DSGVO für Unternehmen: Auftragsverarbeitung und Verzeichnis

Was ein Auftragsverarbeitungsvertrag ist

Nutzt dein Ausbildungsbetrieb einen externen Anbieter, der personenbezogene Daten verarbeitet, zum Beispiel ein Buchhaltungstool oder einen Cloud-Speicher, braucht es dafür einen Vertrag: den Auftragsverarbeitungsvertrag, kurz AVV. Er regelt, was der Anbieter mit den Daten tun darf und was nicht.

Warum dir das begegnet

• Fast jedes Unternehmen, das Software oder Cloud-Dienste nutzt, braucht solche Verträge. Der Begriff taucht dir also in vielen kaufmännischen Berufen wieder auf.
• Wenn du selbst mit Kundendaten arbeitest, lohnt es sich zu wissen, welcher Anbieter im Hintergrund diese Daten verarbeitet.

Weiterführend: Auftragsverarbeitung (Wikipedia)

Was Sie als Selbstständige wirklich brauchen

Auch als Einzelunternehmer verarbeiten Sie personenbezogene Daten, sobald Sie Kundendaten speichern oder eine Newsletter-Software nutzen. Die DSGVO verlangt dafür ein paar konkrete Dokumente, keine komplette Rechtsabteilung.

Der pragmatische Mindestumfang

• Ein Verzeichnis von Verarbeitungstätigkeiten: eine einfache Übersicht, welche Daten Sie wofür verarbeiten und wie lange Sie sie speichern.
• Einen AVV mit jedem Cloud- oder Software-Anbieter, der in Ihrem Auftrag Daten verarbeitet. Viele Anbieter stellen ihn zum Download bereit.
• Eine kurze Datenschutzerklärung auf Ihrer Website, wenn Sie dort Daten erheben.

Weiterführend: Der Grundlagen-Guide für kleine Organisationen

Die drei DSGVO-Grundpflichten für Unternehmen

Die DSGVO verlangt von Unternehmen vor allem drei Dinge: ein Verzeichnis Ihrer Verarbeitungstätigkeiten, Verträge mit jedem Dienstleister, der in Ihrem Auftrag Daten verarbeitet, und bei riskanten Verarbeitungen eine Folgenabschätzung. Wer diese drei Bausteine sauber pflegt, hat den größten Teil der Pflichten bereits erfüllt.

Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Dokumentieren Sie für jede Verarbeitung personenbezogener Daten: Zweck, betroffene Personengruppen, Datenkategorien, Empfänger und geplante Löschfristen. Das Verzeichnis ist Pflicht für die meisten Unternehmen und die erste Unterlage, die eine Aufsichtsbehörde im Prüffall anfordert.

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Sobald ein externer Anbieter, etwa ein Hosting-Provider, ein CRM-System oder ein Lohnbuchhalter, in Ihrem Auftrag personenbezogene Daten verarbeitet, brauchen Sie einen AVV. Er legt fest, wofür der Anbieter Daten verwenden darf, welche technischen und organisatorischen Maßnahmen gelten und was im Falle einer Datenpanne passiert.

Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Bei Verarbeitungen mit hohem Risiko, etwa umfangreichem Profiling oder der systematischen Überwachung öffentlich zugänglicher Bereiche, verlangt die DSGVO eine Folgenabschätzung. Für die meisten kleinen und mittleren Unternehmen bleibt das die Ausnahme.

Unsere Handlungsempfehlungen

• Verzeichnis aktuell halten: Tragen Sie neue Tools und Dienstleister sofort ein. Ein jährlicher Nachtrag kommt meist zu spät.
• AVV-Liste führen: Eine einfache Tabelle, welcher Anbieter welchen AVV hat und wann er zuletzt geprüft wurde.
• Löschkonzept festlegen: Legen Sie klare Fristen fest, wann welche Daten gelöscht werden. Unbegrenzte Aufbewahrung ist keine Option.
• Datenschutzbeauftragten prüfen: Ab bestimmten Mitarbeiterzahlen oder bei umfangreicher Datenverarbeitung ist ein Datenschutzbeauftragter verpflichtend.

Weiterführend: BfDI, Bundesbeauftragter für den Datenschutz · DSGVO (Wikipedia)