Auftragsverarbeitung in der Praxis: Bußgeld wegen fehlen ... / 1 Der Fall, Teil 1: Hamburger Firma bittet Hessischen Datenschutzbeauftragten um Rat

Die Firma Kolibri Image beauftragte die spanische Versandfirma Packlink, ihre Waren günstig per Expressversand an die Kunden zu liefern. Zur Sicherheit baten die Auftraggeber von Kolibri Image die deutsche Niederlassung von Packlink in Neu-Isenburg um einen Vertragsentwurf. Dort stieß die Anfrage auf Unverständnis, und nach längeren Diskussionen wurden die Verantwortlichen von Kolibri Image an deren Datenschutzbeauftragten am Hauptsitz in Madrid verwiesen. Sie erhielten von diesem nur einen Link auf die Datenschutzerklärung.

Da Neu-Isenburg in Hessen liegt, fragten die Verantwortlichen der Kolibri Image den Hessischen Beauftragten für den Datenschutz im Mai 2018 um Rat. Dieser meinte es sei Pflicht, eine solche Vereinbarung abzuschließen, nicht nur für den Dienstleister, sondern auch für den Auftraggeber, der als datenschutzrechtlich Verantwortlicher gilt. Die Firma Kolibri Image müsse daher selbst eine entsprechende Vereinbarung verfassen und an den Auftragsverarbeiter zu Unterschrift schicken. Hierfür gibt es Vorlagen, z. B. beim Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI).