§ 8 Auftragsverarbeitung / I. Begründung durch Vertrag oder anderes Rechtsinstrument

Rz. 35

Die Verarbeitung durch einen Auftragsverarbeiter muss auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet, erfolgen (Art. 28 Abs. 3 S. 1 Hs. 1 DSGVO). Dabei ist der Vertrag oder das andere Rechtsinstrument zwingend schriftlich abzufassen, was auch in einem elektronischen Format^[37] erfolgen kann (Art. 28 Abs. 9 DSGVO).

Rz. 36

Der Vertrag kann wahlweise in Form einer Individualvereinbarung zwischen den Parteien oder über von einer Seite vorformulierten Vertragsbedingungen^[38] oder durch Rückgriff auf etwaige von Seiten der Kommission (Art. 28 Abs. 7 DSGVO) oder einer Aufsichtsbehörde (Art. 28 Abs. 8 DSGVO) festgelegten Standardvertragsklauseln geschlossen werden (Art. 28 Abs. 6 DSGVO). Erforderlich ist aber in jedem Fall eine zweiseitige Vereinbarung zwischen Verantwortlichem und Auftragsverarbeiter, die durch Angebot und Annahme zustande gekommen ist.

Rz. 37

Art. 28 DSGVO definiert nicht näher, was unter einem anderen Rechtsinstrument nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zu verstehen ist. Eine ähnliche Regelung war bereits in Art. 17 Abs. 3 DSRL enthalten.^[39] Der deutsche Gesetzgeber hat mit dem DSAnpUG-EU keinerlei Regelungen in Bezug auf Art. 28 DSGVO getroffen, sodass derartige andere Rechtsinstrumente neben einem Vertag jedenfalls in der Bundesrepublik aktuell nicht bestehen. Daher wird im Folgenden allein auf das Rechtsinstrument des Vertrages Bezug genommen.

[37] Textform ist ausreichend. So auch Bertermann, in: Ehmann/Selmayr (Hrsg.), Datenschutz-Grundverordnung, 2017. Art. 28 Rn 9.

[38] Hiervon geht offenbar auch die Art. 29-Datenschutzgruppe aus, Art. 29-Datenschutzgruppe, Stellungnahme 1/201...