Weil es uns gelegentlich bei der Überprüfung von Auftragsverarbeitern auffällt, hier nochmal ein Hinweis an alle Auftragsverarbeiter gem. Art. 28 DSGVO!
In den AV-Verträgen finden sich regelmäßig Abschnitte wie dieser:
„Die Auslagerung auf Unterauftragnehmer oder der Wechsel des bestehenden Unterauftragnehmers sind zulässig, soweit der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab schriftlich oder in Textform anzeigt.“
Dies ergibt sich aus Art. 28 Abs. 2 DSGVO:
„Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.“
Leider erleben wir immer wieder, dass die einmal benannten Unterauftragnehmer als „statisch“ betrachtet werden und danach keine Aktualisierung der Übersicht der Unterauftragnehmer mehr erfolgt, oder vielleicht eine PDF-Datei auf der eigenen Webseite aktualisiert wird, jedoch der Verantwortliche (Auftraggeber) keine Information diesbezüglich erhält.
Wie sollten sich Auftragsverarbeiter verhalten?
Daher möchten wir nochmals alle Auftragnehmer daran erinnern, dass eine Informationspflicht besteht. Solange dem Auftraggeber keine wirksame Einspruchsmöglichkeit eingeräumt wird, darf keine Änderung in Bezug auf die Unterauftragnehmer durchgeführt werden.
Die notwendige Information kann natürlich relativ einfach umgesetzt werden, wenn der Auftraggeber eine neue Leistung beauftragt. In diesem Fall könnten die notwendigen Unterauftragnehmer im Rahmen der Leistungsvereinbarung benannt werden.
Schwieriger wird es, wenn eine bestehende Leistung modifiziert wird, z.B. weil ein notwendige Webservices zur Leistungserbringen zukünftig von einem anderen Unterauftragnehmer bereitgestellt werden. Auch bei dieser Änderung des bestehenden Services und der bestehenden Leistungsvereinbarung ist der Auftraggeber über den Wechsel des Unterauftragnehmers zu informieren.
Handlungsempfehlung
Auftragnehmer sollten daher Prozesse einführen, die eine rechtzeitige Information der Auftraggeber ermöglichen und entsprechende Nachweise dazu liefern. Eine beispielhafte Möglichkeit zur Information der Auftraggeber ist die Einführung eines Update-Service per E-Mail, an der sich der Auftraggeber anmelden kann und worüber die Änderungen automatisch kommuniziert werden.
