxis prüfen Aufsichtsbehörden bestehende AVVs meist erst im Rahmen einer Beschwerde oder nach einem Datenschutzvorfall, nicht routinemäßig. Ein häufiger Fehler ist, Subunternehmer des Auftragsverarbeiters, etwa einen Rechenzentrumsbetreiber hinter einem Softwareanbieter, nicht förmlich freizugeben, obwohl Art. 28 Abs. 2 DSGVO eine vorherige Zustimmung des Verantwortlichen verlangt. Musterverträge, etwa der Konferenz der unabhängigen Datenschutzaufsichtsbehörden (DSK), bieten hierfür eine praxistaugliche Grundlage, ersetzen aber keine Prüfung im Einzelfall.
Relevanz für die Zertifizierung
Im ISO-27001-Audit verlangt Anhang A 5.19 bis 5.23 (Lieferantenbeziehungen) den Nachweis, dass externe Dienstleister vertraglich zur Einhaltung von Sicherheits- und Datenschutzanforderungen verpflichtet sind. Auftragsverarbeitungsverträge mit Cloud-Anbietern, IT-Dienstleistern oder Payroll-Dienstleistern sind deshalb ein regelmäßiger Prüfgegenstand: Der Auditor fragt nach einem vollständigen Verzeichnis aller Auftragsverarbeiter samt gültiger, unterschriebener Verträge und nach dem Nachweis, dass Subunternehmer korrekt freigegeben wurden.
Häufige Fragen zu Auftragsverarbeitung
Nach Art. 28 Abs. 3 DSGVO mindestens Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen. Ergänzend regelt der Vertrag technische und organisatorische Maßnahmen, den Umgang mit Subunternehmern und Löschpflichten nach Vertragsende.
Ja, sobald der Anbieter personenbezogene Daten im Auftrag verarbeitet, etwa bei Hosting, E-Mail oder Buchhaltungssoftware. Ohne AVV verstößt die Datenverarbeitung gegen Art. 28 DSGVO, unabhängig davon, ob tatsächlich ein Datenschutzvorfall eintritt. Bußgelder drohen bereits bei fehlendem Vertrag.
Auftragsverarbeitung ist ein datenschutzrechtliches Konzept aus der DSGVO und betrifft ausschließlich personenbezogene Daten natürlicher Personen. Informationssicherheit nach ISO 27001 schützt dagegen alle Informationswerte eines Unternehmens, unabhängig vom Personenbezug, etwa auch Konstruktionsdaten oder Geschäftsgeheimnisse.