Seite auswählen
Wann sollte ich einen Auftragsverarbeitungsvertrag schließen?

Wann sollte ich einen Auftragsverarbeitungsvertrag schließen?

Im Zuge der neuen Datenschutzgrundverordnung (DS-GVO) stellen sich viele Unternehmer die Frage, wann muss ich einen Auftragsverarbeitungsvertrag schließen? Manche haben sogar von ihren Dienstleistern einen vorgesetzt bekommen, mit der Bitte diesen unterschrieben zurückzuschicken. Bevor man natürlich einen Vertrag unterschreibt, muss man wissen worum es sich hierbei handelt

 

Auftragsverarbeitung

In Art. 4 Nr. 8 der DS-GVO ist die Auftragsverarbeitung gesetzlich definiert. Auftragsverarbeiter ist danach eine natürliche oder juristische Person, Behörde, Einrichtung oder anderer Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Viel Klarheit bringt diese Definitionen leider nicht. Es kommt also darauf an, dass im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet werden. Verantwortlicher ist dabei die natürliche oder juristische Person, Behörde, Einrichtung oder anderer Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

 

Weisungsrecht

Es kommt mithin darauf an, dass zwischen Verantwortlicher und Auftragsarbeiter ein Weisungsrecht besteht. D.h. so viel, dass derjenige Verantwortlicher ist, der über den Zweck und die Mittel der Verarbeitung der personenbezogenen Daten entscheidet. Erteilt dieser einem anderen eine Weisung, wie er diese Daten verarbeiten soll, ist dieser andere ein Auftragsverarbeiter. Wenn ich beispielsweise ein Callcenter für mich arbeiten lasse, so entscheidet dieses nicht über den Zweck der Erhebung der Daten. Es hat keinen Spielraum zu sagen, ich möchte folgende Daten vom Kunden wissen. Es ist an die Weisungen gebunden, die der Unternehmer ihm erteilt hat. Es muss also die Daten erheben, die dieser festgelegt hat, also beispielweise Namen und Telefonnummer für einen Rückruf. Damit ist das Callcenter ein Auftragsverarbeiter.

 

Abgrenzungen

Derzeit ist aufgrund der jungen Geschichte der DS-GVO und der fehlenden Rechtsprechung noch nicht gesichert, wie man in Abgrenzungsfragen entscheiden sollte. Manche vertreten eine sogenannte Schwerpunkttheorie. Danach ist keine Auftragsverarbeitung gegeben, wenn die Erhebung der Daten zum Schwerpunkt der Tätigkeit des Unternehmens gehört. So ist beispielsweise ein Transportdienstleistungsunternehmen kein Auftragsverarbeiter, wenn es Daten an Dritte auf Weisung des Verantwortlichen transportiert. Der Transport ist nämlich die Kerntätigkeit des Transportunternehmens. Andere Beispiele sind Rechtsanwälte, Steuerberater oder beispielsweise ein Labor. Hier besteht aber zwischen den sich mit Datenschutz befassen den Autoren unterschiedliche Auffassungen. Manche wählen als sichersten Weg im Zweifel einen Auftragsverarbeitungsvertrag. Das Problem darin ist, dass ich dann mich beispielsweise als Auftragsverarbeiter Weisungen des Verantwortlichen unterwerfe.

Aus meiner Sicht, gibt es hier keine Patentlösung. Wichtig wird sein, dass man in jedem Fall begründen können muss, warum man gerade keine Auftragsverarbeitung oder eben eine vorliegen hat. Dies müsste dann argumentativ gegen eine Bußgeldbehörde verteidigt werden. Der Teufel steckt hier im Detail. Die Zuordnung ist von erheblicher Bedeutung. Ein Verstoß dagegen führt zu einem Verstoß gegen die DS-GVO. Dies wiederum führt zu Bußgeldern bzw. gegebenenfalls zu Abmahnungen. Ein Vertrag sollte nicht vorschnell abgeschlossen werden.

Wenn Sie also Fragen rund um die Zuordnung einer Tätigkeit zur Auftragsbearbeitung haben, können Sie mich gerne unter dem Kontaktformular erreichen.

Hinweise zum Datenschutz nach DS-GVO bei Abenteuerparks und Hochseilgärten

Hinweise zum Datenschutz nach DS-GVO bei Abenteuerparks und Hochseilgärten

In dem nachfolgenden Beitrag möchte ich auf einige datenschutzrechtliche Fragen eingehen, die sich im Zusammenhang mit dem Betrieb eines Abenteuerparks oder Hochseil Garten stellen.

 

Datenschutzerklärung

Die meisten Betreiber nutzen eine Homepage oder Internetpräsenz. Für diesen Fall erheben sie personenbezogene Daten bzw. verarbeiten solche. Dann ist aber in jedem Fall darüber zu informieren. Praktischerweise macht man das mit einer Datenschutzerklärung. Diese sollte auch nicht versteckt im Impressum sein, sondern zweckmäßigerweise mit einem eigenständigen Reiter oder Schaltfläche hervorgehoben werden.

 

Teilnehmererklärung

Häufig unterschreiben die Teilnehmer eine sogenannte Teilnehmererklärung. Auf dieser findet sich der Name oder die Anschrift des Teilnehmenden. Häufig wird aber auch die Telefonnummer vermerkt. Außerdem soll bei einigen Betreiber der Teilnehmer ein Feld ankreuzen und dadurch erklären, dass er eine „Einweisung“ erhalten hat. Dadurch erhoffen sich die Betreiber natürlich später den Nachweis führen zu können, dass der Teilnehmer ordnungsgemäß in den Betrieb des Kletterparks eingewiesen wurde. Es stellt sich die Frage der datenschutzrechtlichen Zulässigkeit. Grundsätzlich können Daten erhoben werden, die zum Zwecke der Vertragsdurchführung notwendig sind. Aus meiner Sicht ist es daher unproblematisch, wenn Daten in der Teilnehmererklärung erhoben werden, die für die Einweisung benötigt werden. Diese ist aus meiner Sicht ein Teil der Vertragsdurchführung, da es um die Sicherheit des Teilnehmers geht. Rechtsprechung dazu gibt es aber noch nicht. Wichtig ist in diesem Zusammenhang der Grundsatz der Datenminimierung. So sollten sich auf diesen Formularen keine Daten finden, die nicht für die Vertragsdurchführung erforderlich sind, wie beispielsweise die religiöse Zugehörigkeit. Die Kontrollfrage sollte lauten: Brauche ich diese Daten, um den Vertrag durchzuführen oder nicht?

 

Informationspflichten

Wichtig ist in diesem Zusammenhang ferner, über die Verarbeitung der Daten zu informieren. Aus Praktikabilitätsgründen wird es wahrscheinlich nicht möglich sein, die gesamten Datenschutzhinweise auf der Rückseite der Teilnehmererklärung abzudrucken. In diesem Fall müsste natürlich darauf hingewiesen werden, dass sich auf der Rückseite einer Teilnehmerkennung überhaupt etwas befindet. Das Gesetz verlangt lediglich, dass man bei Erhebung der Daten informiert. Wie das dann im Einzelfall durch den Betreiber gehandhabt wird, bleibt ihm überlassen. Manche Autoren sehen einen Medienbruch als zulässig an und lassen es ausreichen, wenn auf der Teilnehmererklärung ein Link enthalten ist, der auf die Datenschutzhinweise verweist. Dieser Link sollte so einfach wie möglich gestaltet sein. Eine Rechtsprechung dazu ist aber bislang noch nicht bekannt. Andere Autoren sehen es als völlig ausreichend, wenn ein deutlich sichtbarer Aushang mit Datenschutzhinweisen neben dem Teilnehmenden aufgestellt wird und diese eben ohne große Schwierigkeiten Information darüber halten können, welche Daten von ihnen verarbeitet werden.

 

Achten Sie darauf, dass Verstöße gegen das Datenschutz bußgeldbewehrt sind und es deshalb erforderlich ist, sich über den Datenschutz Gedanken zu machen.

 

Es stellen sich eine Vielzahl von datenschutzrechtlichen Problemen bei der Verarbeitung von Daten in Zusammenhang mit dem Betrieb von Abenteuerparks und Hochseilgärten. Wenn Sie Fragen rund um dieses Thema haben, dann können Sie mich jederzeit telefonisch unter 069 59 77 80 28 oder per Email unter info@tklegal.de erreichen. Über Ihren Anruf oder Ihre Nachricht freue ich mich.