Auftragsverarbeitung. Das ewige Ärgernis

Ich unterbreche die Datenschutz für SORMAS-X Blogreihe für eine kurze Wutrede in Sachen Auftragsverarbeitung nach Art. 28 DSGVO.

Dieses Jahr feiert die DSGVO ihren 5. Geburtstag - zählt man die seit 2016 laufende Umsetzungsfrist dazu, sind es sogar schon 7 Jahre ... 7 Jahre, in denen es sich eigentlich herumgesprochen haben sollte, wie man eine Auftragsverarbeitung (Art. 28 DSGVO) vernünftig gestaltet. Mit vernünftig meine ich: Man entwirft einen Vertrag (AV-Vertrag), der die gegenseitigen Rechte und Pflichten klar und deutlich beschreibt. Allem voran die technischen und organisatorischen Sicherheitsmaßnahmen des Auftragnehmers.

Sehr oft prüfe ich im Auftrag meiner Mandanten solche AV-Verträge, die diese wiederum von ihren Dienstleistern erhalten. Zum Beispiel, weil meine Mandanten eine neue Software einführen wollen, die von einem Dienstleister als Software as a Service betrieben wird.

Absichtserklärungen und Prosa

Statt vernünftig geregelter Beschreibungen lese ich im Abschnitt technische und organisatorische Sicherheitsmaßnahmen statt vollständiger, präziser Beschreibungen aber wieder und wieder Prosa, Absichtserklärungen, Zitate des Gesetzestextes und eine Fülle an Allgemeinplätzen.

Beispiele aus der jüngsten Zeit

Wir führen regelmäßig Penetrationstests durch. Definiere regelmäßig. Regelmäßig jährlich oder alle drei Jahre oder alle zehn? Das Ergebnis dieser Tests und die Schlussfolgerungen würden uns auch interessieren, wenn wir eine SaaS Lösung beauftragen, die von überall aus dem Internet erreichbar ist.

Grundsätzlich werden alle Daten redundant gespeichert (mindestens über ausfallsichere RAID Systeme Level 5 und 6). Schön. Ich wüsste aber gerne, wie immer gesichert wird. Wer garantiert mir, dass nicht mein Mandant als Auftraggeber vielleicht die Ausnahme vom Grundsatz ist? Ich wüsste auch gerne in welchen Abständen die Sicherungen angelegt werden.

Es finden regelmäßig Tests zur Rücksicherung von Back-Up Daten statt, durch redundante Speicherung an verschiedenen Standorten wird versucht, Ausfallzeiten zu minimieren. Es wird versucht? Und was ist, wenn der Versuch nicht klappt? Wir wüssten gerne, mit welchen Maßnahmen Ausfallzeiten minimiert werden. Und auch hier: definiere regelmäßig!

Berücksichtigung der Grundsätze des Datenschutzes durch Technik und der datenschutzfreundlichen Grundeinstellungen (Privacy by Design, Privacy by Default) im Datenschutzkonzept. Ein solcher Satz nützt genau gar nichts. In ein Konzept kann ich schreiben, was immer ich will. Es ist ein Konzept, ein Plan. In einem Vertrag geht es aber um die Maßnahmen, die etabliert sind, und die Beschreibung ihrer Umsetzung.

Sichere Aufbewahrung von Datenträgern. Das ist keine Beschreibung der Umsetzung, das ist die Anforderung. Beschreibe sicher! In der Anfangszeit von PrivCom Datenschutz im Jahr 2002/2003 haben wir die Daten unseres Servers auf CDs gesichert. Die lagen im selben Büroraum wie der Server. Sicher, da kam außer den damals zwei Mitarbeitern von PrivCom niemand rein. Solange sicher, bis eines Tages das Büro nebenan abbrannte und unseres nur mit Glück keinen Schaden nahm.

Ärger von allen Seiten

Leute, ich habe es so satt. Jeder kleine Autounfall wird besser dokumentiert als technisch-organisatorische Sicherheitsmaßnahmen im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO.

Für uns kommt der Ärger dabei von allen Seiten. Einerseits sind mitunter unsere Mandanten genervt, wenn sie Aufwand mit formalen Dingen haben, wenn sie doch nur eine neue Software nutzen wollen. Verständlich, aber leider nicht zu ändern. Das Argument: „Das ist doch so ein großer Anbieter, der wird doch keine Sicherheitsrisiken haben“, zählt nicht. Ein Blick in die Liste der Datenschutzvorfälle der letzten 12 Monate genügt um festzustellen, dass alles angegriffen wird, was sich im Netz bewegt. Groß oder klein.

Von Seiten der Dienstleister hören wir „was sind Sie denn so pingelig, nach solchen Details fragt sonst niemand“, wenn wir Nachbesserungen in den AV-Verträgen verlangen.

Warum fragt eigentlich niemand?

Auch ich bin verwundert, warum außer mir offenbar niemand fragt. Liebe Kolleginnen und Kollegen Datenschutzbeauftragte, was tut ihr den ganzen Tag? Der Softwareanbieter, aus dessen AV-Vertragsmuster die meisten der oben zitierten Beispiele stammen, sagte mir, er habe im letzten Jahr 37 Verträge abgeschlossen, u.a. mit großen Krankenhäusern und anderen medizinischen Einrichtungen. Keiner habe den Text beanstandet. Keine Geschäftsführung, kein Datenschutzbeauftragter, niemand.

Nicht beschrieben, nicht existent

Ja – ich bin pingelig. Verflixt noch mal! Alle Unklarheiten und Auslassungen in der Beschreibung der Sicherheitsmaßnahmen im AV-Vertrag gehen zu Lasten meines Mandaten, des Auftraggebers! Im Streitfall existiert im Zweifel nicht, was nicht beschrieben ist. Dafür haftet dann der Auftraggeber – und der kann den Schaden bei mir geltend machen, wenn ich unzureichende Vertragsklauseln durchwinke, nur weil niemand Mühe haben will. Auch Auftragnehmer haben die Vorgaben des Art. 32 DSGVO zu erfüllen! Warum ist es nicht möglich, diese dann einmal sorgfältig und ausführlich zu beschreiben?

Der Poet

Mein Kollege hat in seinem früheren Leben (wie er es nennt) Software entwickelt. Als er irgendwann feststellte, dass in seiner Firma niemand mehr mit der Dokumentation der Software hinterherkam, hat er dafür jemanden beauftragt. Das war ein ehemaliger Deutschlehrer, genannt der Poet. Dieser tat nichts anderes, als die Software zu dokumentieren.

Wenn Sie es nicht schaffen, Ihre technischen und organisatorischen Sicherheitsmaßnahmen zu beschreiben, lassen Sie mich das machen. Es tut nicht weh und kostet nicht viel. Der Poet in mir müsste sich nicht länger ärgern, Sie hätten Ihre Haftungsrisiken minimiert. Eine klassische Win-Win-Situation.

Datenschutz im Versicherungswesen (3)

Mit dem Ablauf der Umsetzungsfrist für die Datenschutz-Grundverordnung (DSGVO) Ende Mai 2018 wurden zahlreiche Rechtsverhältnisse als Auftragsdatenverarbeitung nach Art. 28 DSGVO eingeordnet. Nachfolgend wollen wir anhand von Beispielen aus dem Versicherungswesen einen Überblick über die Auftragsdatenverarbeitung geben und insbesondere aufzeigen, wann _keine_ Auftragsdatenverarbeitung vorliegt.

Was ist eine Auftragsverarbeitung?

Bei einer Auftragsverarbeitung verarbeitet ein Dienstleister (Auftragsverarbeiter bzw. Auftragnehmer) personenbezogene Daten für ein Unternehmen (Verantwortlicher bzw. Auftraggeber). Der Dienstleiser ist weisungsabhängig – er muss also die Anweisungen des Auftraggebers in Bezug auf die Daten befolgend und darf die Daten, die er zur Verfügung gestellt bekommen hat, nicht für eigene Zwecke verwenden. In der Regel ist die Möglichkeit des Auftragnehmers, auf die personenbezogenen Daten des Auftraggebers zuzugreifen, auch nur eine „Nebenfolge“ der eigentlichen Dienstleistung. Die eigentliche Dienstleistung wäre auch ohne Zugriff auf die personenbezogenen Daten möglich.

Praxisbeispiel Auftragsdatenverarbeitung

Beispiel: ein IT-Dienstleister wird mit der Wartung eines Servers beauftragt und dem Einspielen von Updates. Die Dienstleistung „warten Sie unseren Server und spielen Sie alle nötigen Updates rechtzeitig auf“ wäre theoretisch auf ohne Zugriff auf die Personendaten auf dem Server zu erledigen. Da die Trennung aber technisch unmöglich (oder äußerst aufwändig) wäre, geht man hier von einer Auftragsdatenverarbeitung aus.

Die Entscheidung über den Zweck der Datenverarbeitung trifft allein das auftraggebende Unternehmen. Die Entscheidung über die technisch-organisatorischen Fragen der Verarbeitung wird (und darf) jedoch auf den Auftragsverarbeiter delegiert.

Typische Fälle einer Auftragsverarbeitung sind externe Lohn- oder Gehaltsabrechnung oder die Nutzung von Cloud-Diensten.

Wann liegt keine Auftragsverarbeitung vor?

Alle eigenständig handelnden Berufsgruppen wie z.B. Steuerberater, Wirtschaftsprüfer und Rechtsanwälte, Bankinstitute für Überweisungen oder die Post für ihre Dienstleistungen sind keine Auftragsverarbeiter / Auftragnehmer. Sie sind eigenständig Verantwortliche. Um die Ergebnisse von weiter unten vorweg zu nehmen: zu den eigenständig handelnden Berufsgruppen zählen auch die Versicherungen und Versicherungsmakler.

Vertrag über Auftragsverarbeitung (Art. 28 DSGVO)

Eine Auftragsverarbeitung nach Art. 28 DSGVO braucht einen eigenen Vertrag, in dem die Pflichten des Dienstleisters in Bezug auf den Umgang mit den ihm überlassenen Daten geregelt sind. In der Praxis wird so ein Vertrag oftmals als lästiges bürokratisches Beiwerk betrachtet - das ist er aber nicht. Er ist die Grundlage für die Aufteilung der Verantwortlichkeit bei Verstößen gegen Datenschutzvorschriften und entsprechend auch für die Verteilung der Haftung.

Praxisbeispiel 1

Eine Wohnungseigentümergemeinschaft (WEG) wird von einer Verwaltungs-GmbH vertreten. Der entsprechende Vertrag berechtigt die Verwaltungs-GmbH u.a. zur „Betreuung der abgeschlossenen Versicherungsverträge, Kündigung bestehender Verträge“. Ein Versicherungsmakler ist Vertragspartner der Verwalter-GmbH (in Bezug auf Versicherungsverträge). Ist die versicherungsrechtliche Betreuung der Verträge durch die Verwalter-GmbH eine AVV nach Art. 28 Abs. 3 DSGVO, mit der WEG, vertreten durch die Verwalter-GmbH als Auftraggeber, und dem Versicherungsmakler als Auftragnehmer?

Gegenstand des Vertrags zwischen Verwaltungs-GmbH und Versicherungsmakler sind die „Betreuung der abgeschlossenen Versicherungsverträge, Kündigung bestehender Verträge“ und noch weitere Aktivitäten, die aber alle als Teil der Ausführung des Maklermandats anzusehen sind. Der Versicherungsmakler ist gegenüber der WEG nicht weisungsgebunden. Er entscheidet bei der Durchführung aller für die Vertragsdurchführung erforderlichen Aktivitäten eigenständig über die Art und Weise der Durchführung.

Dies schließt die Annahme eines Verhältnisses von Auftragsdatenverarbeitung mit dem Makler und der WEG / dem Verwalter als Auftraggeber aus.

Praxisbeispiel 2

Dieselbe Einschätzung – keine Auftragsdatenverarbeitung - gilt für einen (Landes-) Verband der Immobilienverwalter, der eine Mitgliederliste mit Namen und Kontaktdaten seiner Mitglieder, die im Maklervertrag eingeschlossenen sind, an den Versicherungsmakler übermittelt. Die Übermittlung geschieht einmal jährlich zum Abgleich von Veränderungen und anlassbezogen im Schadenfall. Die Übermittlung der Mitgliederliste begründet noch keine Auftragsdatenverarbeitung, sondern ist als Teil der Vertragserfüllung des Maklervertrages erforderlich. Der Makler entscheidet unabhängig von Vorgaben des Verbandes, wann er die Liste mit welchen Inhalten übermittelt.

Weitere Praxisbeispiele

Auch in den nachfolgenden Fällen liegt keine Auftragsdatenverarbeitung (ADV) vor:

Sachverständige, die von einer Versicherung zur Klärung von Sachverhalten im Zusammenhang mit Schadenfällen beauftragt werden;
Versicherungsmakler, die von einer Versicherung Kundendaten zum Zweck der Angebotserstellung erhalten;
Versicherer, die vom Versicherungsmakler zu versicherungsspezifischen Zwecken Kundendaten erhalten, z.B. im Zusammenhang mit der Übernahme einer Schadensregulierung;
Versicherungsmakler oder sonstige (externe) Beteiligte, die für eine Versicherung als „Tippgeber“ Daten von potentiellen Kunden an die Versicherung weitergeben zwecks Erstellung eines Angebots.

Zur Frage der Eigenschaft der Versicherungsmakler als Auftragsverarbeiter nach Art. 28 DSGVO siehe auch: Dr. Volkan Güngör „Sind Versicherungsmakler Auftragsverarbeiter nach Art. 28 DSGVO?“ in: Zeitschrift für Versicherungswesen 03/2019, der die hier dargelegte Interpretation stützt.