Externe Dienstleister datenschutzkonform einbinden: Ein Praxis-Leitfaden

Kaum ein Unternehmen übernimmt heute noch alle Aufgaben selbst. Viele betriebliche Tätigkeiten werden von externen Dienstleistern übernommen. Dazu gehören etwa der Betrieb von Cloud-Anwendungen, die Lohnabrechnung, das Hosting von Unternehmensdaten oder sogar die Betreuung aller IT-Systeme. Bei solchen Kooperationen werden regelmäßig personenbezogene Daten an externe Stellen übermittelt und von diesen verarbeitet. Welche datenschutzrechtlichen Anforderungen dabei gelten, hängt von der konkreten Ausgestaltung der Zusammenarbeit ab. Für Unternehmen ist es daher unerlässlich, sich mit den datenschutzrechtlichen Anforderungen an die Einbindung externer Dienstleister auseinanderzusetzen.

Um diese Anforderungen greifbar zu machen, nimmt dieser Beitrag wesentliche Themen aus der Praxis in den Blick. Er zeigt, worauf Unternehmen bei der Einbindung externer Dienstleister achten sollten und an welchen Stellen häufig praktische Probleme entstehen.​

Das Vorhaben als Ausgangspunkt

Bevor man sich mit dem Dienstleister näher beschäftigt, lohnt sich ein Blick auf das eigene Vorhaben. Denn vor der möglichen Einbindung eines Dienstleisters sollte jedes Unternehmen klären, welchem Zweck die Verarbeitung dient, ob dieser rechtlich zulässig ist und welche Daten dafür tatsächlich benötigt werden.

Wie wichtig dieser erste Schritt ist, zeigen beispielsweise folgende Konstellationen:

• Ein Dienstleister bietet an, zur Leadgenerierung Ansprechpersonen in Unternehmen zu recherchieren und ihnen im Namen des Auftraggebers Werbe-E-Mails zu senden. Damit entsteht der Eindruck, der Dienstleister eröffne eine rechtlich zulässige Möglichkeit zur Ansprache potenzieller Neukunden. Tatsächlich setzt dieses Vorgehen aber eine vorherige ausdrückliche Einwilligung der Empfänger voraus (§ 7 Abs. 2 Nr. 2 UWG), die in der Regel nicht vorliegen dürfte.
• Ein Unternehmen nutzt für die Anmeldung zu Online-Schulungen ein externes Tool. Das Tool verlangt neben Namen und E-Mail-Adresse standardmäßig auch die Telefonnummer und die vollständige Anschrift als Pflichtangaben. Vor der Nutzung ist jedoch zu prüfen, ob diese Daten für die Anmeldung und Durchführung der Schulung tatsächlich erforderlich sind. Die Voreinstellungen des Tools dürfen nicht dazu führen, dass mehr Daten erhoben werden als benötigt.
• Ein Unternehmen möchte ein externes KI-System zur Unterstützung im Bewerbungsverfahren einsetzen. Ob dies rechtmäßig ist und welche Anforderungen zu beachten sind, hängt jedoch nicht primär vom System, sondern von dessen konkreten Einsatzzwecken ab.

Eine sorgfältige inhaltliche und datenschutzrechtliche Prüfung des eigenen Vorhabens schafft somit die Grundlage dafür, den Dienstleister später datenschutzkonform einsetzen zu können. Bei KI-Systemen sind zusätzlich stets die Vorgaben der KI-Verordnung zu beachten.

Die datenschutzrechtliche Rolle des Dienstleisters

Die datenschutzrechtliche Rolle des Dienstleisters entscheidet darüber, wer für die ausgelagerte Datenverarbeitung verantwortlich ist, welche Pflichten damit einhergehen und welche vertraglichen Grundlagen erforderlich sind. Entscheidend ist dabei nicht, was ein Vertrag festlegt oder wie sich ein Dienstleister selbst bezeichnet, sondern, wie die Zusammenarbeit tatsächlich ausgestaltet ist.

Im Zusammenhang mit externen Dienstleistern ist die Rolle des Auftragsverarbeiters nach Art. 28 DSGVO besonders relevant. In diesem Fall verarbeitet der Dienstleister personenbezogene Daten ausschließlich zur Erbringung einer beauftragten Leistung und nur auf Weisung des auftragenden Unternehmens. Typische Beispiele sind das externe Hosting der Unternehmenswebsite, eine CRM-Cloud‑Anwendung oder ein System zum Bewerbungsmanagement. Die Einzelheiten der Verarbeitung sowie die Pflichten der Parteien sind vor Verarbeitungsbeginn in einem Auftragsverarbeitungsvertrag (AVV) festzulegen, für den Art. 28 Abs. 3 DSGVO bestimmte Mindestinhalte vorgibt.

In der Praxis stoßen wir beim Vertragsabschluss häufig auf verschiedene Probleme:

• Viele Anbieter von SaaS-Produkten stellen einen AVV nur im Rahmen bestimmter Bezahlmodelle zur Verfügung, vereinzelt sogar nur für Großkunden. Unternehmen sollten deshalb vorab klären, ob ein AVV angeboten wird und ob dafür zusätzliche Kosten anfallen.
• Bei etablierten Plattformanbietern werden die Vertragsbedingungen oft einseitig vorgegeben. Bestehen relevante Lücken bei den Mindestinhalten, sollte geprüft werden, ob alternative Dienstleister in Betracht kommen.
• Einige Dienstleister verlangen für Leistungen, zu denen sie datenschutzrechtlich gegenüber dem auftraggebenden Unternehmen verpflichtet sind, eine zusätzliche Vergütung. Ein solches Vorgehen ist zwar umstritten, in der Praxis aber durchaus üblich. Daher sollten Unternehmen vorab prüfen, ob etwaige Zusatzkosten akzeptiert werden können, wenn die entsprechende Unterstützungsleistung des Dienstleisters in Anspruch genommen werden muss.
• Informationen zu Änderungen beim Dienstleister, etwa neue Unterauftragsverarbeiter oder veränderte Sicherheitsmaßnahmen, sind teilweise an eine Anmeldung zu einem E-Mail-Verteiler gekoppelt. Vor Vertragsschluss sollte in diesen Fällen sichergestellt sein, dass die notwendigen Informationskanäle von den zuständigen Personen oder Stellen abonniert werden.
• Ein AVV wird nicht immer als eigenständiges Dokument bereitgestellt. Häufig sind die Regelungen Teil der AGB und werden mit deren Annahme automatisch Vertragsbestandteil. Unternehmen sollten deshalb kritisch prüfen, welche Verträge für die gewünschten Leistungen gelten und diese entsprechend dokumentieren.
• Manche Dienstleister nehmen in ihrem AVV eigene Verarbeitungszwecke auf, etwa die Verbesserung der Sicherheit des Dienstes oder das Training von KI-Modellen. Allein durch die Aufnahme in den AVV wird die Verarbeitung jedoch nicht zur Auftragsverarbeitung. Um insbesondere Haftungsrisiken zu begrenzen, sollten Unternehmen deshalb stets kritisch prüfen, in welchem Umfang tatsächlich eine Auftragsverarbeitung vorliegt.
• Statt eines Vertrages stellen manche Dienstleister Informationen zur beauftragten Verarbeitung lediglich in einer Datenschutzerklärung bereit. Eine datenschutzrechtliche Vereinbarung ersetzt dies jedoch regelmäßig nicht.

Externer Datenschutzbeauftragter // Newsletter abonnieren // Hinweisgebersystem

Drittlandtransfer

Sobald personenbezogene Daten in Länder außerhalb der EU oder des EWR sog. Drittländer übermittelt werden, sind zusätzliche Anforderungen bzw. Garantien (Art. 44 ff. DSGVO) zu beachten. Diese Garantien sollen sicherstellen, dass personenbezogene Daten auch außerhalb der EU gleichwertig geschützt sind. Welche Anforderungen gelten und für wen, hängt von der konkreten Ausgestaltung der Übermittlung ab.

Bei der praktischen Umsetzung lohnt sich ein genauerer Blick:

• Viele Dienstleister bieten ein EU-Hosting an und versprechen dabei, dass die Daten nur in der EU verarbeitet werden. Dies erweckt den Eindruck, es finde kein Drittlandtransfer statt. Dieses Versprechen kann allerdings ein Trugschluss sein. Entscheidend ist nämlich nicht nur der Verarbeitungsort, sondern auch der Sitz des Vertragspartners des Datenempfängers. Liegt dieser in einem Drittland (z.B. USA), findet rechtlich dennoch ein Drittlandtransfer statt. Unternehmen sollten daher immer sowohl die konkrete Verarbeitungssituation als auch die Vertragsgestaltung berücksichtigen.
• Nicht immer muss das auftraggebende Unternehmen die zusätzlichen Anforderungen selbst umsetzen. Erfolgt die Drittlandübermittlung ausschließlich zwischen einem Auftragsverarbeiter und einem Unterauftragsverarbeiter, ist grundsätzlich der Auftragsverarbeiter für die Vereinbarung geeigneter Garantien verantwortlich. Das auftraggebende Unternehmen sollte dennoch darauf achten, dass diese Pflichten vertraglich festgehalten und an den Unterauftragsverarbeiter weitergegeben werden.
• Standarddatenschutzklauseln (SCC) sind eine gängige Garantie für die Legitimation von Drittlandtransfers. Diese Klauseln werden jedoch nicht immer wirksam in den Vertrag einbezogen. Die Vertragsunterlagen verweisen teilweise nur pauschal auf die SCC, ohne die passenden Module und Optionen auszuwählen oder die erforderlichen Anlagen vollständig auszufüllen. Werden die Klauseln zudem inhaltlich verändert, kann dies dazu führen, dass sie nicht mehr als Standarddatenschutzklauseln anerkannt werden können.
• Häufig fehlen in den Dienstleisterverträgen Informationen zum genauen Verarbeitungsort oder zum genauen Sitz des Dienstleisters bzw. der eingesetzten Unterauftragsverarbeiter. Dadurch bleibt unklar, ob personenbezogene Daten überhaupt in ein Drittland gelangen. Unternehmen sollten sich deshalb insbesondere eine aussagekräftige Liste der Unterauftragsverarbeiter vorlegen lassen und bei unvollständigen Angaben nachhaken.

Technische und organisatorische Maßnahmen

Für den Schutz personenbezogener Daten muss jedes Unternehmen geeignete technische und organisatorische Maßnahmen ergreifen (Art. 32 DSGVO). Wird ein Auftragsverarbeiter eingesetzt, muss sichergestellt werden, dass auch dieser ein angemessenes Sicherheitsniveau einhält. Welche Maßnahmen konkret erforderlich sind, hängt insbesondere von Art und Sensibilität der Daten sowie dem Risiko der Verarbeitung ab.

In der Praxis zeigen sich immer wieder folgende Stolperfallen:

• Dienstleister stellen nur pauschal formulierte TOM‑Dokumente bereit, die nicht erkennen lassen, welche konkreten Maßnahmen tatsächlich umgesetzt wurden.
• Es fehlen Schutzmechanismen, die man üblicherweise voraussetzt, etwa ein belastbares Berechtigungskonzept, Mandantentrennung oder die Protokollierung administrativer Zugriffe.
• ISO‑Zertifikate können hilfreich sein, belegen aber nicht automatisch, dass das konkrete Produkt und der konkrete Leistungsumfang angemessen abgesichert sind. Ein Blick auf den Scope der Zertifikate lohnt sich in jedem Fall!
• Die ergriffenen Maßnahmen machen einen vernünftigen Eindruck, das TOM-Dokument wurde jedoch schon länger nicht aktualisiert. Da beim Sicherheitsniveau auch der aktuelle Stand der Technik zu berücksichtigen ist (Art. 32 Abs. 1 DSGVO), sollten Unternehmen prüfen, ob die beschriebenen Maßnahmen noch aktuell sind und bei Bedarf weitere Informationen anfordern.
• Füllt ein Dienstleister ein vom Unternehmen vorgegebenes TOM-Formular aus, werden darin nicht selten mehr Maßnahmen bestätigt, als tatsächlich umgesetzt sind. Die Angaben sollten deshalb nicht ungeprüft übernommen, sondern ggf. mit dem Dienstleister abgestimmt werden.

Zusätzlich hängt das Sicherheitsniveau bei vielen SaaS-Diensten auch von den eigenen Einstellungen ab. Mehrfaktor-Authentifizierung, Rollen- und Berechtigungskonzepte oder ein europäischer Serverstandort sind zwar oft technisch verfügbar, müssen aber erst aktiv eingestellt/konfiguriert werden.

Weitere Prüf-, Dokumentations- und Informationspflichten

Unternehmen müssen die Einhaltung datenschutzrechtlicher Anforderungen nicht nur erfüllen, sondern auch nachweisen können (Art. 5 Abs. 2 DSGVO). Daher sollten alle relevanten Dokumente und Entscheidungen rund um den Dienstleister-Einsatz ausreichend dokumentiert werden, zum Beispiel in einer Datenschutz-Management-Software.

Rund um den Einsatz des externen Dienstleisters sind, wie bei jeder Verarbeitung, die grundlegenden Datenschutzpflichten zu berücksichtigen:

• Wird ein neues Tool eingeführt oder ein Prozess ausgelagert, sollte geprüft werden, ob die Verarbeitung bzw. der Dienstleister im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) bereits abgebildet ist oder ob eine Aktualisierung erforderlich wird.
• Bei Verarbeitungen mit voraussichtlich hohem Risiko ist außerdem zu klären, ob eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) durchzuführen ist. Typische Auslöser sind etwa umfangreiche Verarbeitungen sensibler Daten oder der risikobehaftete Einsatz neuer Technologien.
• Alle erforderlichen Dokumente zur Einbindung von Dienstleistern sollten dokumentiert werden, etwa der AVV mit Anlagen, die Liste etwaiger Unterauftragsverarbeiter, die TOM sowie vorhandene Garantien und Bewertungen zum Drittlandtransfer.
• Schließlich muss die Einbindung des Dienstleisters auch in den Datenschutzerklärungen (Art. 13, 14 DSGVO) abgebildet werden. Dieser Punkt wird in der Praxis häufig zu spät bedacht, ist aber regelmäßig eine Zulässigkeitsvoraussetzung für die Datenverarbeitung.
• Gleiches gilt für die Umsetzung weiterer Betroffenenrechte. Geht mit der Beauftragung des Dienstleisters ein neues Tool einher, muss sichergestellt sein, dass die im neuen System gespeicherten Daten verändert, exportiert und gelöscht werden können.

Sie möchten wissen, ob Ihre Dienstleister datenschutzkonform eingebunden sind und wo noch Handlungsbedarf besteht?  Melden Sie sich gerne hier.

Laufende Kontrolle

Mit dem Abschluss eines AVV ist die datenschutzrechtliche Prüfung nicht abgeschlossen. Unternehmen sollten auch während des laufenden Vertragsverhältnisses kontrollieren, ob die vereinbarten Anforderungen eingehalten werden und ob sich die Verarbeitung oder ihr Risiko verändert hat.

Drei Aspekte verdienen dabei besondere Aufmerksamkeit:

• Insbesondere bei den TOM genügt es nicht, sich einmalig auf die Angaben des Dienstleisters zu verlassen. Unternehmen sollten sich in angemessenen Abständen, etwa einmal jährlich, davon überzeugen, dass die beschriebenen Maßnahmen aktuell sind und umgesetzt werden.
• Neue Funktionen werden teilweise genutzt, ohne ihre Auswirkungen auf die Datenverarbeitung zu berücksichtigen. Das gilt insbesondere für nachträglich aktivierte KI-Funktionen, Analysewerkzeuge oder Schnittstellen. Vor ihrer Nutzung sollte geprüft werden, ob dadurch neue Daten verarbeitet, weitere Zwecke verfolgt oder zusätzliche Dienstleister eingebunden werden. Außerdem ist zu klären, ob die bisherige Prüfung und vertragliche Einbindung des Dienstleisters diese Änderungen bereits abdeckt oder ob der Dienstleister erneut geprüft und Vereinbarungen angepasst werden müssen.
• Spätestens bei Beendigung des Vertragsverhältnisses muss der Dienstleister die personenbezogenen Daten grundsätzlich löschen oder zurückgeben. Da Daten teilweise dennoch in Sicherungskopien oder anderen Systemen verbleiben, sollte das auftraggebende Unternehmen kontrollieren und sich bestätigen lassen, dass die Löschung oder Rückgabe vollständig umgesetzt wurde. Andernfalls können daraus Datenschutzverstöße und Bußgelder resultieren.

Fazit 

Externe Dienstleister sind aus dem Unternehmensalltag nicht mehr wegzudenken und können Unternehmen bei der Erfüllung betrieblicher Aufgaben entlasten. Die Verantwortung für die damit verbundene Datenverarbeitung lässt sich jedoch nicht vollständig abgeben. Sie muss für das Unternehmen nachvollziehbar und kontrollierbar bleiben. Ein Vertrag oder ein europäischer Verarbeitungsstandort können dabei wichtige Bausteine sein. Eine datenschutzkonforme Einbindung erfordert jedoch mehr.

Wer die Einbindung externer Dienstleister datenschutzkonform gestalten möchte, sollte sich insbesondere folgende Fragen stellen:

• Datenschutzkonformes Vorgehen: Steht fest, zu welchem Zweck die Verarbeitung erfolgt, ob sie rechtmäßig ist und welche Daten dafür tatsächlich benötigt werden?
• Verantwortlichkeit: Inwiefern soll der Dienstleister die Verarbeitung übernehmen; ausschließlich auf Weisung, eigenverantwortlich oder gemeinschaftlich?
• Vertragsgrundlage: Liegt vor Beginn der Verarbeitung eine datenschutzrechtliche Vereinbarung mit allen gesetzlichen Mindestinhalten vor?
• Drittlandtransfer: Müssen aufgrund eines Drittlandtransfers zusätzliche Anforderungen beachtet werden?
• Datensicherheit: Sind die notwendigen technischen und organisatorischen Maßnahmen zur Datensicherheit von allen Parteien ausreichend, aktuell und tatsächlich umgesetzt?
• Dokumentation: Wurden alle zur datenschutzkonformen Umsetzung notwendigen Schritte dokumentiert?
• Kontrolle: Gibt es Prozesse, die sicherstellen, dass die Zusammenarbeit mit dem Dienstleister regelmäßig überprüft wird?