Auftragsverarbeitung

Ein Auftragsverarbeitungsvertrag regelt, was ein Dienstleister mit personenbezogenen Daten tun darf, die er für Sie verarbeitet. Ohne ihn ist die Beauftragung unzulässig; deshalb hat ihn praktisch jeder Anbieter fertig in der Schublade.

Genau das ist das Problem. Diese Verträge werden unterschrieben, nicht gelesen — und die drei Stellen, an denen sie sich unterscheiden, gehen im Standardtext unter.

Erstens: die Unterauftragnehmer

Die Liste steht meist in einer Anlage oder auf einer Unterseite und wird selten mitgeschickt. Sie ist die aufschlussreichste Seite des ganzen Vertrags, denn dort wird sichtbar, wer außer Ihrem Vertragspartner an den Daten sitzt: Rechenzentrumsbetreiber, Support-Dienstleister, Analysewerkzeuge, Versanddienste.

Achten Sie zusätzlich auf die Regelung zum Wechsel. Werden Sie über neue Unterauftragnehmer informiert, in welchem Vorlauf, und dürfen Sie widersprechen? Ein Widerspruchsrecht ohne Frist und ohne Sonderkündigungsrecht ist keines.

Zweitens: der Ort der Verarbeitung

Nicht der Firmensitz, nicht das Rechenzentrum aus der Werbung — die vertragliche Zusage. Und dann die Frage, die fast immer fehlt: Gilt sie auch für Support, Wartung, Sicherungen, Protokolle und Telemetrie?

Ein Fernzugriff aus einem Drittland auf Daten in der EU ist datenschutzrechtlich eine Übermittlung. Wo dieser Punkt ungeregelt bleibt, ist die Zusage zur Datenresidenz eine Aussage über den Ruhezustand und nicht über den Betrieb.

Drittens: Löschung und Rückgabe

„Nach Beendigung des Vertrags werden die Daten gelöscht oder zurückgegeben" ist eine Formulierung, die alles offenlässt. Brauchbar wird sie erst mit drei Angaben: Frist, Format und Bestätigung.

Diese Klausel ist zugleich der Berührungspunkt zur Exit-Strategie. Wer hier eine Frist und ein maschinenlesbares Format vereinbart, hat den vertraglichen Teil seines Ausstiegs erledigt, bevor er ihn braucht.

Was der Vertrag nicht leistet

Er bindet keine Behörde im Drittland. Das ist der Kern von Schrems II: Wo dortiges Recht Zugriffe erlaubt, ändert der beste Vertrag nichts daran. Für Übermittlungen ohne Angemessenheitsbeschluss kommt deshalb die eigene Prüfung hinzu — der Vertrag ist ihre Grundlage, nicht ihr Ersatz.