Umgang mit einem vertragsunwilligen Auftragsverarbeiter im Sinne der DSGVO
Manchmal kommt es auch Jahre nach der Einführung der DSGVO immer noch vor, dass Dienstleister, die personenbezogene Daten verarbeiten sollen, nicht auf Anfragen zum Abschluss, zur Überarbeitung oder zur Aktualisierung eines Auftragsverarbeitungsvertrags reagieren. Dies stellt Datenschutzbeauftragte vor Herausforderungen, da die Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter nur auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments erfolgen darf, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet. Wenn der Dienstleister jedoch nicht bereit ist, eine solche Vereinbarung abzuschließen, fragt sich, welche Optionen der Verantwortliche hat.
Es ist wichtig zu betonen, dass es im Interesse des Dienstleisters oder Auftragnehmers liegt, einen Vertrag zur Auftragsverarbeitung abzuschließen. Wenn die Verarbeitung personenbezogener Daten ohne Vertrag durchgeführt wird, verstoßen beide Parteien gegen ihre Pflichten aus der DSGVO. Dies kann zu Bußgeldern führen. Wenn eine Anfrage zum Abschluss eines Vertrags unbeantwortet bleibt, sollten Verantwortliche darauf hinweisen, dass dies ein rechtliches Erfordernis ist und eine Vereinbarung zum Vorteil aller Beteiligten ist.
Der Fall Kolibri Images
Empfehlenswert und notwendig ist es, den Datenschutzbeauftragten bei der Angelegenheit einzubeziehen. Außerdem ist es sinnvoll, dem Dienstleister einen Vertragsentwurf zur Überprüfung vorzulegen. Ein Beispiel für die Bedeutung eines solchen Vertrags ist der Fall des Unternehmens Kolibri Images, gegen das 2018 von der Datenschutzaufsichtsbehörde in Hamburg ein Bußgeld verhängt wurde. Das Unternehmen hatte einen spanischen Dienstleister ohne entsprechenden Auftragsverarbeitungsvertrag eingesetzt, und obwohl Kolibri Images den Dienstleister mehrfach zur Übermittlung eines Vertragsentwurfs aufgefordert hatte, verweigerte dieser dies. Kolibri Images weigerte sich schließlich auch, einen eigenen Entwurf zu erstellen, was zur Verhängung des Bußgeldes führte.
Obwohl die Aufsichtsbehörden später den Bußgeldbescheid zurücknahmen, zeigt der Fall doch, dass sie von Verantwortlichen den Abschluss von Auftragsverarbeitungsverträgen fordern. Allerdings können Dienstleister nicht einfach “gezwungen” werden, einen solchen Vertrag abzuschließen, auch wenn sie gute Argumente haben. Wenn eine Erklärung der datenschutzrechtlichen Situation und die proaktive Zusendung eines Vertragsentwurfs keine Wirkung zeigen, sollten Verantwortliche darüber nachdenken, zu “drastischeren” Mitteln zu greifen, wie zum Beispiel einer anderweitigen Vergabe des Auftrags oder einer Kündigung, wenn der Auftragsverarbeitungsvertrag nicht innerhalb einer vorher definierten Frist abgeschlossen wird. Wenn auch das keine Wirkung zeigt, sollten Verantwortliche die Dienstleistung ohne einen Auftragsverarbeitungsvertrag nicht weiter in Anspruch nehmen, da dies gegen die Vorschriften der DSGVO verstößt und ein Bußgeldrisiko birgt.
Fazit
Wenn Verantwortliche Dienstleister auswählen, die Zugriff auf personenbezogene Daten erhalten sollen, sollten sie den Datenschutz von Anfang an berücksichtigen und die Bereitschaft zum Abschluss eines Vertrags zur Auftragsverarbeitung als Kriterium für die Beauftragung verwenden. Wenn Dienstleister bereits im Einsatz sind, ohne dass ein Vertrag besteht, sind die oben genannten Schritte die einzigen Optionen, und als letztes Mittel kann eine Trennung vom jeweiligen Dienstleister eingeleitet werden, falls dieser keine Einigung erzielen kann.
