Auftragsverarbeitungsvertrag

Dies ist ein Gerüst, kein fertiger Vertrag. Es benennt, was geregelt werden muss, und hält die technischen Tatsachen fest, die nur aus der Anwendung selbst kommen können. Der Wortlaut gehört vor der Inbetriebnahme über den Tisch einer Anwältin oder eines Anwalts.

Wer hier mit wem

• Verantwortlicher ist die Kanzlei beziehungsweise das Maklerbüro. Sie entscheidet, welche Unterlagen von wem erhoben werden.
• Auftragsverarbeiter ist der Betreiber dieser Anwendung.
• Ohne einen wirksamen Vertrag nach Artikel 28 Absatz 3 DSGVO darf eine Kanzlei diese Anwendung nicht einsetzen. Das ist keine Formalie, sondern Voraussetzung.

Der Punkt, der über den Standard hinausgeht

Verschwiegenheit nach § 203 StGB

Anwältinnen und Anwälte sind Berufsgeheimnisträger. Seit der Reform von 2017 dürfen sie Dienstleister einschalten — aber nur, wenn diese ausdrücklich zur Verschwiegenheit verpflichtet werden.

Ein üblicher SaaS-Vertrag enthält das nicht. Hier ist zu regeln:

• Verpflichtung des Betreibers und jeder Person, die bei ihm Zugang zu den Systemen hat, auf das Berufsgeheimnis
• Weitergabe dieser Verpflichtung an jeden Unterauftragnehmer
• Folgen eines Verstoßes

Ohne diese Klausel ist der Vertrag für Anwaltskanzleien nicht brauchbar.

Besondere Kategorien personenbezogener Daten

Die Anwendung ist nicht als führendes System für Gesundheitsdaten oder andere besondere Kategorien nach Artikel 9 DSGVO ausgelegt. Ihre Kerntätigkeit ist Dokumentenlogistik.

Ob im Einzelfall solche Daten verarbeitet werden, entscheidet der Verantwortliche durch die Wahl seiner Vorlagen und der einzelnen Positionen. Die Anwendung schreibt das weder vor noch schließt sie es aus.

Beispiel: Die mitgelieferte Vorlage „Sozialrecht Widerspruch" sieht ärztliche Unterlagen als freiwillige Position vor, weil sie im Sozialrecht Gegenstand des Verfahrens sein können. Dass die Position optional und ausdrücklich benannt ist, dokumentiert zugleich die Zweckbindung.

Die technischen und organisatorischen Maßnahmen sind so ausgelegt, dass sie auch für solche Daten angemessen sind — Verschlüsselung, Zugriffsbeschränkung, Protokollierung und Löschfristen. Es gibt keine abgeschwächte Fassung mit dem Argument, es seien ja nur gewöhnliche Daten. Siehe die Anlage.

Daraus folgt für diesen Vertrag:

• Der Verantwortliche entscheidet über den Einsatz und trägt dafür die Verantwortung, einschließlich einer etwaigen Datenschutz-Folgenabschätzung.
• Der Auftragsverarbeiter unterstützt ihn dabei im Rahmen von Artikel 28 Absatz 3 Buchstabe f. Der Umfang dieser Unterstützung ist hier zu regeln.

Was sonst zu regeln ist

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Art der Daten und Kreis der Betroffenen
• Weisungsgebundenheit und Umgang mit rechtswidrigen Weisungen
• Technische und organisatorische Maßnahmen — siehe die eigene Anlage
• Unterauftragnehmer, Zustimmung und Widerspruchsrecht — siehe die eigene Anlage
• Unterstützung bei Betroffenenrechten
• Meldung von Verletzungen des Schutzes personenbezogener Daten
• Löschung und Rückgabe nach Ende des Auftrags (Artikel 28 Absatz 3 Buchstabe g)
• Nachweise und Kontrollrechte des Verantwortlichen

Was die Anwendung dazu beiträgt

Diese Angaben stammen aus dem gebauten Zustand und sind belastbar:

• Ein Löschkonzept mit automatischer Löschung nach Ablauf der Aufbewahrungsfrist
• Datenauskunft und -export für eine Organisation, damit der Verantwortliche seinen Pflichten nach Artikel 15 und 20 nachkommen kann
• Vollständiges Löschen einer Organisation nach Ende des Auftrags
• Ein Ereignisprotokoll, das die Rechenschaftspflicht nach Artikel 5 Absatz 2 stützt
• Die technischen Maßnahmen im Einzelnen — siehe die Anlage

---

Hinweis: Dieser Text ersetzt keine rechtliche Beratung und ist als Vertrag nicht verwendbar. Er ist die Grundlage für das Gespräch mit einer Anwältin.