Praxistipps für die Beendigung einer Auftragsverarbeitung

Das GDD-Kurzpapier 3 bietet praxisorientierte Empfehlungen zur datenschutzkonformen Beendigung von Auftragsverarbeitungsverhältnissen gemäß Art. 28 Abs. 3 S. 2 lit. g) DS-GVO. Es richtet sich an Datenschutzbeauftragte und Verantwortliche, die ihre Pflichten im Zusammenhang mit der Beendigung von Auftragsverarbeitungen verstehen und umsetzen möchten.

Pflichten des Auftragsverarbeiters

Gemäß Art. 28 Abs. 3 S. 2 lit. g) DS-GVO ist der Auftragsverarbeiter verpflichtet, nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder zu löschen oder zurückzugeben und alle vorhandenen Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Diese Verpflichtung basiert auf den Grundsätzen der Datenminimierung und Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. c) und e) DS-GVO.

Eine Ausnahme von dieser Löschpflicht besteht nur, wenn eine gesetzliche Aufbewahrungspflicht, beispielsweise aus steuerrechtlichen Gründen, besteht.

Pflichten des Verantwortlichen / Haftung bei nicht erfolgter Löschung

Obwohl Art. 28 Abs. 3 S. 2 lit. g) DS-GVO keine direkten Pflichten für den Verantwortlichen festlegt, ergibt sich aus Art. 28 Abs. 1 DS-GVO die Verantwortung des Verantwortlichen, nur mit Auftragsverarbeitern zusammenzuarbeiten, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DS-GVO erfolgt.

Darüber hinaus verpflichtet Art. 28 Abs. 3 S. 2 lit. h) DS-GVO den Verantwortlichen, sicherzustellen, dass der Auftragsverarbeiter dem Verantwortlichen alle erforderlichen Informationen zur Verfügung stellt, um die Einhaltung der Pflichten aus der DS-GVO nachzuweisen und Überprüfungen zu ermöglichen. Dies umfasst auch die Überprüfung der ordnungsgemäßen Löschung der personenbezogenen Daten nach Beendigung der Verarbeitung.

Kommt der Auftragsverarbeiter seiner Löschpflicht nicht nach, kann der Verantwortliche haftbar gemacht werden, wenn er seiner Überwachungspflicht nicht ausreichend nachgekommen ist. Es wird empfohlen, klare vertragliche Regelungen zur Löschung der Daten und zur Nachweispflicht des Auftragsverarbeiters zu treffen.

Empfehlungen für die Praxis

• Vertragliche Regelungen: Stellen Sie sicher, dass der Vertrag mit dem Auftragsverarbeiter klare Regelungen zur Löschung oder Rückgabe der personenbezogenen Daten nach Beendigung der Verarbeitung enthält.
• Dokumentation: Dokumentieren Sie alle Schritte der Beendigung der Auftragsverarbeitung, einschließlich der Bestätigung der Löschung oder Rückgabe der Daten.
• Überprüfung: Führen Sie regelmäßige Überprüfungen durch, um sicherzustellen, dass der Auftragsverarbeiter seinen Verpflichtungen nachkommt.
• Schulung: Schulen Sie alle relevanten Mitarbeiter, um ein Bewusstsein für die Bedeutung der datenschutzkonformen Beendigung von Auftragsverarbeitungen zu schaffen.

Für detaillierte Informationen und weiterführende Empfehlungen können Sie das vollständige GDD-Kurzpapier 3 herunterladen:

👉 GDD-Kurzpapier 3: Praxistipps für die Beendigung der Auftragsverarbeitung

(Foto: Song_about_summer – stock.adobe.com)