Aktuelle Bundesdatenschutz-Novelle verschärft Vorgaben für Auftragsdatenverarbeitung

Von Stefan Groß und Dr. Nils Hallermann

10.09.2009

Kurz vor Ende der Legislaturperiode hat das Bundeskabinett das Bundesdatenschutzgesetz (BDSG) reformiert und teilweise verschärft. Neben Auskunfteien und der Werbebranche sind davon im Rahmen der Auftragsdatenverarbeitung grundsätzlich auch Provider und E-Billing-Dienstleister betroffen. Die neuen Regelungen gelten bereits seit dem 1. September 2009. Wer als Unternehmer personenbezogene Daten seiner Firma durch ein fremdes Dienstleistungsunternehmen verarbeiten lässt, das in voller Verantwortung und nach abschließenden Weisungen des Auftraggebers handelt, bleibt als Auftraggeber datenschutzrechtlich dennoch weiterhin in der Verantwortung.

Das neue BDSG erlegt dem Auftraggeber dabei unter anderem die folgenden Pflichten auf:    

• Nach § 11 Abs. 2 BDSG muss der Auftraggeber den Auftragnehmer unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auswählen.
  
• Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind:

• der Gegenstand und die Dauer des Auftrages,
• der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen,
• die nach § 9 zu treffenden technischen und organisatorischen Maßnahmen,
• die Berichtigung, Löschung und Sperrung von Daten,
• die nach Absatz 4 bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen,
• die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen, - die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers,
• mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen,
• der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält,
• die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrages.
  
• Der Auftraggeber hat sich bereits vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen und muss diese dokumentieren.
  

Diese neuen gesetzlichen Pflichten müssen zukünftig in den Auftragsverträgen berücksichtigt werden.