Hamburgisches - Hamburgische Beauftragte für Datenschutz und

Die wesentliche Folge einer Auftragsdatenverarbeitung in diesem Sinne
ist, dass „der Auftraggeber letztlich die alleinige Verantwortung für die Einhaltung
datenschutzrechtlicher Vorschriften trägt“ (Bü-Drs. 13/3282, zu § 3,
2. Abs. ). Nach § 4 Abs. 3 bleibt die öffentliche Stelle selbst „Daten verarbeitende
Stelle“, obwohl die eigentliche Datenverarbeitung ein Dritter vornimmt.
Der Auftraggeber ist auch Adressat der Rechte der Betroffenen. Die
Datenweitergabe an den Auftragnehmer zum Zwecke der Auftragsdatenverarbeitung
ist für die auftraggebende öffentliche Stelle eine bloße Nutzung,
keine Übermittlung (siehe § 4 Abs. 2 Nr. 4 in Verbindung mit Abs. 4),
der Auftragnehmer kein Dritter im Sinne des § 4 Abs. 4. Aus diesem Grunde
bedarf es für die Weitergabe der Daten an die auftragnehmende Stelle –
z.B. ein Rechenzentrum – auch weder einer gesetzlichen Übermittlungsbefugnis
noch einer Einwilligung.
Eine Ausnahme bildet aufgrund der Definition in § 4 Abs. 4 die Auftragsdatenverarbeitung
außerhalb der Europäischen Union. Auftragnehmer
sind in diesen Fällen rechtlich Dritte. Werden personenbezogene Daten
außerhalb der Mitgliedstaaten der EU verarbeitet, sind die Voraussetzungen
nach § 17 einzuhalten. Für die Nutzung von Google Analytics und des
Cloud Computing sei darauf hingewiesen, dass es nach § 17 anders als
beim Bundesdatenschutzgesetz ausschließlich auf den Ort der Verarbeitung
ankommt und nicht auf den Sitz des Anbieters. Grundsätzlich kann
auch nicht aus rein fiskalischen Gründen in Länder ohne angemessenes
Schutzniveau ausgewichen werden. Der Auftraggeber bleibt für die Einhaltung
des angemessenen Schutzniveaus nach §§ 8, 10 verantwortlich, und
die Betroffenen können nach herrschender Meinung jedenfalls nicht regelhaft
auf das Schutzniveau, etwa auf die Einhaltung technisch-organisatorischer
Maßnahmen, im Wege der Einwilligung verzichten.
Die Verantwortung für den Datenschutz kann die auftraggebende öffentliche
Stelle nur wahrnehmen, wenn sie ihrer Sorgfaltspflicht bei der Auswahl
des Auftragnehmers genügt und die in Abs. 1 S. 4 und Abs. 3 S. 1 gesetzlich
vorgegebenen Vertragsinhalte vereinbart: Festlegung technischer und
organisatorischer Sicherungsmaßnahmen und etwaiger Unterauftragsverhältnisse,
Umschreibung der Zweckbindung der Datenverarbeitung, Bestimmungen
zu Rückgabe / Löschen / Vernichten der übergebenen Daten
nach Auftragsabwicklung, Verpflichtung des Auftragnehmers, die für die
auftraggebende Stelle geltenden Datenschutzvorschriften zu befolgen
und sich – als nicht-öffentliche Stelle in Hamburg – der Überwachung
durch den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit
zu unterwerfen. Zudem stehen der auftraggebenden Stelle
gegenüber dem Auftragnehmer Kontroll- und Weisungsrechte zu.
50