Viele Unternehmen binden Dienstleister im Rahmen von Auftragsdatenverarbeitungen (ADVen) ein. Ein ADV-Vertrag erlaubt die Auslagerung von Daten an einen Dienstleister, ohne dass die Anforderungen an eine Übermittlung personenbezogener Daten vorlieen müssen. Anderseits sieht § 11 Abs. 2 Satz 2 BDSG vor, dass Auftraggeber und Auftragnehmer eine Vielzahl von datenschutzrechtlich relevanten Punkten schriftlich vereinbaren müssen. Kommen Unternehmen dieser Verpflichtung nicht nach, müssen Sie mit Bußgeldern von bis zu 50.000 Euro pro Fall rechnen. Erst kürzlich hat das Bayerische Landesamt für Datenschutz (BayLDA) ein fünfstelliges Bußgeld verhängt. Das betroffene Unternehmen hatte die vom Auftragnehmer zu treffenden technischen und organisatorischen Maßnahmen zur Gewährleistung der Datensicherheit nach § 9 BDSG im ADV-Vertrag nicht geregelt:
„Augen auf beim Einbinden von Dienstleistern. Jeder Auftraggeber muss wissen und gegebenenfalls auch prüfen, was sein Auftragnehmer mit den Daten macht“, appelliert Thomas Kranig, der Präsident des BayLDA an die Auftraggeber. „Die Datensicherheitsmaßnahmen müssen konkret und spezifisch im Vertrag festgelegt werden. Unspezifische oder pauschale Beschreibungen reichen nicht aus. Wir werden auch künftig in geeigneten Fällen Verstöße in diesem Bereich mit Geldbußen ahnden.”
Praxistipp: Die Entscheidung des BayLDA zeigt erneut, dass Unternehmen bei der Gestaltung von ADV-Verträgen sorgfältig vorgehen müssen. Sie gibt Anlass, bei neuen Verträgen gründlich vorzugehen und bestehende ADV-Vereinbarungen zu überprüfen und gegebenenfalls anzupassen. Gerne unterstützen wir Sie hierbei.
Den vollständigen Text der Pressemitteilung des BayLDA können Sie hier abrufen.