Änderungen bei Unterauftragsverarbeitern

Unter welchen Voraussetzungen die Liste von Unterauftragsverarbeitern über eine Webseite vorgehalten werden kann, erfahren Sie, wenn Sie weiterlesen.

Immer mehr Auftragsverarbeiter verweisen in den eigenen Verträgen zur Auftragsverarbeitung (AV-Vertrag) auf einen dynamischen Link, um ihren Informationspflichten gem. Art. 28 Abs. 2 DSGVO gegenüber dem Verantwortlichen nachzukommen. 

Informationspflicht des Auftragsverarbeiters 

Auftragsverarbeiter müssen gem. Art. 28 Abs. 3 lit. d) DSGVO die in Art. 28 Abs. 2 und 4 DSGVO genannten Bedingungen für die Inanspruchnahme der Dienste weiterer Auftragsverarbeiter (sog. Unterauftragsverarbeiter) einhalten. Das bedeutet z.B. auch, dass der Auftragsverarbeiter gem. Art. 28 Abs. 2 DSGVO keine Unterauftragsverarbeiter hinzuziehen darf, ohne den Verantwortlichen zu informieren (bei Vorliegen einer allgemeinen schriftlichen Genehmigung) oder dessen Genehmigung einzuholen, wenn eben diese allgemeine schriftliche Genehmigung, also die vorherige Zustimmung, nicht vorliegt.  

 Gängige Regelungen in AV-Verträgen 

Zumeist enthalten AV-Verträge eine allgemeine Genehmigung und die Parteien vereinbaren daher, dass der Auftragsverarbeiter den Verantwortlichen über Änderungen beim Einsatz von Unterauftragnehmern informiert und diesem die Möglichkeit eines Einspruchs einräumt. Auch enthalten AV-Verträge in der Regel eine Liste mit zu den zu diesem Zeitpunkt durch den Auftragsverarbeiter eingesetzten Unterauftragsverarbeitern. Dabei ist die gängigste Variante eine Auflistung von Unterauftragsverarbeitern in Form einer Tabelle, die Unternehmensbezeichnung, Standort und die Art der Dienstleistung des Unterauftragsverarbeiters beinhaltet. Immer häufiger wird in AV-Verträgen aber auch über einen dynamischen Link auf eine Auflistung verweisen, die sich auf der Webseite des Auftragsverarbeiters befindet. Kann aber eine Auflistung auf einer Webseite eine ausreichende Information des Verantwortlichen darstellen? Die Antwort ist umstritten und gerichtlich noch ungeklärt. Mindestanforderungen an diesen Ansatz sollten aber sein:  

1. Dass der Link abrufbar bleibt und die Internetadresse der Webseite, auf der sich die Liste befindet, nicht verändert wird. 
2. Dass der Verantwortliche in einen Newsletter eingetragen wird, um automatisch über anstehende Änderungen informiert werden zu können. 
3. Dass der Newsletter im Anhang auch immer die aktuelle Auflistung der Unterauftragnehmer nebst beabsichtigten Änderungen hieran beinhaltet. 
4. Dass die Anmeldedaten zum Newsletter ausschließlich für die in Art. 28 Abs. 2 DSGVO genannten Pflichten genutzt werden. 

 Fazit 

Ganz unabhängig davon, wie der Auftragsverarbeiter den Verantwortlichen über Änderungen zu Unterauftragnehmern informiert, kommt es letztendlich darauf an, dass der Verantwortliche den Überblick über den Einsatz von Unterauftragnehmern behalten kann und diesem ausreichend Zeit eingeräumt wird, bei berechtigten Gründen Einspruch gem. Art. 28 Abs. 2 S. 2 DSGVO erheben zu können. Welche Voraussetzungen Gerichte und Aufsichtsbehörden den Informationspflichten gem. Art. 29 Abs. 2 DSGVO zuweisen, bleibt aber noch abzuwarten. Wir halten Sie auf dem Laufenden. 

Sollten Sie weitere Fragen zum Thema Unterauftragsverhältnisse haben, stehen wir Ihnen gerne zur Verfügung.