Datenschutz-Verträge · Art. 26 · Art. 28 DSGVO · Österreich
Datenschutz-Verträge für Unternehmen in Österreich
Datenschutz-Verträge müssen zur tatsächlichen Zusammenarbeit zwischen Unternehmen,
Dienstleistern und Plattformen passen.
Nicht jeder Datenaustausch ist automatisch Auftragsverarbeitung,
und nicht jede gemeinsame Nutzung von Daten bedeutet gemeinsame Verantwortlichkeit.
Rechtsanwältin Dr. Nina Ollinger, LL.M. erstellt und prüft
datenschutzrechtliche Vereinbarungen und ordnet die zugrunde liegenden Rollen rechtlich ein.
Dr. Thomas Ollinger ergänzt als zertifizierter Datenschutzbeauftragter
und Unternehmensberater die organisatorische und praktische Perspektive.
- Art. 26 · Art. 28 DSGVO · Datenweitergabe
- Vertragsgestaltung durch Rechtsanwältin Dr. Nina Ollinger
- rechtliche Einordnung plus praktische Umsetzung
Kurzantwort
Wann braucht ein Unternehmen einen Datenschutz-Vertrag?
Ein Datenschutz-Vertrag ist insbesondere dann erforderlich,
wenn ein Unternehmen personenbezogene Daten durch einen Auftragsverarbeiter verarbeiten lässt
oder wenn mehrere Unternehmen gemeinsam über Zwecke und wesentliche Mittel
einer Datenverarbeitung entscheiden.
Bei Auftragsverarbeitung verlangt Art. 28 DSGVO eine entsprechende Vereinbarung.
Bei gemeinsamer Verantwortlichkeit müssen die Beteiligten ihre jeweiligen
Verantwortlichkeiten gemäß Art. 26 DSGVO transparent festlegen.
In anderen Konstellationen kann ein zusätzlicher Datenschutzvertrag sinnvoll sein,
ohne dass die DSGVO für jeden Datenaustausch einen speziellen Vertragstyp vorschreibt.
Das Wichtigste in sechs Punkten
Datenschutz-Verträge auf einen Blick
- Vor dem Vertrag muss die tatsächliche DSGVO-Rolle der Beteiligten geklärt werden.
- Auftragsverarbeitung erfordert grundsätzlich eine Vereinbarung nach Art. 28 DSGVO.
- Gemeinsame Verantwortlichkeit erfordert eine transparente Vereinbarung nach Art. 26 DSGVO.
- Nicht jeder Datenaustausch zwischen zwei Unternehmen ist automatisch Auftragsverarbeitung.
- Verträge müssen die tatsächlichen Datenflüsse und Zuständigkeiten abbilden.
- Standardverträge sollten auf Leistung, Systeme, Risiken und Unternehmenspraxis angepasst werden.
Ausgangspunkt
Welcher Datenschutz-Vertrag ist der richtige?
Die richtige Vertragsform hängt davon ab,
welche datenschutzrechtliche Rolle die beteiligten Unternehmen tatsächlich haben.
Entscheidend ist nicht,
wie ein Vertrag überschrieben wird,
sondern wer über Zwecke und wesentliche Mittel einer Datenverarbeitung entscheidet
und ob ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung verarbeitet.
Eine falsche vertragliche Einordnung kann die tatsächliche Rolle nicht verändern.
Deshalb sollte die Rollenprüfung immer vor der Vertragsgestaltung stehen.
Erst Datenfluss und Entscheidungsbefugnisse verstehen,
dann den passenden Datenschutz-Vertrag gestalten.
DSGVO-Rollen
Verantwortlicher, Auftragsverarbeiter oder gemeinsam verantwortlich?
Diese drei Grundkonstellationen führen zu unterschiedlichen Pflichten
und teilweise zu unterschiedlichen Vertragsformen.
Verantwortlicher
Wer selbst über Zwecke und wesentliche Mittel einer Verarbeitung entscheidet,
ist grundsätzlich Verantwortlicher.
Auftragsverarbeiter
Wer personenbezogene Daten im Auftrag eines Verantwortlichen
und innerhalb dessen dokumentierter Weisungen verarbeitet,
kann Auftragsverarbeiter sein.
Gemeinsame Verantwortliche
Bestimmen mehrere Beteiligte gemeinsam Zwecke und wesentliche Mittel,
kann gemeinsame Verantwortlichkeit vorliegen.
Mehrere eigenständige Verantwortliche
Zwei Unternehmen können Daten austauschen
und dennoch jeweils eigenständig für ihre eigene Verarbeitung verantwortlich sein.
Art. 28 DSGVO
Auftragsverarbeitungsvertrag
Verarbeitet ein Dienstleister personenbezogene Daten
im Auftrag eines Verantwortlichen,
muss die Auftragsverarbeitung auf einem Vertrag
oder einem anderen Rechtsinstrument nach Unions- oder Mitgliedstaatenrecht beruhen.
Ein Auftragsverarbeitungsvertrag regelt insbesondere,
wie der Auftragsverarbeiter personenbezogene Daten verarbeiten darf,
welche Sicherheitsanforderungen bestehen
und welche Unterstützungspflichten gegenüber dem Verantwortlichen gelten.
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten
- Kategorien betroffener Personen
- Rechte und Pflichten des Verantwortlichen
- Weisungsbindung des Auftragsverarbeiters
- Vertraulichkeit und Sicherheitsmaßnahmen
- Unterauftragnehmer
- Unterstützung bei Betroffenenrechten und Datenschutzvorfällen
- Löschung oder Rückgabe nach Ende der Verarbeitung
Art. 26 DSGVO
Vereinbarung bei gemeinsamer Verantwortlichkeit
Gemeinsame Verantwortlichkeit kann entstehen,
wenn zwei oder mehr Unternehmen gemeinsam
über Zwecke und wesentliche Mittel einer Verarbeitung entscheiden.
Liegt diese Konstellation vor,
müssen die Beteiligten ihre jeweiligen Verantwortlichkeiten
für die Einhaltung der DSGVO transparent festlegen.
Besonders relevant sind dabei Betroffenenrechte
und die Informationspflichten nach Art. 13 und 14 DSGVO.
Rollen und Zuständigkeiten
Wer übernimmt welche Pflichten
innerhalb der gemeinsamen Verarbeitung?
Betroffenenrechte
Wer bearbeitet Auskunft,
Löschung, Berichtigung oder Widerspruch?
Informationspflichten
Wer informiert betroffene Personen
und wie wird die wesentliche Vereinbarung transparent gemacht?
Ansprechpartner
Die Vereinbarung kann
eine gemeinsame Kontaktstelle für betroffene Personen festlegen.
Die Vereinbarung schafft nicht erst die gemeinsame Verantwortlichkeit.
Entscheidend ist die tatsächliche gemeinsame Entscheidung
über Zwecke und Mittel der Verarbeitung.
Datenaustausch zwischen Unternehmen
Brauchen zwei eigenständige Verantwortliche immer einen DSGVO-Vertrag?
Nein. Wenn zwei Unternehmen jeweils selbstständig verantwortlich handeln,
schreibt die DSGVO nicht für jeden Datenaustausch
automatisch einen besonderen Vertrag nach Art. 26 oder Art. 28 vor.
Dennoch kann es sinnvoll oder aus anderen rechtlichen Gründen erforderlich sein,
Datenweitergabe, Vertraulichkeit, Zweckbindung,
Sicherheitsanforderungen und Verantwortlichkeiten vertraglich zu regeln.
Entscheidend ist, dass eine Datenweitergabe selbst
eine tragfähige Rechtsgrundlage hat
und die jeweiligen Informations- und Dokumentationspflichten erfüllt werden.
Vertragsgestaltung
Welche Inhalte sind bei Datenschutz-Verträgen besonders wichtig?
Der konkrete Inhalt hängt von Rolle,
Leistung, Datenarten und Risiken der Zusammenarbeit ab.
Klare Rollenbeschreibung
Der Vertrag sollte erkennen lassen,
welche Funktion jeder Beteiligte tatsächlich übernimmt.
Daten und Zwecke
Verarbeitete Daten,
betroffene Personengruppen und Zwecke sollten nachvollziehbar beschrieben sein.
Sicherheit
Technische und organisatorische Maßnahmen
müssen zum Risiko der Verarbeitung passen.
Unterauftragnehmer
Bei Auftragsverarbeitung ist zu regeln,
unter welchen Voraussetzungen weitere Auftragsverarbeiter eingesetzt werden dürfen.
Vorfälle und Betroffenenrechte
Informations- und Unterstützungspflichten
sollten für kritische Situationen eindeutig geregelt sein.
Vertragsende
Rückgabe, Löschung,
Restkopien und Zugriffsrechte nach Ende der Zusammenarbeit klären.
Cloud, SaaS und externe Anbieter
Datenschutz-Verträge mit IT- und Cloud-Dienstleistern
Gerade bei digitalen Diensten sind Datenschutzverträge
häufig Teil standardisierter Anbieterbedingungen.
Das entbindet Unternehmen nicht von der Prüfung,
ob Rolle und Vertragsinhalt zur tatsächlichen Nutzung passen.
Hosting und Cloud
Hosting-, Speicher- und Infrastrukturleistungen
können typische Auftragsverarbeitung darstellen.
CRM und SaaS
CRM-, Support- oder Kollaborationstools
verarbeiten regelmäßig personenbezogene Daten im Unternehmensauftrag.
Newsletter und Marketing
Je nach Dienst und Nutzung
können unterschiedliche Rollen und zusätzliche Rechtsfragen entstehen.
Unterauftragnehmer
Große Anbieter setzen häufig weitere Dienstleister ein,
deren Rolle und Einbindung mitgeprüft werden sollte.
Internationale Datenübermittlungen
Was ist bei Anbietern außerhalb des EWR zu beachten?
Werden personenbezogene Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übermittelt,
können neben dem eigentlichen Datenschutzvertrag
zusätzliche Anforderungen für internationale Datenübermittlungen relevant werden.
Je nach Zielland und Anbieter können insbesondere
Angemessenheitsbeschlüsse, Standardvertragsklauseln
oder andere geeignete Garantien eine Rolle spielen.
Dabei sollte nicht nur geprüft werden,
welches Vertragsdokument vorliegt,
sondern welche Daten tatsächlich wohin übermittelt werden
und welche technischen und organisatorischen Schutzmaßnahmen bestehen.
Standardverträge
Kann man Datenschutz-Verträge einfach aus Vorlagen übernehmen?
Vorlagen können eine sinnvolle Ausgangsbasis sein.
Sie ersetzen jedoch nicht die Prüfung,
ob die enthaltene Rollenverteilung und die beschriebenen Prozesse
zur tatsächlichen Zusammenarbeit passen.
Gerade standardisierte Auftragsverarbeitungsverträge
großer Anbieter enthalten häufig umfangreiche Regelungen
zu Unterauftragnehmern, internationalen Transfers und Sicherheitsmaßnahmen.
Diese Punkte sollten zum Einsatz im eigenen Unternehmen passen.
- Rolle stimmt mit der tatsächlichen Leistung überein
- Verarbeitung ist ausreichend konkret beschrieben
- Unterauftragnehmer sind nachvollziehbar geregelt
- Sicherheitsmaßnahmen sind plausibel
- Drittlandtransfers sind eingeordnet
- Beendigung und Löschung sind nachvollziehbar geregelt
Vertragsprüfung
Wie läuft die Prüfung eines Datenschutz-Vertrags ab?
Eine sinnvolle Vertragsprüfung betrachtet nicht nur einzelne Klauseln,
sondern auch Leistung und Datenfluss dahinter.
Sachverhalt klären
Welche Leistung wird erbracht,
welche Daten werden verarbeitet
und wer entscheidet über Zwecke und Mittel?
Rolle bestimmen
Verantwortlicher, Auftragsverarbeiter,
gemeinsame oder eigenständige Verantwortlichkeit einordnen.
Vertrag gestalten
Vertragliche Regelungen an
Rolle, Risiko und tatsächliche Zusammenarbeit anpassen.
Typische Fehler
Was läuft bei Datenschutz-Verträgen häufig schief?
Viele Probleme entstehen,
weil Vertragsmuster verwendet werden,
bevor die tatsächliche Rollenverteilung geklärt wurde.
Jeder Dienstleister bekommt einen AVV
Auftragsverarbeitung wird angenommen,
obwohl der Anbieter selbstständig verantwortlich handelt.
Vertrag widerspricht der Praxis
Dokumentierte Weisungsbindung besteht,
tatsächlich entscheidet der Anbieter aber selbst.
Unterauftragnehmer übersehen
Weitere Anbieter verarbeiten Daten,
ohne dass ihre Einbindung ausreichend berücksichtigt wurde.
Drittlandtransfer nicht geprüft
Ein AVV ist vorhanden,
internationale Datenübermittlungen wurden aber nicht eingeordnet.
Gemeinsame Verantwortung ignoriert
Mehrere Unternehmen entscheiden gemeinsam,
behandeln sich vertraglich aber wie Auftraggeber und Dienstleister.
Verträge werden nicht aktualisiert
Leistungen, Unterauftragnehmer oder Systeme ändern sich,
Vertragsunterlagen bleiben unverändert.
Rechtsberatung und Datenschutzpraxis
Datenschutz-Verträge mit Dr. Nina und Dr. Thomas Ollinger
Rechtsanwältin Dr. Nina Ollinger, LL.M.
übernimmt die rechtliche Einordnung,
Vertragsgestaltung und Prüfung datenschutzrechtlicher Vereinbarungen.
Dr. Thomas Ollinger ist zertifizierter Datenschutzbeauftragter
und Unternehmensberater.
Er ergänzt die rechtliche Prüfung um die tatsächlichen Prozesse,
Systeme und organisatorischen Abläufe im Unternehmen.
Diese Kombination ist bei Datenschutz-Verträgen besonders wertvoll,
weil der richtige Vertrag nur aus einer korrekt verstandenen
Datenverarbeitung entstehen kann.
Vertragsgestaltung und Rollenprüfung
Datenflüsse und tatsächliche Verarbeitung
Verträge passend zu realen Geschäftsprozessen
Persönlich, telefonisch oder per Videokonferenz
Passende Vertiefung
Weitere Themen zu Datenschutz und Verträgen
Art.-28-Vertrag im Detail
Voraussetzungen, Inhalte
und typische Fehler beim Auftragsverarbeitungsvertrag.
Rollen und Datenflüsse einordnen
Datenschutzrecht,
Organisation und Unternehmenspraxis gemeinsam betrachten.
Bestehende Verträge überprüfen
Dienstleisterstrukturen,
Vertragsunterlagen und tatsächliche Prozesse abgleichen.
Verträge in die DSGVO-Struktur integrieren
Dienstleister,
Verarbeitungstätigkeiten und Verträge nachvollziehbar dokumentieren.
Datenweitergaben transparent machen
Empfänger und relevante Verarbeitungen
korrekt in Informationspflichten abbilden.
Dienstleister laufend kontrollieren
Datenschutzstrukturen
und vertragliche Einbindung kontinuierlich begleiten.
Häufige Fragen
FAQ zu Datenschutz-Verträgen
Wann braucht man einen Auftragsverarbeitungsvertrag?
Wenn ein Auftragsverarbeiter personenbezogene Daten
im Auftrag eines Verantwortlichen verarbeitet,
verlangt Art. 28 DSGVO grundsätzlich eine entsprechende vertragliche Regelung.
Ist jeder externe Dienstleister ein Auftragsverarbeiter?
Nein. Entscheidend ist die tatsächliche Rolle.
Ein Dienstleister kann auch eigenständig Verantwortlicher sein
oder in besonderen Konstellationen gemeinsam verantwortlich handeln.
Wann liegt gemeinsame Verantwortlichkeit vor?
Gemeinsame Verantwortlichkeit kann vorliegen,
wenn zwei oder mehr Beteiligte gemeinsam
über Zwecke und wesentliche Mittel einer Verarbeitung entscheiden.
Braucht gemeinsame Verantwortlichkeit einen Vertrag?
Art. 26 DSGVO verlangt eine Vereinbarung,
in der die gemeinsamen Verantwortlichen
ihre jeweiligen Verantwortlichkeiten transparent festlegen.
Kann man einen Standard-AVV verwenden?
Ja, eine Vorlage kann Ausgangspunkt sein.
Sie sollte aber zur tatsächlichen Leistung,
Datenverarbeitung, Unterauftragnehmerstruktur
und technischen Umsetzung passen.
Reicht ein Auftragsverarbeitungsvertrag für Anbieter in den USA?
Nicht zwingend.
Bei internationalen Datenübermittlungen
können zusätzlich die Anforderungen der Art. 44 ff. DSGVO
und geeignete Übermittlungsinstrumente relevant sein.
Was muss ein Auftragsverarbeitungsvertrag enthalten?
Art. 28 DSGVO enthält konkrete Mindestanforderungen,
unter anderem zu Verarbeitung, Weisungen,
Vertraulichkeit, Sicherheit, Unterauftragnehmern,
Betroffenenrechten und Vertragsende.
Brauchen zwei Verantwortliche immer einen Datenschutz-Vertrag?
Die DSGVO schreibt nicht für jeden Datenaustausch
zwischen eigenständigen Verantwortlichen einen speziellen Vertrag vor.
Je nach Zusammenarbeit kann eine vertragliche Regelung
aber sinnvoll oder aus anderen Gründen erforderlich sein.
Wer sollte Datenschutz-Verträge rechtlich prüfen?
Bei komplexen Rollenfragen,
Vertragsgestaltung oder Haftungsrisiken
ist anwaltliche Datenschutzberatung sinnvoll.
Bei den Datenschutzprofis übernimmt diese Dr. Nina Ollinger, LL.M.
Kann ein Datenschutzbeauftragter Datenschutz-Verträge prüfen?
Ein Datenschutzbeauftragter kann fachlich beraten und Risiken aufzeigen.
Anwaltliche Rechtsberatung und Vertragsgestaltung
erfolgt bei den Datenschutzprofis durch Dr. Nina Ollinger, LL.M.
Offizielle Rechtsgrundlagen
Art. 26 und Art. 28 DSGVO
Die zentralen gesetzlichen Grundlagen für gemeinsame Verantwortlichkeit
und Auftragsverarbeitung finden sich in der
Datenschutz-Grundverordnung
,
insbesondere in Art. 26 und Art. 28 DSGVO.
Die
Österreichische Datenschutzbehörde
nennt sowohl die Vereinbarung bei gemeinsamer Verantwortlichkeit
als auch die Auftragsverarbeitervereinbarung ausdrücklich
als zentrale Compliance-Pflichten von Verantwortlichen.
Rollen klären, Verträge richtig gestalten
Datenschutz-Verträge für Ihr Unternehmen
Sie möchten einen Auftragsverarbeitungsvertrag,
eine Art.-26-Vereinbarung oder andere Datenschutzklauseln prüfen oder neu gestalten?
Wir verbinden anwaltliche Rechtsberatung mit Datenschutz- und Unternehmenspraxis.