Art. 28 DSGVO: Auftragsverarbeitung erklärt
Im Artikel 28 der Datenschutzgrundverordnung (DSGVO) wird die Auftragsverarbeitung von Daten rechtlich festgelegt. Doch was genau bedeutet das? Auftragsverarbeitung kommt immer dann ins Spiel, wenn ein Unternehmen beauftragt wird, personenbezogene Daten zu verarbeiten. Das beauftragte Unternehmen agiert dann als Auftragsverarbeiter, welche nach Art. 4, Nr. 7 sowohl natürliche als auch juristische Personen oder Behörden sein können.
Beispiele für Auftragsverarbeitung:
-
Externe Lohn- und Gehaltsabrechnungen
-
Fernwartung oder externer IT-Support
-
Cloud-Anbieter
-
Webhosts
-
Externe Buchhaltung
-
Callcenter für Kundenanrufe
Sobald ein Auftragsverarbeitungsverhältnis nach Art. 28 vorliegt und externe Dienstleister die Möglichkeit haben, auf personenbezogene Daten zuzugreifen, müssen rechtliche Grundlagen geschaffen werden. Mittels eines Vertrages zwischen Verantwortlichem und Auftragsverarbeiter werden entsprechende rechtliche Rahmenbedingungen festgehalten, die im Umgang mit diesen personenbezogenen Daten zu beachten sind. Im Auftragsverarbeitungsvertrag (AVV) werden unter anderem Rechte und Pflichten beider Parteien, als auch Zweck der Datenverarbeitung festgelegt.
Was muss in einen AVV?
Wichtig ist, dass ein Auftragsverarbeitungsvertrag vor der eigentlichen Auftragsverarbeitung abgeschlossen wird, um alle rechtlichen Grundlagen zu erfüllen. Da im Falle eines Konflikts der Parteien die Verantwortlichkeiten klar definiert sein müssen, ist es wichtig, einen AVV entsprechend eindeutig und rechtskonform aufzusetzen.
Was gehört in einen AVV nach Art. 28 DSGVO:
-
Gegenstand des Verarbeitungsauftrags(Beschreibung der Tätigkeit des Auftragsverarbeiters)
-
Zweck der Verarbeitung (Zulässigkeit der angestrebten Datenverarbeitung)
-
Rechte und Pflichten des Auftragnehmers/Auftraggebers
-
Dauer des Vertrags
-
Vertraulichkeitsverpflichtung (Einhaltung der Vertraulichkeit bei der Verarbeitung von Daten)
Nach schriftlicher oder elektronischer Festlegung der Verarbeitung muss der Auftraggeber die Einhaltung des Auftragsverarbeitungsvertrags regelmäßig prüfen und übernimmt die Verantwortung darüber, dass die Datenschutzvorschriften eingehalten werden. Bei Nichteinhaltung drohen saftige Strafen, und zwar bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes! Um diese zu vermeiden und der DSGVO zu entsprechen, muss der Auftraggeber zudem darauf achten, dass in der Datenschutzerklärung auf der Website aufgeführt wird, wer Nutzerdaten weiter verarbeitet.
Datenschutz im Atlassian Ökosystem
Vor allem im Umgang mit Cloud-Services spielen oben genannte Faktoren eine wichtige Rolle, da es hier häufig zu einer Ausgangssituation für eine Auftragsverarbeitung kommt. Auch bei der Nutzung von Jira und Confluence müssen gängige DSGVO-Regelungen beachtet werden, was oft übersehen wird, jedoch enorm wichtig ist.
Als weltweit führender Experte für die europaweite DSGVO im Atlassian Ökosystem stellen wir Ihnen ein komplettes Toolkit zur Verfügung, um auf einfache und schnelle Weise vollständig DSGVO-konform zu werden. Verwenden Sie Data Protection and Security Toolkit for Jira und Data Protection and Security Toolkit for Confluence. Mit diesen Apps können Sie Ankündigungen erstellen, Einwilligungen erhalten, persönliche Benutzerdaten zu anonymisieren, Regeln für die Automatisierung festzulegen, auf Statistiken zuzugreifen und vieles mehr – alles, was Sie brauchen, um sich bezüglich der Datenschutzgrundverordnung abzusichern.
Testen Sie unsere Tools ganz unverbindlich 30 Tage kostenlos auf dem Marketplace und Ihre Jira und Confluence Instanzen werden im Handumdrehen DSGVO-konform.
Auf unsere Datenverarbeitung können Sie vertrauen – probieren Sie es selbst aus!
