Die Vorlage Externer Datenschutzbeauftragter Dienstleistungsvertrag unterstützt bei der Gestaltung des Vertragsverhältnisses zwischen dem Unternehmen und dem externen Dienstleister.
Auch ein Externer Datenschutzbeauftragter erfüllt die rechtlichen Anforderungen
Mit der Geltung der DSGVO ergibt sich erstmals unmittelbar aus dem Europarecht unter bestimmten Umständen eine Benennungspflicht für Datenschutzbeauftragte. Das bereits im alten BDSG vorhandene Modell der datenschutzrechtlichen Selbstkontrolle wurde somit auf die europäische Ebene erweitert. Aufgrund einer Öffnungsklausel dürfen die Mitgliedstaaten in Ergänzung zur europarechtlichen grundsätzlichen Benennungspflicht durch Artikel 37 DSGVO weitere Benennungspflichten auf nationaler Ebene vorsehen. Der deutsche Gesetzgeber hat deshalb von dieser Regelungsmöglichkeit Gebrauch gemacht und im § 38 Bundesdatenschutzgesetz (BDSG neu) weitere Kriterien definiert, die einen Datenschutzbeauftragten erforderlich machen. Der Datenschutzbeauftragte kann nach Art. 37 Abs. (6) der DSGVO Beschäftigter des Verantwortlichen des Auftragsverarbeiters sein oder infolgedessen als externer Datenschutzbeauftragter seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.
In diesen konkreten Fällen ist ein Datenschutzbeauftragter zu bestellen
Mit Ausnahme von Gerichten müssen öffentliche Stellen übrigens immer einen Datenschutzbeauftragten benennen. Für nichtöffentliche Stellen sind jedoch die beiden Perspektiven DSGVO und BDSG relevant:
Grundsätzliche Benennungspflichten aus Sicht der DSGVO, Art. 37:
- Die Kerntätigkeit besteht in der Durchführung von Verarbeitungsvorgängen, die eine umfangreiche regelmäßige und folglich systematische Überwachung von Personen erforderlich machen (Abs. 1 Buchst. b).
- Die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten (Abs. 1 Buchst. c).
Ergänzende Benennungspflichten aus Sicht des BDSG, § 38 Abs. 1 Satz 1:
- Es sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.
- Bestimmte Verarbeitungen unterliegen einer Datenschutz-Folgenabschätzung (Art.35 DSGVO).
- Verarbeitungen dienen einem geschäftsmäßigen Zweck der gegebenenfalls anonymisierten Übermittlung bzw. der Markt- oder Meinungsforschung.
Ein externer Datenschutzbeauftragter darf jedoch laut Artikel 37 Absatz (6) der DSGVO nur auf der Grundlage eines Dienstleistungsvertrags benannt werden.
Diese Anforderungen sollte ein Dienstleistungsvertrag erfüllen
Grundsätzlich ist dieser Vertrag zwischen dem Unternehmen und dem Dienstleister frei ausgehandelbar. Damit die Zusammenarbeit mit dem externen Datenschutzbeauftragten möglichst gut klappt, sollten jedoch die folgenden Punkte Beachtung finden:
- Pflichten des Auftragnehmers
- Leistungsspektrum der Dienstleistung
- Preise / Abrechnung
- Vertragslaufzeit
- Verpflichtung zur Verschwiegenheit
- Haftung
- Mitwirkungspflicht des Auftraggebers
Das Leistungsspektrum Externer Datenschutzbeauftragter kann natürlich je nach Größe des Unternehmens sowie nach Art und Umfang der betriebenen Datenverarbeitung variieren.
