Unterauftragsverarbeiter
Ein Unterauftragsverarbeiter ist ein Dienstleister, den ein Auftragsverarbeiter seinerseits einsetzt, um personenbezogene Daten im Auftrag des Verantwortlichen zu verarbeiten, etwa Hosting, E-Mail-Versand oder Zahlungsabwicklung hinter einer Eventsoftware. Nach Art. 28 DSGVO braucht sein Einsatz die vorherige Genehmigung des Verantwortlichen.
Wer in der Kette steht
Wer eine Eventsoftware einsetzt, ist für die Daten der Teilnehmenden Verantwortlicher im Sinne der DSGVO. Der Softwareanbieter verarbeitet sie in seinem Auftrag und ist damit Auftragsverarbeiter, geregelt in einem Auftragsverarbeitungsvertrag. Der Anbieter wiederum betreibt seine Software selten allein: Rechenzentrum, E-Mail-Versand, Zahlungsdienst oder Support-Werkzeug kommen von weiteren Firmen. Sobald diese Firmen dabei personenbezogene Daten verarbeiten, sind sie Unterauftragsverarbeiter.
Was Art. 28 DSGVO verlangt
Artikel 28 Absatz 2 DSGVO ist eindeutig: Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Bei einer allgemeinen Genehmigung muss er den Verantwortlichen über jede beabsichtigte Änderung informieren, also über jeden neuen oder ersetzten Unterauftragsverarbeiter, damit dieser Einspruch erheben kann.
Nach Absatz 4 muss der Auftragsverarbeiter dem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auferlegen, die er selbst gegenüber dem Verantwortlichen hat. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen.
Was die Aufsichtsbehörden dazu sagen
Der Europäische Datenschutzausschuss hat das in seinen Leitlinien 07/2020 konkretisiert. Danach muss die Genehmigung in beiden Fällen eingeholt sein, bevor der Unterauftragsverarbeiter mit Daten betraut wird. Für die Prüfung soll der Auftragsverarbeiter eine Liste der Unterauftragsverarbeiter vorlegen, jeweils mit Standort, Aufgabe und einem Nachweis der Sicherheitsmaßnahmen. Akzeptiert der Verantwortliche bestimmte Unterauftragsverarbeiter schon bei Vertragsschluss, gehört diese Liste in den Vertrag oder einen Anhang. Ein bloßer allgemeiner Zugang zu einer Liste, die von Zeit zu Zeit aktualisiert wird, reicht nach den Leitlinien nicht, der Verantwortliche muss über jede geplante Änderung informiert werden.
Worauf Veranstalter achten
Unsere Einordnung aus der Praxis: Bei der Auswahl einer Eventsoftware lohnt es, die Liste der Unterauftragsverarbeiter vor dem Vertrag anzufordern. Drei Fragen trennen dabei Wichtiges von Unwichtigem. Wo sitzt der Dienstleister und wo werden die Daten verarbeitet, denn außerhalb der EU greifen die Regeln zur Drittlandübermittlung. Welche Daten bekommt er tatsächlich, nur technische Protokolle oder Namen und E-Mail-Adressen der Teilnehmenden. Und wie lange ist die Frist zwischen Ankündigung einer Änderung und ihrem Wirksamwerden, damit noch Zeit für einen Einspruch bleibt.
Öffentliche Auftraggeber und Hochschulen regeln diese Frist oft ausdrücklich im Vertrag. Unsere Einordnung: Wer selbst Daten an weitere Stellen weitergibt, etwa an Mitveranstalter, sollte prüfen, ob das überhaupt Auftragsverarbeitung ist oder eine eigene Verantwortlichkeit. Mehr dazu steht unter DSGVO im Eventkontext, die technischen Maßnahmen unter TOM.
Häufige Fehler
Ein Vertrag mit allgemeiner Genehmigung, aber ohne geregeltes Verfahren für Änderungen, ist der häufigste. Ebenso verbreitet ist eine Liste, die nur den Hosting-Anbieter nennt und E-Mail-Versand oder Zahlungsdienst vergisst. Und manche Veranstalter prüfen die Liste einmal und nie wieder, obwohl Anbieter Dienstleister wechseln.
Häufige Fragen
Was ist ein Unterauftragsverarbeiter?
Ein Dienstleister, den ein Auftragsverarbeiter einsetzt, um personenbezogene Daten im Auftrag des Verantwortlichen zu verarbeiten, etwa Rechenzentrum, E-Mail-Versand oder Zahlungsdienst hinter einer Software.
Braucht der Einsatz eines Unterauftragsverarbeiters eine Genehmigung?
Ja. Nach Art. 28 Abs. 2 DSGVO ist eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen nötig. Bei einer allgemeinen Genehmigung muss über jede geplante Änderung informiert werden, damit Einspruch möglich ist.
Wer haftet, wenn ein Unterauftragsverarbeiter gegen die DSGVO verstößt?
Nach Art. 28 Abs. 4 DSGVO haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.
