Viele Unternehmen bedienen sich Dienstleistern, wie Lettershops, Callcentern, IT Wartungsfirmen, externen Rechenzentren, externer Lohn- und Gehaltsabrechnung, Datenvernichtungsfirmen und vielen mehr.
Diese Dienstleistungen sind typischerweise Auftragsdatenverarbeitungen (ADV) gem. § 11 BDSG. Die ADV ist ein gesetzliches Privileg, dass es Unternehmen (Auftraggeber) erlaubt, personenbezogene Daten durch dritte Unternehmen
(Auftragnehmer) verarbeiten zu lassen. Für die mit der ADV verbundene Übermittlung von personenbezogenen Daten an den Auftragnehmer bedarf es keines gesonderten Erlaubnistatbestandes.Liegt keine ADV gem. § 11 BDSG vor, müsste
für die Übermittlung der Daten an den Dienstleister eine gesetzliche Erlaubnis oder eine Einwilligung jedes einzelnen Betroffenen vorliegen.
Der Gesetzgeber hat das Privileg der ADV mit einer Reihe von Auflagen verbunden, für deren Einhaltung vor allem der Auftraggeber verantwortlich ist. Werden diese Auflagen nicht eingehalten, kann ein Verstoß gegen das BDSG vorliegen, der als Ordnungswidrigkeit geahndet werden kann.
Zudem kann es sein, dass eine nicht ordnungsgemäß durchgeführte Auftragsdatenverarbeitung als Übermittlung im Sinne des Datenschutzrechtes angesehen werden kann, für dieses möglicherweise keinen Erlaubnistatbestand gibt und die somit nicht zulässig ist bzw. war.
Eine unzulässige Übermittlung von Daten kann für die übermittelnde und verantwortliche Stelle und für die empfangende verantwortliche Stelle weit reichende Folgen haben, z.B. dass die gesamte Datenverarbeitung unzulässig ist und beispielsweise Geldbußen, Schadensersatz und andere Folgen für alle beteiligten verantwortlichen Stellen haben kann.
Auftraggeber und Auftragnehmer sollten daher stets darauf achten, dass die ADV entsprechend den rechtlichen Vorschriften durchgeführt wird.
Anforderungen an die ADV sind:
- Weisungsbefugnis des Auftraggebers
- Weisungsgebundenheit des Auftragnehmers
- Schriftliche Beauftragung entsprechend den gesetzlichen Vorgaben
- Vorgaben für die technischen und organisatorischen Maßnahmen des Auftragnehmers
- Kontrolle des Auftragnehmers durch den Auftraggeber
Fehlen eine oder mehrere der genannten Anforderungen, können die oben angeführten Folgen auftreten.
