Sobald man Server, Hosting, Wartung oder Sicherungen für jemand anderen betreibt und dabei personenbezogene Daten verarbeitet, ist man in aller Regel Auftragsverarbeiter. Dann braucht es einen Vertrag nach Art. 28 DSGVO und zwar vor der Verarbeitung, nicht als Nachtrag.
Es brennt nicht, bis es brennt: Der Vertrag wird fällig, wenn ein Kunde ihn verlangt (spätestens bei dessen eigener Prüfung) oder wenn etwas passiert. Der Aufwand ist überschaubar, wenn die technischen Maßnahmen ohnehin stehen. Keine Rechtsberatung, hier stehen die Bausteine und die Primärquelle (Art. 28 DSGVO); die Prüfung des eigenen Vertrags gehört zu einer Anwältin oder einem Anwalt.
Bin ich das überhaupt?#
| Rolle | Wer entscheidet über Zweck und Mittel? | Beispiel |
|---|---|---|
| Verantwortlicher | du selbst | eigene Kundendatenbank |
| Auftragsverarbeiter | dein Kunde | du betreibst dessen Server, siehst dessen Daten |
| Gemeinsam verantwortlich | beide zusammen | gemeinsamer Dienst mit geteilter Entscheidung |
Wartung, bei der man „theoretisch“ Zugriff hat, zählt: Die Möglichkeit des Zugriffs reicht. Wer Sicherungen fremder Systeme verwahrt, verarbeitet ebenfalls.
Die acht Punkte, die drinstehen müssen#
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Kategorien von Daten und Betroffenen, konkret, nicht „IT-Dienstleistungen“.
- Weisungsbindung: Verarbeitung nur auf dokumentierte Weisung des Kunden.
- Vertraulichkeit der eingesetzten Personen.
- Technische und organisatorische Maßnahmen nach Art. 32, die Anlage, die Technische Maßnahmen belegen beschreibt.
- Unterauftragnehmer: Genehmigungsverfahren, Liste, Weitergabe derselben Pflichten.
- Unterstützungspflichten: bei Betroffenenrechten (Auskunft, Löschung) und bei Meldepflichten.
- Löschung oder Rückgabe nach Ende der Leistung, inklusive der Sicherungen.
- Nachweis- und Prüfrechte des Kunden.
Unterauftragnehmer sind die häufigste Lücke#
Der Punkt, an dem die meisten Verträge unvollständig sind: Fast jeder Betrieb hat Unterauftragnehmer, ohne sie so zu nennen.
- der Rechenzentrums- oder Cloud-Anbieter
- der Ort, an dem die Sicherungen liegen
- ein vorgelagerter Schutz- oder Proxy-Dienst, der den Verkehr entschlüsselt
- Mailversand, Ticketsystem, Fernwartungswerkzeug
- Überwachung, die Protokolle einsammelt
Jeder davon gehört auf die Liste, mit Sitz und Zweck. Wer einen Dienst mit Sitz außerhalb der EU einsetzt, braucht zusätzlich eine Grundlage für die Übermittlung und sollte deren Status im Blick behalten, weil sich diese Grundlagen ändern.
Fast jeder AV-Vertrag enthält eine Meldefrist an den Kunden, üblich sind „unverzüglich, spätestens innerhalb von 24 Stunden“. Diese Zahl ist verhandelbar, bevor unterschrieben wird, danach ist sie bindend. Wer sie akzeptiert, braucht den Ablauf aus Meldefristen und ein Textgerüst aus Kunden informieren, sonst ist die Frist eine Zusage ohne Deckung.
Löschung ist ein technischer Punkt, kein juristischer#
„Nach Beendigung löschen oder zurückgeben“ klingt einfach und ist der Teil, der in der Praxis scheitert:
# Welche Sicherungen enthalten noch Daten dieses Kunden?
borg list ssh://sicherung@ziel/srv/sicherungen/kunde-a | head
# Aufbewahrungsregel prüfen — Löschung wirkt erst, wenn auch die Archive ablaufen
borg prune --dry-run --keep-daily=0 --keep-weekly=0 --keep-monthly=0 ssh://…/kunde-aWer unveränderliche Sicherungen einsetzt (Ransomware zielt zuerst auf die Sicherung), kann per Definition nicht sofort löschen. Das ist kein Widerspruch, aber es gehört in den Vertrag: Löschfrist = Ende der Aufbewahrung, mit Angabe der Dauer.
Was den Vertrag im Alltag trägt#
Ein AV-Vertrag ist so gut wie die Dinge, die er behauptet. Drei Belege, die man ohnehin hat, wenn diese Seite abgearbeitet ist:
- die technischen Maßnahmen mit Datum (Technische Maßnahmen belegen),
- die Bestandsliste, aus der die Unterauftragnehmer hervorgehen (Bestandsliste),
- ein dokumentierter Ablauf für Vorfälle (Die erste Stunde).
Fehlen sie, ist der Vertrag eine Absichtserklärung und genau danach fragt der erste Kunde, der es ernst meint.
Geschrieben aus dem laufenden Betrieb: MRMedia betreibt eigene Hosts, Kundendienste und deren Härtung in der EU. Eine veraltete Anleitung ist hier ein Sicherheitsproblem, kein Schönheitsfehler. Korrekturen bitte über Discord.
