Auftragsverarbeitung: Grundlagen der Vertragsgestaltung ... / 2 Welche Punkte müssen geregelt werden?

In Art. 28 DSGVO ist ein Vertrag oder ein anderes Rechtsinstrument mit dem Auftragsverarbeiter vorgeschrieben. Dieses kann in schriftlicher oder elektronischer Form geschlossen werden, muss aber die Nachweis- und Rechenschaftspflichten des Verantwortlichen erfüllen und – bei Cloud-/Datenverarbeitungsdiensten – zusätzlich die Vorgaben des EU Data Act zu Datenportabilität, Datenrückgabe, Datenlokation und Zugriffsrechten Dritter (insbesondere Art. 5, 6, 28–30) abbilden.

Gemäß Art. 28 Abs. 3 DSGVO muss ein Vertrag für die Auftragsverarbeitung folgende Punkte beinhalten:

• Den Gegenstand und die Dauer der Verarbeitung
• Die Art und den Zweck der Verarbeitung
• Die Art der personenbezogenen Daten
• Die Rechte und Pflichten des Verantwortlichen gegenüber dem Auftragsverarbeiter

Darüber hinaus müssen folgende Punkte geregelt werden:

• Der Auftragsverarbeiter darf nur auf dokumentierte Weisung des Verantwortlichen tätig werden
• Die Einhaltung der Vertraulichkeit gemäß Art. 28 Abs. 3 Buchst. b (die zur Verarbeitung befugten Personen haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht)
• Die Rückgabe oder Löschung der Daten nach Auftragsende
• Technische und organisatorische Maßnahmen zur Datensicherheit gemäß Art. 32 DSGVO (s. oben)
• Unterauftragsverarbeiter und damit verbundene Bedingungen
• Unterstützung des Verantwortlichen bei Einhaltung der Betroffenenrechte

Zusätzlich sollte Folgendes geregelt werden:

• Vorgehen bei Sicherheitsvorfällen, einschließlich Meldewegen, Fristen und Unterstützungsleistungen bei Meldungen nach Art. 33, 34 DSGVO und – soweit anwendbar – nach den Meldepflichten der NIS-2-Richtlinie (Art. 20)
• Pflichten des Auftragsverarbeiters zur Unterstützung bei der Erfüllung von Pflichten aus dem EU Data Act (z. B. Bereitstellung, Porti...