Auftragsverarbeitungsvertrag für E-Mail: was Sie wissen müssen
Was ist ein Auftragsverarbeitungsvertrag für E-Mail?
Ein Auftragsverarbeitungsvertrag (englisch: DPA, Data Processing Agreement) ist ein Vertrag, der regelt, wie ein Auftragsverarbeiter mit personenbezogenen Daten umgeht, die er in Ihrem Namen verarbeitet. Die DSGVO beschreibt in Artikel 28, was ein solcher Vertrag enthalten muss.
Die Idee dahinter ist klar: Verarbeiten Sie selbst personenbezogene Daten und schalten Sie dafür eine externe Partei ein, bleiben Sie für das verantwortlich, was mit diesen Daten geschieht. Der Auftragsverarbeitungsvertrag legt schriftlich fest, welche Vereinbarungen dazu gelten, sodass es nicht bei losen Versprechen bleibt. Denken Sie an den Zweck der Verarbeitung, die Sicherheitsmaßnahmen, Geheimhaltung und was geschieht, wenn die Zusammenarbeit endet.
Warum es zählt
Für wen mit Daten von Kunden, Patienten oder Mitgliedern arbeitet, ist das keine Formalität. Verarbeiten Sie personenbezogene Daten und lagern Sie einen Teil davon aus, erwartet die DSGVO, dass Sie die Vereinbarungen ordentlich festlegen. Ohne Vertrag ist schwer nachzuweisen, dass Sie sorgfältig vorgehen, und die Verantwortung liegt trotzdem bei Ihnen.
Es gibt auch einen praktischen Punkt. Aufsichtsbehörden und Kunden fragen immer öfter danach. Können Sie zeigen, dass Sie mit Ihren Auftragsverarbeitern Vereinbarungen auf Papier haben, stehen Sie stärker da. „Das haben wir mündlich geregelt“ ist eine Antwort, die Fragen aufwirft.
Wichtig zu nuancieren: Nicht jede Situation verlangt einen Auftragsverarbeitungsvertrag, und die genauen Anforderungen hängen davon ab, wer welche Rolle spielt. Das macht es zu Maßarbeit, und manchmal ist es sinnvoll, es kurz prüfen zu lassen.
Für kleine Organisationen ist das oft ein verwirrender Punkt. Sie hören, dass Sie „einen Auftragsverarbeitungsvertrag haben müssen“, aber selten wofür genau. In der Praxis geht es um die Parteien, die in Ihrem Namen Daten verarbeiten: denken Sie an ein Buchhaltungsprogramm, einen Newsletter-Dienst oder Ihren E-Mail-Anbieter, je nachdem, wie Sie diese nutzen. Für jeden davon ist die Frage einzeln, ob es einen Vertrag geben sollte. Den Überblick zu behalten, welche Parteien das sind, ist dann der erste und wichtigste Schritt.
Wie es funktioniert
Um zu bestimmen, ob Sie einen brauchen, hilft es, die Rollen auseinanderzuhalten:
- Verantwortlicher. Das sind Sie, wenn Sie bestimmen, warum und wie personenbezogene Daten verarbeitet werden. Sie haben die Regie.
- Auftragsverarbeiter. Das ist eine Partei, die personenbezogene Daten in Ihrem Namen verarbeitet, nach Ihren Anweisungen, ohne selbst den Zweck davon zu bestimmen.
- Die Vereinbarung. Verarbeitet eine externe Partei Daten in Ihrem Namen, kann die DSGVO einen Auftragsverarbeitungsvertrag verlangen. Darin stehen unter anderem der Gegenstand und Zweck, die Arten von Daten, die Sicherheitsmaßnahmen, Geheimhaltung, das Einschalten von Unterauftragsverarbeitern, und was am Ende der Zusammenarbeit geschieht.
Ob ein E-Mail-Anbieter in Ihrer Situation als Auftragsverarbeiter gilt, hängt davon ab, wie Sie den Dienst nutzen und welche Daten darin verarbeitet werden. Das ist genau die Art von Abwägung, für die Sie im Zweifel einen Spezialisten zurate ziehen. Was „DSGVO-konform“ weiter beinhaltet, lesen Sie in DSGVO-konforme E-Mail: was bedeutet das.
Worauf Sie achten müssen
Ein paar Punkte und Missverständnisse:
- Denken, dass Sie immer einen Auftragsverarbeitungsvertrag brauchen. Das ist nicht so. Es hängt von den Rollen und davon ab, was genau verarbeitet wird. Überstürzen Sie nichts, aber ignorieren Sie es auch nicht.
- Die Rollen durcheinanderbringen. Eine Partei ist nicht automatisch „Auftragsverarbeiter“. Manchmal ist ein Dienstleister für bestimmte Daten selbst Verantwortlicher. Diese Einstufung bestimmt, welche Vereinbarungen passen.
- Einen Standardtext blind unterschreiben. Ein Vertrag muss zu Ihrer Situation und den Daten passen, die Sie verarbeiten. Lesen Sie, was darin steht, und prüfen Sie, ob die genannte Sicherheit und die Unterauftragsverarbeiter stimmen.
- Denken, dass der Vertrag Ihre Arbeit übernimmt. Papier allein macht Sie nicht compliant. Ihre eigene Arbeitsweise, Sicherheit und Sorgfalt zählen weiterhin mit. Siehe auch die DSGVO für kleine Organisationen.
Nochmals: Das sind allgemeine Anhaltspunkte, kein abschließendes juristisches Urteil für Ihre Situation. Ob und welchen Auftragsverarbeitungsvertrag Sie brauchen, ist Maßarbeit; ziehen Sie im Zweifel einen Spezialisten oder die belgische Datenschutzbehörde (GBA) zurate.
Und bei Mailflux
Mailflux hostet Ihre E-Mail in Europa, DSGVO-konform, auf Ihrer eigenen Domain, mit verschlüsselten Verbindungen, Filterung gegen Spam, Phishing und Malware, automatischen Back-ups und optional Zwei-Faktor-Authentifizierung. Ihr Inhalt wird nicht für Werbung gescannt. Das ist die technische und organisatorische Grundlage, auf der Sie weiter aufbauen.
Brauchen Sie für Ihre Situation einen Auftragsverarbeitungsvertrag, oder möchten Sie wissen, welche Vereinbarungen möglich sind? Nehmen Sie dann gerne Kontakt mit Mailflux auf, dann schauen wir gemeinsam, was möglich ist. Was in Ihrem Fall erforderlich ist, bleibt abhängig von Ihrer Situation und den Rollen; ziehen Sie im Zweifel einen Spezialisten zurate. Mehr über die Hosting-Seite lesen Sie in europäisches E-Mail-Hosting auf Ihrer eigenen Domain.
FAQ
Häufig gestellte Fragen
Brauche ich immer einen Auftragsverarbeitungsvertrag für meine E-Mail?
Nicht immer. Es hängt von den Rollen und davon ab, was genau verarbeitet wird. Verarbeitet eine externe Partei personenbezogene Daten in Ihrem Namen, kann die DSGVO einen Vertrag verlangen. Was in Ihrem Fall gilt, ist Maßarbeit; ziehen Sie im Zweifel einen Spezialisten zurate.
Was muss in einem Auftragsverarbeitungsvertrag stehen?
Die DSGVO (Artikel 28) nennt unter anderem den Gegenstand und Zweck der Verarbeitung, die Arten von Daten, die Sicherheitsmaßnahmen, Geheimhaltung, Vereinbarungen über Unterauftragsverarbeiter und was am Ende der Zusammenarbeit geschieht. Die genaue Ausgestaltung hängt von Ihrer Situation ab.
Bietet Mailflux einen Auftragsverarbeitungsvertrag an?
Nehmen Sie dafür Kontakt mit Mailflux auf, dann schauen wir gemeinsam, was für Ihre Situation möglich ist. Die Grundlage, europäisches DSGVO-konformes Hosting mit verschlüsselten Verbindungen, steht in jedem Fall. Was weiter erforderlich ist, ist Maßarbeit; ziehen Sie im Zweifel einen Spezialisten zurate.
Was ist der Unterschied zwischen einem Auftragsverarbeiter und einem Verantwortlichen?
Der Verantwortliche bestimmt, warum und wie personenbezogene Daten verarbeitet werden; das sind Sie, für Ihre eigenen Kunden oder Mitglieder. Ein Auftragsverarbeiter verarbeitet diese Daten in Ihrem Namen, nach Ihren Anweisungen. Wer welche Rolle hat, bestimmt, ob und welche Vereinbarungen die DSGVO erwartet.