Zahlreiche Unternehmen fürchten die Pflichten des Datenschutzrechts und übertragen den Umgang mit personenbezogenen Daten an einen externen Dienstleister, im guten Glauben, mit den komplizierten datenschutzrechtlichen Regelungen nichts mehr zu tun zu haben. Dies ist jedoch ein weit verbreiteter Irrtum, wie ein Blick in § 11 BDSG beweist.
Beim Outsourcing der Datenverarbeitung, der sogenannten Datenverarbeitung im Auftrag, verbleibt die Verantwortung für die Einhaltung der datenschutzrechtlichen Vorschriften nämlich beim Auftraggeber.
Die erste Hürde bei der Datenverarbeitung im Auftrag liegt bereits vor der Erteilung des Auftrags selbst. Denn zunächst muss der Auftragnehmer "unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen" ausgewählt werden (§ 11 Abs. 2 S. 1 BDSG). Damit obliegt dem Auftraggeber insbesondere die Kontrolle aller in der Anlage zu § 9 S. 1 BDSG aufgelisteten technischen und organisatorischen Maßnahmen.
Die Auftragserteilung selbst ist schriftlich zu erteilen und muss mindestens Regelungen zu dem in § 11 Abs. 2 BDSG enthaltenen 10-Punkte-Katalog enthalten. Dazu gehören unter anderem die Kontroll- und Weisungsbefugnis des Auftraggebers, die technischen und organisatorischen Maßnahmen, die Löschung der Daten sowie Gegenstand, Zweck und Umfang des Auftrags.
Über die Kontrollpflichten hinaus bleibt der Auftraggeber auch weiterhin Ansprechpartner für Auskunfts- und Berichtigungsansprüche der Betroffenen. Ferner kann der Auftraggeber auch bei Verfehlungen des Auftragnehmers schadensersatzpflichtig sein (§ 7 i.V.m. § 11 Abs. 1 S. 2 BDSG).
Bedeutung für die Praxis: Die Auftragsdatenverarbeitung durch ein anderes Unternehmen entbindet den Auftraggeber nicht automatisch von den datenschutzrechtlichen Pflichten. Vielmehr gibt es einen umfangreichen Pflichtenkatalog, der eingehalten werden muss. Ferner bleibt die haftungsrechtliche Verantwortlichkeit beim Auftraggeber. Daher sollten Unternehmen schon im eigenen Interesse einen kompetenten und vertrauenswürdigen Vertragspartner zur Verarbeitung der personenbezogenen Daten engagieren und bei rechtlichen Fragen fachlichen Rat einholen.
Feil Rechtsanwälte
