Musterverträge zur Auftragsdatenverarbeitung gemäss Art. 28 Datenschutz-Grundverordnung (EU DSGVO/EU GDPR)

Die Bearbeitung von Personendaten im Auftrag und für die Zwecke des Auftraggebers durch einen Dritten ist in einer arbeitsteiligen Welt von grosser Bedeutung: Cloud Computing, Webtracking, IT-Support, Auslagerung der Lohnbuchhaltung, Archivierungen, Direktmarketing, Factoring-Verträge etc. sind mögliche Anwendungsbereiche.

Aus einer datenschutzrechtlichen Sicht liegt dabei eine sog. Auftragsbearbeitung gemäss DSG und E-DSG bzw. eine Auftragsdatenverarbeitung (ADV) gemäss DSGVO vor. Der Auftraggeber lässt dabei eine bestimmte Datenbearbeitung durch einen Dritten, einen sog. Auftragsbearbeiter (DSG und E-DSG) bzw. Auftragsdatenverarbeiter (DSGVO), vornehmen. Für eine ADV sind insbesondere folgende Bestimmungen massgebend:

a) Art. 10a DSG: Datenbearbeitung durch Dritte

b) Art. 4 lit. j und Art. 8 E-DSG: Bearbeitung durch Auftragsbearbeiter

c) Art. 4 Ziff. 8 und Art. 28 DSGVO: Auftragsdatenverarbeiter

Alle drei Rechtsgrundlagen sehen vor, dass i.d.R. ein Vertrag zwischen Auftraggeber und Dritten geschlossen werden muss, welcher die Eckpunkte der fraglichen Datenbearbeitung regelt. Zwischenzeitlich wurden zahlreiche Musterverträge zur ADV gemäss DSGVO veröffentlicht; einige Beispiele werden nachfolgend aufgeführt:

i) Bitkom e.V.: Mustervertragsanlage zur Auftragsdatenverarbeitung auf deutsch und englisch

ii) Wirtschaftskammer Österreich: Vereinbarung über eine Auftragsverarbeitung nach Art. 28 DSGVO

iii) Bayerisches Landesamt für Datenschutzaufsicht (BayLDA): Formulierungshilfe für einen Auftragsverarbeitungsvertrag

iv) Active Mind: Muster für einen AV-Vertrag auf Basis der DSGVO

v) IRSG, DLA Piper & Clifford Chance: Example Data Protection Addendum Addressing Article 28 GDPR

vi) Berufsverband der Datenschutzbeauftragten (BvD) e.V.: Muster-Auftragsverarbeitungs-Vertrag für das Gesundheitswesen

Michal Cichocki