Eine Physiotherapiepraxis in Leipzig verschickt Terminerinnerungen über ein Newsletter-Tool, die Website läuft bei einem großen Hoster, das Kontaktformular bei einem dritten Anbieter. An drei Stellen liegen damit Patientendaten in fremden Händen. Auf die Frage, wer diese Dienstleister eigentlich vertraglich verpflichtet hat, gibt es in der Praxis keine Antwort, nur ein Achselzucken.
Was ein Auftragsverarbeitungsvertrag regelt
Sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeitet, verlangt Artikel 28 der DSGVO einen Auftragsverarbeitungsvertrag, kurz AVV. Er legt fest, dass der Anbieter Daten nur nach Weisung verwendet, wie er sie schützt, welche Subunternehmer er einsetzt und was nach Vertragsende mit den Daten geschieht. Ohne dieses Dokument ist die Weitergabe schlicht nicht erlaubt, ganz gleich, wie seriös der Anbieter arbeitet. Die Form ist dabei unspektakulär, ein elektronisch geschlossener Vertrag genügt.
Fast jede Website hat Auftragsverarbeiter
Der Hoster speichert Server-Protokolle, das Formular-Tool leitet Anfragen weiter, der Newsletter-Dienst verwaltet Adressen, das Buchungssystem kennt Namen und Termine. Selbst das Werkzeug für den Terminkalender oder die Online-Rechnung zählt dazu, sobald dort Kundennamen liegen. Wer externe Dienste von der Website fernhält, reduziert die Liste, auf null kommt kaum ein Betrieb. Verantwortlich bleibt in jedem Fall der Betreiber der Website, nicht der Dienstleister.
Der Vertrag liegt meist schon bereit
Die gute Nachricht ist unspektakulär. Seriöse Anbieter halten einen fertigen AVV im Kundenportal bereit, oft genügt ein Klick zur Annahme. Verhandelt werden muss nichts. Die eigentliche Arbeit besteht darin, alle Dienste aufzulisten, die Verträge abzuschließen und abzulegen. Eine Stunde Verwaltung, die im Prüfungsfall über Wohl und Wehe entscheidet, denn Datenschutzbehörden haben fehlende Verträge bereits mit Bußgeldern geahndet.
Was Sie tatsächlich prüfen sollten
Lesen muss man den Vertrag nicht Wort für Wort, drei Punkte genügen. Wo stehen die Server, idealerweise in Deutschland oder der EU? Welche Subunternehmer listet der Anbieter auf? Und werden Daten in Drittländer übertragen? Ändert ein Anbieter seine Subunternehmer, muss er Vertragspartner darüber informieren, ein Grund mehr, den Vertrag tatsächlich abzuschließen. Wer diese drei Antworten kennt und dokumentiert, hat mehr für den Datenschutz getan als die meisten seiner Wettbewerber, und es hat keinen Cent gekostet.