Auftragsverarbeitung in Kommunen – Dienstleister rechtssicher einbinden

Die DSGVO unterscheidet im Anwendungsbereich nicht zwischen öffentlichen und nicht-öffentlichen Stellen, daher gibt es in der DSGVO nur wenige Normen, die spezielle Anforderungen an Kommunen stellen. Jedoch lässt die DSGVO es zu, dass die Gesetzgeber der Mitgliedsstaaten, also hier die Länder und der Bund, eigene Gesetze zur näheren Ausgestaltung ausgehend von den sogenannten Öffnungsklauseln der DSGVO erlassen. So sind für öffentliche Stellen mitunter das BDSG, die einzelnen Landesdatenschutzgesetze sowie weitere Spezialgesetzte zu beachten, wenn es um die Verarbeitung von personenbezogenen Daten geht. Für viele Themengebiete bestehen spezialgesetzliche Regelungen, die die Regeln der DSGVO spezifizieren, so zum Beispiel die Abgabenordnung für Steuerdaten, der Sozialdatenschutz nach SGB X oder die Meldegesetze für Einwohnermeldedaten.

Eine Norm der DSGVO, die Regeln für Behörden oder öffentliche Stellen statuiert, ist der Artikel 37 DSGVO. Nach dem Artikel müssen Behörden und öffentliche Stellen zwingend einen Datenschutzbeauftragten benennen. 

Viele von Dienstleistern verwendete Verträge genügen nicht den gesetzlichen Anforderungen und berücksichtigen nicht die besonderen Anforderungen für Datenverarbeitung in Kommunen. Daher gilt es darauf zu achten, dass die wesentlichen Bestandteile enthalten und spezialgesetzliche Anforderungen erfüllt sind. 

Häufig sind die vom Auftragnehmer beauftragen Unterauftragsverarbeiter eine Quelle von Problemen. Einerseits muss gewährleistet werden, dass diese dieselben datenschutzrechtlichen Standards erfüllen, wie der Auftragsverarbeiter. Dies sollte vertraglich vom Auftragsverarbeiter zugesichert werden. Auch kann es dazu kommen, dass die Unterauftragsverarbeiter gegebenenfalls die Daten außerhalb der EU/des EWR verarbeiten.  In diesem Fall müssen wieder die Art. 44 ff. DSGVO zum Drittlandstransfer sowie die jeweiligen Landesdatenschutzgesetze beachtet werden. 

Auch die technischen und organisatorischen Maßnahmen sind als konkrete Ausgestaltung der Schutzmaßnahmen wichtig und müssen überprüft werden. Das Umfeld, in dem die Dienstleistung stattfindet, spielt hierbei auch eine Rolle. Wenn es um die Beauftragung einer Reinigungsfirma für die Büroräume geht, sind andere Maßnahmen erforderlich als für einen Dienstleister im Rahmen von Cloudverträgen.

 Öffentliche Stellen haben besondere Anforderungen an den Datenschutz zu erfüllen und dies auch bei der Auswahl ihrer Auftragsverarbeiter zu beachten, da diese ebenfalls die Erfüllung der Anforderungen gewährleisten müssen.

Sowohl vor Abschluss der Verträge als auch danach gibt es viele Fehlerquellen, die übersehen werden. Die häufigsten Fehler, die bei der Beauftragung von Auftragsverarbeitern passieren, sind leicht vermeidbar. Zuerst sollte der Datenschutz als Auswahlkriterium bereits in der Ausschreibung oder im Prozess für freie Vergaben berücksichtigt werden. Dies umfasst alle Dokumente und Prozesse, über die ein Auftragsverarbeiter verfügen sollte. Eine Zusammenstellung der Dokumente und Prozesse findet sich in der Übersicht weiter unten. 

Ein sehr geläufiger Fehler ist, dass der AVV, der durch den Auftragnehmer gestellt wird, einfach ohne Prüfung oder nähere Kontrolle vereinbart wird. Neben nachteiligen Regelungen können sich in einem AVV auch Regelungen zur Haftung oder Bestimmungen zur Kostentragung finden. Dieses Vorgehen birgt also sowohl juristische als auch finanzielle Risiken, die leicht vermieden werden können. 

Insbesondere die Pflicht, gegebenenfalls eine Datenschutzfolgeabschätzung (DSFA) durchzuführen, wird nicht selten vom Verantwortlichen vergessen. Aber auch nach Vertragsschluss mit den Dienstleistern sollte beachtet werden, dass sich die Gegebenheiten ändern können. Mit fortschreitender technischer Entwicklung könnte es notwendig sein, dass die Auftragsverarbeiter ihre technischen und organisatorischen Maßnahmen an den Stand der Technik anpassen. Auch die Liste an Unterauftragsverarbeitern, die der Dienstleister verwendet, sollte regelmäßig überprüft werden. Häufig wechseln die Subunternehmer, und je nach Standort muss beachtet werden, dass es doch zu einer Datenverarbeitung außerhalb des EWR kommen kann. 

Fehler lassen sich natürlich nie gänzlich verhindern. Jedoch sind die besten Mittel zur Prävention die Etablierung von soliden Prozessen, Dokumentation dieser Prozesse und Sensibilisierung für die „Stolpersteine“ im Datenschutzrecht. Folgende Punkte sollten beachtet werden, um gar nicht erst ins Straucheln zu geraten: 

1. Abschluss des AVV: Falls Ihr Dienstleister personenbezogene Daten für Sie verarbeitet, brauchen Sie einen AVV. Verhandeln und schließen Sie den Auftrag immer zusammen mit dem AVV ab, so kommen Sie nicht in die Verlegenheit, ohne vertragliche Regelung dazustehen. 
2. VVT: Führen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten gewissenhaft. Durch das VVT haben Sie einen Überblick über alle Verarbeitungen, für die Sie verantwortlich sind. Daraus können Sie schon ableiten, ob Sie eine DSFA durchführen müssen.
3. Berücksichtigung im Vergabeverfahren: Die Anforderungen im Bereich des Datenschutzes (BSI-Standards, ISO-Zertifizierungen, Data Residency im EWR) können in den Leistungsbeschreibungen und Vergabeunterlagen festgelegt werden. 
4. Aktualität: Die Gegebenheiten ändern sich schnell. Überprüfen Sie regelmäßig die Liste der Unterauftragsverarbeiter oder beachten Sie die Informationen des Auftragnehmers diesbezüglich. Auch die TOMs sollten überprüft werden, diese ändern sich mit dem Stand der Technik und müssen dementsprechend durch den Auftragsverarbeiter angepasst werden. 
5. Kontrollrechte: Das Gesetz gewährt Ihnen das Recht, die Einhaltung des vereinbarten Sicherheitsstandards bei Ihrem Auftragnehmer auch vor Ort zu überprüfen. Machen Sie von diesem Recht Gebrauch. Sie können auch Andere mit der Wahrnehmung des Kontrollrechts beauftragen.
6. Meldepflicht: Legen Sie Prozesse zur Meldung von Datenpannen verbindlich mit Ihren Auftragsverarbeitern fest, damit es in Krisenfällen ein klares Verfahren gibt. 
7. Spezialgesetze: Beachten Sie spezialgesetzliche Konstellationen. Im behördlichen Rahmen existieren eine Vielzahl an Sonderregeln, die sich in den Bereich Datenschutz auswirken können. Besonders eventuelle Verpflichtungen zur Geheimnishaltung sollten Sie auch vertraglich mit Auftragsverarbeitern berücksichtigen.
8. Beteiligung vom Fach: Binden Sie Ihren behördlichen Datenschutzberater in Ihre Prozesse mit ein. Fragen Sie im Zweifelsfall nach.