Datenschutz für IT-Dienstleister

Generell ist es aus vertraglichen Gründen notwendig, dass IT-Dienstleister Einblick in personenbezogene Daten nehmen. Dies ist je nach Zugriffsrecht auch nicht anders möglich. Sofern dies nicht erwünscht ist, muss der Kunde des IT-Dienstleisters Maßnahmen ergreifen, dass der Zugriff nicht oder nur unter Aufsicht erfolgt.

Üblicherweise ist der IT-Dienstleister sowohl Verantwortlicher für die Verarbeitung der eigenen Daten und Auftragsverarbeiter, wenn personenbezogene Daten des Kunden verarbeitet werden.

Wenn IT-Dienstleister eigene Dienstleister auf beauftragen und diese personenbezogene Daten im Kern verarbeiten, dann müssen Sie diverse Punkte beachten.

Neben dem Abschluss einer Auftragsverarbeitungsvereinbarung  müssen Sie den Auftragsverarbeiter auf Eignung vorab und dann regelmäßig prüfen. Dies müssen Sie gegenüber den Aufsichtsbehörden auch nachweisen können. Dieses Thema ist recht umfangreich, wird aber gerne vernachlässigt.

Typische Auftragsverarbeiter sind

• - Betreiber oder Lieferant von Software (Fernwartung oder / und Hosting)
• - Externe Personalverwaltung oder Lohnbuchhaltung
• - IT-Support
• - Betrieb oder Support Telekommunikationsanlage
• - Betrieb von Online-Bewerbungssystemen
• - Hosting oder Betreuung der Online-Auftritte
• - E-Mail-Newsletter-Service
• - Sonstige Cloud-Dienste (z. B. Office 365 von Microsoft)
• - Callcenter
• - Datensicherung / Archivierung
• - Papier- oder Datenträgerentsorgung
• - Consulting
• - E-Mail- oder Spamdienst
• -Online-Dienste, z.B. Analysetools auf der Webseite oder in der App

Keine Auftragsverarbeiter sind z. B. 

• - Telekommunikationsdienstleister (nur Transport von Daten)
• - Vermieter von Räumen in einem Rechenzentrum (Co-Location)
• - reine Hardwarewartung ohne Zugriffsmöglichkeiten auf die Daten der IT-Systeme

Sollten Sie unsicher sein bei der Bestimmung des Sachverhaltes, nehmen Sie gerne Kontakt mir auf.

In aller Regel ist eine Bestellung eines Datenschutzbeauftragten (DSB) durchzuführen, wenn mindestens 2o Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten betraut werden.  Es gibt noch ein paar Ausnahmen, wann eine Bestellung regelmäßig erfolgen muss, wie z. B. bei

• - der Verarbeitung besonders schützenswerter Daten, die auch eine Datenschutz-Folgenabschätzung notwendig machen.
• - der geschäftsmäßigen Übermittlung personenbezogener Daten oder
• - der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung

Eine Pflicht zur Bestellung eines Datenschutzbeauftragten könnte sich also daraus ergeben, dass eine Kerntätigkeit des IT-Dienstleisters eine risikoreiche Datenverarbeitung darstellt, die aufgrund Art, Umfang und/oder Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich macht.

Dies gilt übrigens auch, wenn der IT-Dienstleister als Auftragsverarbeiter für Kunden aktiv wird, der die oben genannten Daten verarbeitet.

Das hängt sicherlich vom Einzelfall ab. Im Rahmen der Vertragsvereinbarung sollte klar geregelt werden, wer für die Umsetzung von IT-Systemen, wie z. B. ein PC-Arbeitsplatz mit Windows 365, Browser und Virenschutz aus datenschutzrechtlicher Sicht zuständig ist. Dies ist notwendig, um Missverständnisse vorzubeugen, insbesondere, wenn es aufgrund von z. B. nicht fachgerechten Installationen zu einer Datenschutzverletzung kommt.

Hier gilt: Bleiben Sie transparent bei Ihren Aktivitäten.

Bei Wartungs- und Supporttätigkeiten werden IT-Dienstleister regelmäßig im Auftrag des Auftraggebers weisungsgebunden tätig.

Für eine solche Verarbeitung (Einblick = Offenlegung durch Übermittlung) im Auftrag ist der Abschluss eines Auftragsverarbeitungsvertrages gemäß Art. 28 DSGVO gesetzlich verpflichtend.

Der Auftraggeber ist verpflichtet, den IT-Dienstleister vorab und dann regelmäßig auf Eignung zu prüfen. Hier sollten IT-Dienstleister, die den Datenschutz ernst nehmen, bereits sinnvollerweise ein Paket für die Kunden bereithalten. Sinnvolle Inhalte sind

• - Vorlage der Vertraulichkeitsvereinbarungen
• - anonymisierte Nachweise der Teilnahme Schulungen der Beschäftigten inkl. der Schulungsinhalte und Datum
• - Datenschutz- oder Informationssicherheitskonzept
• Leit- und Richtlinien und Anweisungen im Umgang mit personenbezogenen oder sonstigen Daten
• Prozessbeschreibungen im Umgang mit den Rechten der Betroffenen (z. B. bei Auskunft von betroffenen Personen oder Datenschutzverletzungen)
• - ggf. Prüfnachweise und Unterlagen von eingesetzten Unterauftragsverarbeitern
• - Vorlagen für Löschanweisungen des Auftraggebers
• - Bestellurkunde des Datenschutzbeauftragten DSGVO einschl. Fachkundenachweise
• - Letzter Prüfbericht des Datenschutzbeauftragten einschl. der Prüfgegenstände und Datum 

Eine konkrete Abgrenzung gibt es nicht. Der IT-Dienstleister muss sich jeden Einzelfall anschauen und entscheiden, ob zur Abdeckung von Spezialaufgaben oder bei hohem Arbeitsaufkommen mit weiteren IT-Dienstleistern eine  Auftragsverarbeitungsvereinbarung oder eine Geheimhaltungsvereinbarung erforderlich ist.

Dazu erhalten Sie hier ein paar Indizien:

Der unterbeauftragte IT-Dienstleister ist regelmäßig ein weiterer Auftragsverarbeiter / Unterauftragsverarbeiter:

•  - wählt Ort und Zeit selbst.
• - setzt festgelegte Arbeiten mit seiner eigenen Hard- und Software um, ggf. auch mit Zugang/Zugriff auf IT-Systeme des IT-Dienstleisters (z.B. Wartung / Support)
• - hat eigene Beschäftigte
• - hat ein eigenes Büro und Infrastruktur
• - eine AV-Vereinbarung  ist notwendig
• - ein eigenes Sicherheitskonzept ist notwendig
• - Eignungsprüfungen sind vorab und regelmäßig auf Eignung gem. dem höchsten Risiko der Verarbeitung erforderlich.

Der unterbeauftragte IT-Dienstleister ist regelmäßig ein Freiberufler:

• - arbeitet „wie ein(e) eigene(r)  Mitarbeiter:in"
• in den Geschäftsräumen des IT-Dienstleisters
• - mit der Hard- und Software des IT-Dienstleisters oder des Kunden
• - arbeitet zu festen Arbeitszeiten
• - wird von dem IT-Dienstleister selbst  geschult
• - der Abschluss einer Vertraulichkeitsvereinbarung ist erforderlich
• - Prüfung der Selbständigkeit notwendig
• - Kontrolle gem. Standard-Konzept für eigene Beschäftigte ist erforderlich