§ 24 IT-Recht / 4. Datenschutz

Rz. 56

Wenn im Rahmen von Wartungs- und Pflegemaßnahmen nicht auszuschließen (bzw. unter der DS-GVO Teil des Auftrags, vgl. Rdn 47) ist, dass auf personenbezogene Daten zugegriffen werden kann, gelten regelmäßig die Vorschriften für die Auftragsverarbeitung entsprechend.^[99] Dies hat weitreichende Konsequenzen für die Pflichten und Verantwortlichkeiten von Auftraggeber und Auftragnehmer. Im Hinblick auf die Vertragsgestaltung ist zudem zu berücksichtigen, dass nach Art. 28 Abs. 3, 4, 9 DS-GVO insbesondere die Datenverarbeitungen, die technischen und organisatorischen Maßnahmen sowie etwaige Unterauftragsverhältnisse festzulegen sind und der Auftrag schriftlich zur erteilen ist, wobei jedoch ebenso ein elektronisches Format – etwa als .pdf – zulässig ist, Art. 28 Abs. 9 DS-GVO.^[100] Es ist dabei jedoch sicherzustellen, dass die Echtheit der Willenserklärung garantiert werden kann; eine Übermittlung des Dokuments per E-Mail ohne elektronische Signatur soll hierfür nicht genügen.^[101]

[99] Siehe Der Bayerische Landesbeauftragte für den Datenschutz, Orientierungshilfe Auftragsverarbeitung, S. 27, abrufbar unter https://www.datenschutz-bayern.de/technik/orient/oh_auftragsverarbeitung.pdf; str., vgl. zum Streitstand Taeger/Gabel/Arning/Rothkegel, Art. 4 DS-GVO Rn 225.

[100] Es ist üblich und auch durchaus sinnvoll, diesen "schriftlichen Auftrag" in einem gesonderten Vertragsdokument zu verkörpern und dieses dem Hauptvertragswerk als Anlage beizufügen. Der Inhalt einer solchen Auftragsverarbeitungsvereinbarung ist durch Art. 28 Abs. 3 DS-GVO weitgehend vorgegeben – natürlich bis auf die einzelnen technischen und organisatorischen Maßnahmen. Ein Bsp. für eine solche Auftragsverarbeitungsvereinbarung findet sich in § 12 dieses Buchs ("Datenschutzrecht"). Auch der BITKOM sowie teilweise die Datenschutzbehörden stellen Formulare für solche Vereinbarungen im Internet zur Verfügung.

[101] Paal/Pauly/Martini, Art. 28 DS-GVO Rn 75.