Auftragsverarbeitung: AVV und Verzeichnis im Griff

Die entscheidende Frage lautet nicht, wie eng die Zusammenarbeit ist, sondern wer über den Zweck bestimmt. Ein Dienstleister, der die Daten des Betriebs ausschließlich nach dessen Vorgaben verarbeitet, ist Auftragsverarbeiter. Ein Dienstleister, der die Daten braucht, um eine eigene gesetzliche oder berufliche Aufgabe zu erfüllen, ist eigener Verantwortlicher, und dann ist kein Vertrag nach Artikel 28 zu schließen, sondern die Übermittlung braucht eine eigene Rechtsgrundlage. Die Datenschutzkonferenz hat für beide Seiten Beispielkataloge veröffentlicht, die sich als Einstieg gut eignen (Datenschutzkonferenz, Kurzpapier Nr. 13). Der wichtigste Praxisfall der zweiten Gruppe ist der Steuerberater: Berufsgeheimnisträger wie Steuerberater, Rechtsanwälte, externe Betriebsärzte und Wirtschaftsprüfer werden ausdrücklich nicht als Auftragsverarbeiter eingeordnet (Datenschutzkonferenz, Kurzpapier Nr. 13). Wer dem Steuerbüro einen Auftragsverarbeitungsvertrag schickt, dokumentiert damit eine Rolle, die es nicht gibt.

Zwei Konstellationen sorgen regelmäßig für Unsicherheit. Die erste ist die Fernwartung. Wenn ein Dienstleister Fehler analysiert oder Support in den Systemen des Betriebs leistet und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann, liegt eine Teiltätigkeit der Auftragsverarbeitung vor, weil schon das Auslesen, Abfragen und Verwenden nach Artikel 4 Nummer 2 eine Verarbeitung ist (Datenschutzkonferenz, Kurzpapier Nr. 13). Anders liegt es bei rein technischer Wartung der Infrastruktur, etwa an Stromzufuhr, Kühlung oder Heizung: Diese Arbeiten führen nicht zur Einordnung als Auftragsverarbeiter (Datenschutzkonferenz, Kurzpapier Nr. 13). Der Unterschied ist praktisch relevant, weil viele Betriebe den Handwerker im Serverraum in die Liste aufnehmen, den externen IT-Support mit Fernzugriff aber vergessen.

Die zweite Konstellation ist der Dienstleister, der aus den überlassenen Daten eigene Zwecke ableitet, etwa Statistiken für die Verbesserung des eigenen Produkts oder Werbeprofile. Artikel 28 Absatz 10 regelt das eindeutig: Wer die Zwecke und Mittel der Verarbeitung selbst bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher, mit allen Folgen bis hin zur eigenen Pflicht, Betroffenenrechte zu erfüllen (Datenschutz-Grundverordnung, Artikel 28). Für den Betrieb heißt das: Die Vertragsbedingungen des Dienstleisters lohnen einen zweiten Blick. Ein Abschnitt, der eine Nutzung der Daten für eigene Analysen oder Produktverbesserungen vorsieht, verlässt die Auftragsverarbeitung. Daneben steht die gemeinsame Verantwortlichkeit nach Artikel 26, wenn zwei Stellen zusammen über Zwecke und Mittel entscheiden; auch das ist keine Auftragsverarbeitung und verlangt eine eigene Vereinbarung (Datenschutzkonferenz, Kurzpapier Nr. 13).

Kaum ein Dienstleister erbringt seine Leistung vollständig selbst. Der Anbieter des Formularpostfachs nutzt ein Rechenzentrum, das Rechenzentrum einen Netzbetreiber, der Anbieter der Terminbuchung vielleicht einen Versanddienst für Bestätigungsmails. Artikel 28 Absatz 2 verlangt für jeden dieser weiteren Auftragsverarbeiter eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen; bei einer allgemeinen Genehmigung muss der Dienstleister beabsichtigte Änderungen vorab mitteilen, und der Verantwortliche kann Einspruch erheben (Datenschutz-Grundverordnung, Artikel 28). Kommt keine Einigung zustande, muss der Verantwortliche die Unterbeauftragung per Weisung unterbinden oder die Auftragsverarbeitung beenden (Datenschutzkonferenz, Kurzpapier Nr. 13). Nach Artikel 28 Absatz 4 muss der Vertrag mit dem Unterauftragnehmer dieselben Pflichten enthalten, und der erste Dienstleister haftet gegenüber dem Verantwortlichen für dessen Verhalten.

Wie tief ein kleiner Betrieb diese Kette prüfen muss, war lange offen. Der Europäische Datenschutzausschuss hat dazu in seiner Stellungnahme 22/2024 mehrere Klarstellungen getroffen, die das Bayerische Landesamt für Datenschutzaufsicht in seinem Tätigkeitsbericht 2024 zusammengefasst hat. Erstens muss der Verantwortliche während des gesamten Zeitraums der Verarbeitung die Identität aller Auftragsverarbeiter und Unterauftragsverarbeiter kennen, schon deshalb, weil er bei einem Auskunftsersuchen die konkreten Empfänger benennen können muss (Bayerisches Landesamt für Datenschutzaufsicht, Tätigkeitsbericht 2024). Der Gerichtshof der Europäischen Union hat entschieden, dass Betroffene die konkreten Empfänger genannt bekommen und sich der Verantwortliche nicht auf Kategorien zurückziehen kann, sofern die Empfänger bekannt sind (Gerichtshof der Europäischen Union, Rechtssache C-154/21). Zweitens hängen Umfang und Detailgrad der eigenen Kontrolle vom Risiko der Verarbeitung ab: Je höher das Risiko, desto mehr muss der Verantwortliche selbst prüfen (Bayerisches Landesamt für Datenschutzaufsicht, Tätigkeitsbericht 2024).

Drittens, und das ist die praktisch nützlichste Aussage: Der Verantwortliche hat jederzeit das Recht, vom Dienstleister die Vorlage aller abgeschlossenen Unterauftragsverträge zu verlangen (Bayerisches Landesamt für Datenschutzaufsicht, Tätigkeitsbericht 2024). Verpflichtet, das systematisch für jeden Vertrag zu tun, ist er nicht; sobald jedoch Zweifel an den Garantien eines Unterauftragnehmers auftreten, wird es notwendig. Für eine Website mit Kontaktformular und Reichweitenmessung ist das Risiko überschaubar, und eine dokumentierte Liste der Unterauftragnehmer samt Verarbeitungsort genügt in aller Regel. Bei Gesundheits-, Bewerber- oder Beschäftigtendaten liegt die Messlatte höher. Wer hier eine Buchungsfunktion mit sensiblen Angaben plant, sollte den Umfang der Verarbeitung vorher begrenzen, statt hinterher die Kette zu prüfen. Der Beitrag zum Kontaktformular und der Bearbeitung von Anfragen beschreibt, wie sich Formularfelder auf das Nötige reduzieren lassen.

Warum die Kette mehr als eine Formalie ist, zeigt ein Fall aus der Aufsichtspraxis. Ein erfolgreicher Angriff auf einen einzelnen bayerischen IT-Dienstleister führte zu 40 (Bayerisches Landesamt für Datenschutzaufsicht, Tätigkeitsbericht 2022) Folgemeldungen von Verantwortlichen allein im nicht-öffentlichen Bereich in Bayern, die diesen Dienstleister im Rahmen einer Auftragsverarbeitung eingesetzt hatten. Insgesamt gingen bei der Behörde in diesem Jahr 2.991 (Bayerisches Landesamt für Datenschutzaufsicht, Tätigkeitsbericht 2022) Meldungen nach Artikel 33 ein. Jeder dieser 40 Betriebe musste innerhalb kurzer Zeit beantworten, welche Daten betroffen waren, welche Personengruppen dahinterstehen und wie lange die Daten dort lagen. Wer Vertrag und Verzeichnis geführt hatte, konnte das aus den eigenen Unterlagen beantworten. Der Zusammenhang mit der Angriffsfläche der eigenen Website ist direkt: Weniger eingebundene Dienste bedeuten weniger Stellen, an denen ein fremder Vorfall zum eigenen Vorfall wird.

Das Verzeichnis der Verarbeitungstätigkeiten ist die zweite Säule. Artikel 30 Absatz 1 verlangt vom Verantwortlichen je Verarbeitungstätigkeit: Name und Kontaktdaten des Verantwortlichen, die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten, die Kategorien von Empfängern, gegebenenfalls Übermittlungen an ein Drittland samt Angabe der geeigneten Garantien, wenn möglich die vorgesehenen Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Datenschutz-Grundverordnung, Artikel 30). Das sind sieben Spalten, mehr nicht. Auftragsverarbeiter führen nach Artikel 30 Absatz 2 ein eigenes, kürzeres Verzeichnis über die Tätigkeiten, die sie im Auftrag ausführen (Datenschutzkonferenz, Kurzpapier Nr. 13). Beide Verzeichnisse sind nach Artikel 30 Absatz 3 schriftlich zu führen, auch in einem elektronischen Format, und nach Artikel 30 Absatz 4 der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Datenschutz-Grundverordnung, Artikel 30).

Die häufig zitierte Ausnahme für kleine Betriebe hilft in der Praxis selten. Artikel 30 Absatz 5 nimmt Unternehmen mit weniger als 250 (Datenschutz-Grundverordnung, Artikel 30) Beschäftigten von der Pflicht aus, allerdings nur, wenn keine der drei Rückausnahmen greift: Die Verarbeitung darf kein Risiko für die Rechte und Freiheiten der betroffenen Personen bergen, sie darf nicht nur gelegentlich erfolgen, und sie darf keine besonderen Datenkategorien nach Artikel 9 Absatz 1 oder Daten über strafrechtliche Verurteilungen nach Artikel 10 umfassen (Datenschutz-Grundverordnung, Artikel 30). Eine Website, die dauerhaft Anfragen entgegennimmt, verarbeitet nicht nur gelegentlich. Damit bleibt die Pflicht praktisch bestehen, und die Ausnahme taugt nicht als Begründung dafür, gar nichts zu dokumentieren. Der bessere Umgang ist ohnehin, das Verzeichnis als Arbeitsmittel zu verstehen: Es beantwortet die Frage, welche Daten im Haus liegen und wer daran mitwirkt, und diese Frage stellt sich früher oder später von selbst.

Mehr als diese Struktur braucht ein kleiner Betrieb nicht. Ergänzt um eine Kopfzeile mit den Kontaktdaten des Verantwortlichen, eine Spalte für Drittlandübermittlungen und einen kurzen Abschnitt zu den technischen und organisatorischen Maßnahmen passt das Ergebnis auf zwei Seiten. Wichtiger als der Umfang ist die Pflege: Jede neue Funktion auf der Website erzeugt eine Zeile oder verändert eine bestehende. Ein Bewerbungsformular auf der Karriereseite, ein Newsletter, ein Buchungskalender oder ein Chatfenster sind jeweils eine eigene Verarbeitungstätigkeit. Wer das Verzeichnis in dieselbe Routine einbindet, die auch Inhalte und Technik der Website pflegt, hält es ohne spürbaren Zusatzaufwand aktuell. Wer es einmal anlegt und dann liegen lässt, hat nach zwei Jahren ein Dokument, das mehr Fragen aufwirft als beantwortet.

Der Aufwand für Datenschutzdokumentation wächst nicht mit der Größe des Betriebs, sondern mit der Zahl der beteiligten Stellen. Ein Betrieb mit fünf Mitarbeitenden und sechs Dienstleistern hat mehr zu dokumentieren als ein Betrieb mit zwanzig Mitarbeitenden und zwei Dienstleistern. Der Grund liegt in der Vervielfachung: Jeder zusätzliche Dienst erzeugt einen Vertrag mit acht Pflichtpunkten, eine Zeile im Verzeichnis, einen Abschnitt in der Datenschutzerklärung, eine Prüfung der Unterauftragnehmer, einen Meldeweg für Vorfälle und eine Wiedervorlage, wenn sich beim Anbieter etwas ändert. Sechs Dienste ergeben so nicht sechs Aufgaben, sondern rund drei Dutzend kleine Pflichten, die niemand vollständig im Kopf behält.

Das ist kein Plädoyer für Verzicht um jeden Preis. Manche Funktion trägt so viel zum Geschäft bei, dass der zusätzliche Vertrag richtig investiert ist. Es ist aber ein Argument dafür, die Frage überhaupt zu stellen, bevor ein weiterer Dienst eingebunden wird: Was bringt er, und was kostet er an Dokumentation und Prüfung? Verwandt damit ist die Frage nach der Einwilligung, denn viele der Dienste, die Dokumentation erzeugen, brauchen zusätzlich eine Zustimmung der Besucher. Wie diese Prüfung abläuft, beschreibt der Beitrag zu Einwilligung und Cookie-Banner auf der Website; hier geht es um die Verträge und die Dokumentation dahinter, dort um die Frage, was ohne Zustimmung überhaupt geladen werden darf. Beides gehört zusammen, ist aber nicht dasselbe.

Ein dritter Zusammenhang betrifft die Texte. Die Datenschutzerklärung beschreibt genau die Verarbeitungen, die im Verzeichnis stehen, und benennt die Kategorien der Empfänger. Wer beides aus derselben Quelle pflegt, vermeidet den häufigsten Widerspruch: eine Erklärung, die Dienste aufzählt, die längst abgeschaltet sind, und eine, die den seit Monaten laufenden Buchungskalender verschweigt. Wie sich die Pflichtseiten sauber aufsetzen lassen, beschreibt der Beitrag zu Impressum und Datenschutzerklärung. Und weil diese Texte gelesen werden sollen, lohnt sich derselbe Maßstab wie bei allen anderen Inhalten: verständlich formulierte Website-Texte erreichen ihre Leser eher als eine Aneinanderreihung von Rechtsbegriffen. Artikel 12 verlangt ohnehin eine präzise, transparente und leicht verständliche Form.