Auftragsverarbeitung (§ 80 SGB X)

Was bedeutet „Auftragsverarbeitung“?

Lässt eine Organisation personenbezogene Daten durch einen Dienstleister verarbeiten – etwa durch einen Anbieter von Cloud-Software, ein Rechenzentrum oder einen IT-Dienstleister –, liegt meist Auftragsverarbeitung vor. Der Dienstleister handelt nur nach Weisung; verantwortlich bleibt der Auftraggeber. Art. 28 DSGVO verlangt einen Vertrag, der unter anderem Gegenstand, Dauer, Art der Daten, technische und organisatorische Maßnahmen und den Einsatz von Unterauftragsverarbeitern regelt.

Für Sozialdaten stellt § 80 SGB X zusätzliche Anforderungen: Die Verarbeitung ist grundsätzlich nur im Inland, in der EU, in gleichgestellten Staaten oder in Drittstaaten mit Angemessenheitsbeschluss zulässig, und der Verantwortliche muss den Auftrag seiner Aufsichtsbehörde vorher anzeigen. Ob § 80 SGB X für freie Träger unmittelbar gilt, ist umstritten; häufig wird er über Vereinbarungen mit dem Jugendamt für entsprechend anwendbar erklärt. Prüfen Sie deshalb vor der Auswahl einer Software den Auftragsverarbeitungsvertrag und die Liste der Unterauftragsverarbeiter.

Auch: AVV, Auftragsverarbeitungsvertrag, Art. 28 DSGVO