Auftragsverarbeitungsvertrag (AVV) im Facility Management
Facility Management verarbeitet zunehmend personenbezogene Daten über digitale Systeme. CAFM, Service Desk, Arbeitsplatzbuchung, Besuchermanagement, Zutrittskontrolle, Videoüberwachung oder cloudbasierte FM-Anwendungen können Daten von Beschäftigten, Nutzern, Besuchern und Fremdfirmen enthalten. Werden solche Daten durch einen externen Dienstleister im Auftrag und nach dokumentierten Weisungen des Auftraggebers verarbeitet, ist grundsätzlich eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich.
Der AVV sollte dabei nicht als formale Standardanlage behandelt werden. Er muss zur tatsächlichen technischen und organisatorischen Leistung passen.
Auftragsverarbeitungsvertrag für ITK-Dienstleistungen
Nicht jede externe Datenverarbeitung ist Auftragsverarbeitung. Vor Abschluss eines AVV sollte deshalb geklärt werden:
Wer bestimmt den Zweck der Verarbeitung?
Wer legt die wesentlichen Mittel fest?
Verarbeitet der Dienstleister Daten ausschließlich nach Weisung?
Nutzt er Daten auch für eigene Zwecke?
Sind mehrere Verantwortliche beteiligt?
Werden weitere Unterauftragnehmer eingesetzt?
Der Europäische Datenschutzausschuss stellt klar, dass die Rollen von Verantwortlichem und Auftragsverarbeiter aus den tatsächlichen Umständen der Verarbeitung abzuleiten sind.
Pflichtinhalte des AVV
Art. 28 DSGVO verlangt insbesondere Regelungen zu Gegenstand und Dauer, Art und Zweck der Verarbeitung, Arten personenbezogener Daten, betroffenen Personengruppen sowie zu Rechten und Pflichten des Verantwortlichen.
Regelungsfeld
Typische Vertragsinhalte
Verarbeitung
Systeme, Prozesse und Datenarten
Weisungen
Verarbeitung nur nach dokumentierter Weisung
Vertraulichkeit
Verpflichtung der eingesetzten Personen
Sicherheit
Technische und organisatorische Maßnahmen
Unterauftragnehmer
Genehmigung und Verpflichtung von Subprozessoren
Betroffenenrechte
Unterstützung bei Auskunft, Löschung oder Berichtigung
Datenschutzvorfälle
Meldung und Unterstützung bei der Bearbeitung
Kontrollen
Informations-, Prüf- und Auditrechte
Vertragsende
Rückgabe oder Löschung personenbezogener Daten
Technische und organisatorische Maßnahmen konkretisieren
Der AVV sollte die tatsächlich eingesetzten Schutzmaßnahmen nachvollziehbar beschreiben. Dazu können gehören:
Rollen- und Berechtigungskonzepte,
Mehrfaktor-Authentisierung,
Verschlüsselung,
Protokollierung,
Backup und Wiederherstellung,
Mandantentrennung,
Patch- und Schwachstellenmanagement,
physische Sicherung von Rechenzentren,
Verfahren für Sicherheitsvorfälle.
Pauschale Aussagen wie „angemessene Sicherheitsmaßnahmen werden eingehalten“ sind für eine wirksame Vertragssteuerung wenig hilfreich.
Unterauftragnehmer transparent beherrschen
Cloud- und SaaS-Anbieter greifen häufig auf weitere Hosting-, Support- oder Plattformanbieter zurück. Art. 28 DSGVO verlangt für weitere Auftragsverarbeiter grundsätzlich eine vorherige spezifische oder allgemeine schriftliche Genehmigung; ihnen müssen im Wesentlichen dieselben Datenschutzpflichten auferlegt werden.
Für das Facility Management sollte deshalb ein aktuelles Subprozessorenregister verfügbar sein, aus dem Unternehmen, Leistung und Verarbeitungsort hervorgehen.
AVV mit dem Hauptvertrag verbinden
Datenschutzvereinbarung und ITK-Hauptvertrag müssen widerspruchsfrei zusammenwirken. Besonders abzustimmen sind:
Bei einem CAFM-Hostingvertrag sollten beispielsweise Datenrückgabe und Migration im Hauptvertrag sowie Löschung beziehungsweise Rückgabe personenbezogener Daten im AVV konsistent geregelt werden. Die bestehende FM-Connect-Systematik sieht den AVV entsprechend als Ergänzung zu CAFM- und IT-Dienstleistungsverträgen vor.
Exit und Anbieterwechsel vorbereiten
Am Vertragsende muss eindeutig geregelt sein, ob personenbezogene Daten nach Wahl beziehungsweise Weisung des Verantwortlichen zurückgegeben oder gelöscht werden und wie dies nachgewiesen wird. Art. 28 DSGVO verlangt hierfür eine entsprechende Regelung.
Für die Vertragsgestaltung ergibt sich damit eine klare Logik:
Datenverarbeitung erfassen → Rollen bestimmen → AVV-Pflicht prüfen → Weisungen und TOM festlegen → Subprozessoren kontrollieren → Auditrechte sichern → Vorfälle regeln → Exit und Löschung vorbereiten.
So wird der Auftragsverarbeitungsvertrag zu einem funktionalen Bestandteil der FM- und ITK-Governance und nicht lediglich zu einer standardisierten Datenschutzanlage.
