Bis zum Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) am 25. Mai 2018 sollten bestehende und künftige Verträge über den Transfer von personenbezogenen Daten genauestens ge- bzw. überprüft werden. [...]
Konkret gemeint sind damit (schriftlich verpflichtend abzuschließende) Verträge, die die Überlassung (Übermittlung) von personenbezogenen Daten einer natürlichen Person zum Zweck der Verarbeitung durch einen Auftragsverarbeiter (bisher laut DSG 2000 als „datenschutzrechtlicher Dienstleister“ bezeichnet) regeln.
Eine Aufzählung der Mindestinhalte für solche Verträge ist in der DSGVO enthalten und sollte dementsprechend vollständig in den Vertrag übernommen und wie eine Checkliste abgearbeitet werden. Zusätzlich sollten einzelne Vergütungs- und Haftungsregelungen zu den einzelnen Leistungen vertraglich vereinbart werden.
Unter der Voraussetzung einer schriftlichen Zustimmung des für die Verarbeitung Verantwortlichen kann der Auftragsverarbeiter weitere Subverarbeiter hinzuziehen. Diesen müssen jedoch dieselben Datenschutzplichten auferlegt werden, wie dem Auftragsverarbeiter.
Vor allem die Auswahl des Auftragsverarbeiters sollte streng geprüft werden. Zudem sind auch laufende Kontrollen durchzuführen, deren Umfang und Ausmaß sich nach den verarbeiteten Datenkategorien und den Risiken für die Betroffenen richten.
Verträge, die bis zum Inkrafttreten der DSGVO erstellt werden, sollten sowohl den Anforderungen des aktuellen Datenschutzgesetzes (DSG 2000) als auch der DSGVO gerecht werden. So können Lücken und Nachverhandlungen nach dem 25. Mai 2018 vermieden werden.
*Andreas Schütz ist Partner bei Taylor Wessing Wien.
Be the first to comment