Immer wieder berichten uns Kunden, dass ihnen fast täglich von irgendeinem Partnerunternehmen oder Dienstleister ein Vertrag zur Auftragsdatenverarbeitung zugesendet wird.
Geht Ihnen auch so? Dann können wir vielleicht ein wenig Licht in den Dschungel der AV-Verträge bringen.
Denn meistens steckt hinter diesen AV-Vertragsabsichten Unwissenheit, Unsicherheit oder gar Panik, irgendetwas falsch zu machen. Doch Vorsicht ist geboten!
Nur weil ein Dritter personenbezogene Daten, deren Ursprung in Ihrem Unternehmen ist, erhält, verarbeitet und oder speichert bedeutet dies nicht unbedingt, dass auch ein AV-Vertrag abzuschließen ist. Unabhängig von Auslegungsfragen und juristisch abzuklärenden Einzelfällen sind zumindest einige Voraussetzungen bereits im Gesetz enthalten (Art. 28 f. DSGVO).
1. Zwischen Ihnen und dem Dritten muss ein Vertrag oder eine andere Rechtsgrundlage bestehen, warum der Dritte tätig wird.
2. Der Dritte ist Ihnen gegenüber weisungsgebunden (Art. 29 DSGVO), man kann sagen, dient Ihnen als verlängerter Arm.
3. Der Dritte hat kein originäres Eigeninteresse an den personenbezogenen Daten. Dies wäre dann die Abgrenzung zwischen Auftragsverarbeitung und Funktionsübertragung.
Wird der Dritte also zum Beispiel als IT-Dienstleister, als Lohn- und Buchhaltungsstelle, Ihr Shop-Betreiber, Softwareprogrammierer oder als Aktenvernichter tätig und erhält in diesem Zusammenhang jeweils Zugriff auf personenbezogene Daten, dann ist an Auftragsverarbeitung zu denken.
Ihr Inkassounternehmen dagegen hat vermutlich ein eigenes Interesse an den personenbezogenenen Daten, es arbeitet auch nicht weisungsgebunden, sondern entscheidet selbst wie es gegen Schuldner vorgeht.
Zu beachten ist auch, dass bestimmte Berufsgruppen von der Schließung eines AV-Vertrages ausgenommen werden können. Insbesondere, so zuletzt im Kurzbrief Nr. 13 der DSK bestätigt, sind dies Berufsgeheimnisträger; also Berufe, die bereits einer beruflichen Geheimhaltungspflicht unterliegen, wie Ärzte, Rechtsanwälte, die Post, Telefonunternehmen.
Also: Im Zweifel nachfragen, ob wirklich ein Vertrag zur Auftragsdatenverarbeitung (AV) abgeschlossen werden muss.