Nach Erwägungsgrund 171 der DS-GVO gilt, dass ab dem 25.05.2018 eine Verarbeitung personenbezogener Daten nur noch dann Datenschutz-compliant ist, wenn sie den Anforderungen der DS-GVO genügt.

Mit anderen Worten: Auch Alt-Aufträge müssen entsprechend der DS-GVO ausgestaltet werden.

Die Auftragsdatenverarbeitung heißt unter der DS-GVO Auftragsverarbeitung. Es bleibt grundsätzlich aber dabei, dass die Auftragsverarbeitung die datenschutzrechtliche Grundlage für die Nutzung von Cloud Services ist. Auch die Kernkomponenten einer Auftragsverarbeitung bleiben: Weisungsgebundenheit gegenüber dem Auftraggeber, eine Vereinbarung mit Inhalten nach Maßgabe der datenschutzrechtlichen Regelungen über die Auftragsvearbeitung und Dokumentation der Vereinbarung.

Die entsprechende Vereinbarung über Auftragsverarbeitung muss aber den Anforderungen des Art. 28 DS-GVO genügen. Inhaltlich ist diese Regelung dem § 11 BDSG-alt ähnlich, aber im Detail nicht inhaltsgleich. Es muss daher jeder Vereinbarung über die Auftragsverarbeitung überprüft werden.

Einen ersten Überblick bekommen Sie mit der Checklist im Anhang.

Weitere Regelungen, deren Auswirkungen im Vertrag zu berücksichitgen sind, aber nicht in Art. 28 DS-GVO stehen:

• 26 DS-GVO: Joint Controllership
• 29 DS-GVO: Weisungsgebundenheit
• 32 Abs. 4 DS-GVO: Sicherheit der Verarbeitung

Ein Fortschritt für den Cloud-Bereich, dass Vereinbarungen über die Auftragsverarbeitung nicht mehr dem strengen deutschen Schriftformerfordnis unterfallen, sodass die Vereinbarung auch in elektronischer Form geschlossen werden kann (Art. 28 Abs. 9 DS-GVO).

Gerade im Cloud-Umfeld stellen sich aber auch zwei neue Herausforderungen:

• Die Beauftragung von Unterauftragnehmer (Subunternehmern) wird durch Art. 28 DS-GVO an strengere Vorgaben geknüpft als nach dem bisherigen deutschen Recht. Allerdings haben bereits viele Vereinbarungen schon solche Regelungen vorgesehen. Aber eine Prüfung im Detail ist gerade auch in diesen Fällen erforderlich.
• Der Auftragnehmer muss nach Art. 28 DS-GVO stärker in Pflicht genommen werden, den Auftraggeber bei der Erfüllung seiner Rechte zu unterstützen. Gerade bei Cloud Services ist das aber nur eingeschränkt stimmig zur Realität des genutzten Cloud Service. Diesem Umstand muss durch die Vertragsgestaltung Beachtung geschenkt werden.

Die Pflicht zum Datenschutz durch Technikgestaltung und datenschutzrechtliche Voreinstellung trifft nach Art. 25 DS-GVO formal den Auftraggeber. Aber da die Umsetzung der Pflicht nicht durch die Nutzung des Services allein sichergestellt werden kann, werden diese Pflichten auf den Cloud Provider faktisch „durchschlagen“.

Neu ist die Pflicht nach Art. 30 Abs. 2 DS-GVO für den Auftragsverarbeiter ein Verzeichnis zu seinen Kategorien von Verarbeitungstätigkeiten im Auftrag zu führen. Der Auftragsverarbeiter hat dieses Verzeichnis der Aufsichtsbehörde jederzeit auf deren Verlangen vorzulegen.

Nicht zu verwechseln ist das Verzeichnis mit Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DS-GVO. Dieses muss der Auftragsverarbeiter in Bezug auf seine eigenen Verarbeitungstätigkeiten führen.

Das bedeutet: Ein Auftragsverarbeiter führt zwei Verzeichnisses: eines als Verarbeiter für Verarbeitungen im eigenen Unternehmensinteresse und eines als Auftragsverarbeiter.

Art. 30 Abs. 5 DS-GVO sieht eine Ausnahme von der Pflicht zum Führen dieser Verzeichnisse vor. Ob diese überhaupt rechtlich einschlägig ist, muss sorgfältig geprüft werden.

Achtung: Lassen Sie sich aber nicht verpflichten, diese Verzeichnisse ihrem Auftraggeber auf Verlangen ohne Weiteres vorzulegen. Denn der Auftraggeber erfährt damit mehr, als er gesetzlich wissen muss und Sie laufen Gefahr gegen Geheimhaltungspflichten zu verstoßen.

Aus der DS-GVO kann sich die Pflicht bei der Verletzung des Schutzes personenbezogener Daten verpflichtet ergeben, die Aufsichtsbehörde zu benachrichtungen (Art. 33 DS-GVO) und ggf. jede betroffene Person zu unterrichten (Art. 34 DS-GVO).

Eine „Verletzung des Schutzes personenbezogener Daten“ ist nach der Definition in Art. 4 Nr. 12 DS-GVO eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden. Ein Vorfall also, der sich bei einem Auftragsverarbeiter ereignen kann.

Art. 33 Abs. 2 DS-GVO verpflichtet den Auftragsverarbeiter explizit dazu, es dem Auftraggeber unverzüglich zu melden, wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird.

Diese Pflicht erfüllt keiner gerne. Denn damit ist ein Schadensersatzanspruch durch den Auftraggeber allein schon durch das, was der Auftragnehmer ihm mitteilen muss, schnell begründet.

Die Übermittlung personenbezogener Daten in Länder außerhalb der EU (sog. Drittstaaten) wird durch die DS-GVO in Art. 44 ff. DS-GVO geregelt. Vereinfacht lässt sich sagen, dass sich insoweit nichts Großes ändert. Im Detail muss dennoch die Ausgestaltung überprüft werden, weil die Vorgaben in Art. 44 ff. DS-GVO detailreicher sind als im bisherigen Datenschutzrecht.

Unverändert bleibt damit auch die Zweistufigkeit der Prüfung der Zulässigkeit eine Verarbeitung in Drittstaaten: 1. Ist die Verarbeitung durch den Cloud Provider zulässig (hierzu oben zur Auftragsvrarbeitng)? 2. Darf die Verarbeitung im oder der Zugriff aus dem Drittstaat erfolgen (Art. 44 ff. DS-GVO)?

Diese Prüfung ist entsprechend für jeden Subunternehmer durchzuführen.

Eine erfreuliche Situation ergibt sich dadurch, dass Erwägungsgrund 171 DS-GVO vorsieht, dass Beschlüsse der EU-Kommission grundsätzlich auch über den Anwendungsbeginn der DS-GVO hinaus wirksam bleiben. Das bedeutet insbesondere, dass EU-US Privacy Shield, EU-Standardverträge und die Anerkennung von Drittstaaten mit angemessenem Datenschutzniveau nicht automatisch entfällt.

Auch der neue Art. 28 DS-GVO wirkt sich in diesem Kontext positiv aus. Denn anders als die bisherige Regelungen im deutschen BDSG-alt ist die Auftragsverarbeiutung nicht auf die EU und den EWR beschränkt, sondern auch mit Unternehmen im Drittstaaten möglich.

Nach dem BDSG-alt hatte der Auftragsverarbeiter eine recht komfortable Haftungssituation. Ansprüche waren von Betroffenen gegen den Auftraggeber geltend zu machen. Faktisch wirkte sich das wie ein Haftungsprivilegierung für die Auftragsverarbeiter aus.

Die DS-GVO kennt eine solche Haftungsprivilegierung nicht mehr. Auch aus Art. 79 DS-GVO ergibt sich, dass der Auftragsverarbeiter direkt verklagt werden kann.

Die DS-GVO geht in Art. 82 Abs. 2 DS-GVO sogar noch einen Schritt weiter. Ist sowohl ein Auftraggeber als auch ein Auftragsverarbeiter an derselben Verarbeitung beteiligt, so haftet jeder Verantwortliche oder jeder Auftragsverarbeiter für den gesamten Schaden, damit ein wirksamer Schadensersatz für die betroffene Person sichergestellt ist. Der Auftragsverarbeiter haftet also gegenüber der betroffenen Person auch für einen Fehler des Auftraggebers. Das gilt natürlich nicht ohne die Einschränkung, die in Art. 82 Abs. 2 und 3 DS-GVO vorgesehen sind.

Kurzum: Es besteht das Risiko, dass der Auftragsverarbeiter für eine Datenschutzverletzung durch den Auftraggeber in Anspruch genommen wird.

Ob der Anspruch gegen ihn am Ende durchsetzbar ist, mag auf einem anderen Blatt stehen. Der Auftragsverarbeiter ist in jedem Fall gut beraten, diese geänderte Situation für sich zu bewerten und gegebenenfalls durch vertragliche Regelungen mit Auftraggeber hierauf zu reagieren.

Die Sicherheit der Verarbeitung (Art. 32 DS-GVO) nimmt in der DS-GVO eine ganz zentrale Rolle ein. Sie geht in jeder Hinsicht grundlegend über das bisherige Datenschutzrecht hinaus. Dieser Anforderung muss der Auftragsverarbeiter genügen, um überhaupt als Auftragsverarbeiter in Betracht zu kommen. Durch die DS-GVO tritt auch stärker als nach dem BDSG-alt die Frage nach der Sicherheit der Verarbeitung als Kriterium der Zulässigkeit der Verarbeitung hervor.

Die Sicherheit der Verarbeitung nach DS-GVO ist auch nicht inhaltsgleich mit der IT-Sicherheit. Denn die Schutzziele sind unterschiedlich und können sich sogar entgegen stehen. Die IT-Sicherheit richtet sich am Schutz des Bestands des Unternehmens aus. Die Sicherheit der VEarbeitung nach DS-GVO richtet sich hingegen am Schutz der Rechte und Freiheiten der natürlichen Person aus.

Art. 32 DS-GVO sieht einen eigenständigen Kriterienkatalog für die Schutz der personenbezogenen Daten vor. Dieser muss dokumentiert abgearbeitet und der Service daran ausgerichtet werden.

Eine Fortsetzung findet diese Bewertung in der sog. Datenschutz-Folgenabschätzung, deren Ergebnis wiederum dazu zwingen kann, eine Verarbeitung vor deren Beginn mit der Datenschutzaufsichtsbehörde abzustimmen.

Eine erhebliche Auswirkungen „auf den zweiten Blick“ werden die Regelungen haben, die nicht direkt den Auftragsverarbeiter in die Pflicht nehmen sondern seinen Auftraggeber. Denn: Den Auftraggeber als Verantwortlichen treffen die eingangs angesprochenen umfassenden Dokumentations-, Organisations- und Transparenzpflichten.

In diese Pflichten wird der Auftraggeber bestenfalls den Cloud Provider (nur) einbinden und berücksichtigen wollen. Schlimmstenfalls wird er seine Pflichten auf den Auftragsverarbeiter auslagern wollen. Von der andere Seite betrachtet, wird er Auftraggeber gewisse Pflichten der DS-GVO gar nicht selbst erfüllen können, weil nur der Auftagsverarbeiter über diese Kompetenz verfügt und gerade deshalb auch der Cloud-Service genutzt wird.

Kurzum: Der Cloud Provider muss sich spezifisch für seinen Cloud-Service festlegen, wie er mit dieser Situation umgehen möchte und was bei ihm alles zum Service gehören soll.

Nachfolgend werden einzelne Aspekte exemplarisch angesprochen. Bei diesen wird sich je nach Cloud-Service die Frage stellen müssen, ob der Cloud Provider als Bestandteil seine Services die entprechenden Templates, Textes und Bestätigungen mitliefert.

• Die Erfüllung der Recht der betroffenen Personen nach Artt. 12 bis 23 DS-GVO wird der Auftraggeber nicht ohne Einbindung des Cloud Providers erfüllen können.
• Führen des Verzeichnisse von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DS-GVO setzen Informationen zum Cloud Service voraus.
• Die Datenschutz-Folgenabschätzung und die Vorherige Konsultation der Aufsichtsbehörde stellen für einen Auftraggeber eine erhebliche Hürde.

Nach dem BDSG-alt waren die Auftragsverarbeiter in Bezug auf die Ausgestaltung der Auftragsverarbeitung praktisch nicht Adressat von Bußgeldsanktionen. Diese trafen den Auftraggeber. Das ändert sich durch die DS-GVO. Der Auftragsverarbeiter ist zukünftig ebenso umfassend Adressat von Bußgeldsanktionen wie der Auftraggeber.

In Bezug auf die Bußgelder muss bewusst gemacht werden, dass diese bewusst „schmerzhaft“ gewählt wurden. Die Nichteinhaltung des Datenschutzes soll nicht günstiger sein können als die Einhaltung. Dementsprechend drohen je nach Verstoß Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist oder Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.

Eine weitere – und bei der Diskussion um die Höhe fast übersehene – Veränderung ist die Ausweitung der Datenschutzverletzungen, die Bußgeldbewehrt ist. Beispielsweise waren bisher Verstöße gegen die Sicherheit der Verarbeitung (§ 9 BDSG-alt) nicht bußgeldbewehrt, sind es aber unter der DS-GVO. Der Verstoß gegen die Meldepflicht bei einer Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DS-GVO). Auch die gesamte Dokumentationspflichten waren bisher nicht bußgeldbewehrt, auch weil sie bisher im BDSG-alt überhaupt nicht vorgesehen waren (bspw. Verzeichnis von Kategorien von Verarbeitungstätigkeiten).

Der komplette Sanktionsapparat wird strenger. In der Praxis wird sich stärker als die neue Bußgeldhöhe die Erweiterung der bußgeldbewehrten Pflichten auswirken.