Jede Erweiterung, die Daten an einen fremden Server sendet, macht dessen Betreiber zum Auftragsverarbeiter. Das ist kein Sonderfall, sondern der Regelfall bei Formularen, Karten und Analysewerkzeugen.
Wann eine Auftragsverarbeitung vorliegt
Wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung verarbeitet. Das trifft auf Anbieter zu, die Formulardaten empfangen, Zugriffe auswerten oder Inhalte ausliefern, sofern dabei Daten der Besucher verarbeitet werden.
Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf Grundlage eines Vertrags, der Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt.
Ohne diesen Vertrag ist die Verarbeitung nicht zulässig. Er ist vor dem Einsatz zu schließen und nicht, wenn eine Anfrage kommt.
Der zweite Punkt: das Endgerät
Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits gespeicherte Informationen sind nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat.
Die Einwilligung ist nicht erforderlich, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann.
Das sind zwei getrennte Prüfungen. Eine Erweiterung kann eine Auftragsverarbeitung auslösen und zugleich einen einwilligungspflichtigen Zugriff auf das Endgerät, und beide Fragen sind einzeln zu beantworten.
| Punkt | Regel |
|---|---|
| Auftragsverarbeitung | Verarbeitung im Auftrag und nach Weisung |
| Typisch | Formulare, Auswertungen, Auslieferung von Inhalten |
| Vertrag regelt | Gegenstand und Dauer |
| Vertrag regelt | Art und Zweck der Verarbeitung |
| Vertrag regelt | Art der Daten und Kategorien betroffener Personen |
| Vertrag regelt | Pflichten und Rechte des Verantwortlichen |
| Zeitpunkt | vor dem Einsatz |
| Zweite Prüfung | Zugriff auf die Endeinrichtung |
| Grundsatz | Einwilligung erforderlich |
| Ausnahme | unbedingt erforderlich für den gewünschten Dienst |
| Prüffrage 1 bis 3 | ob, welche und an wen Daten gesendet werden |
| Prüffrage 4 | Standort des Servers |
| Prüffrage 5 | liegt ein Vertrag vor |
| Alternative | Karten, Schriften und Videos lokal einbinden |
| Verarbeitungen einer Firmenwebsite | 6 bis 10 |
Was zu prüfen ist
Vor jedem Einsatz 5 Fragen: Werden Daten an fremde Server gesendet, welche, an wen, wo steht der Server, liegt ein Vertrag zur Auftragsverarbeitung vor.
Die vierte Frage entscheidet über zusätzliche Anforderungen bei einer Übermittlung in Drittländer. Sie ist bei vielen verbreiteten Erweiterungen mit ja zu beantworten, ohne dass es auf der Oberfläche erkennbar wäre.
Prüfen Sie außerdem, ob eine Erweiterung überhaupt Daten senden muss. Karten, Schriften und Videos lassen sich häufig lokal einbinden, und damit entfällt die gesamte Frage.
Das Verzeichnis
Führen Sie ein Verzeichnis der Verarbeitungstätigkeiten mit Zweck, Kategorien betroffener Personen, Kategorien von Daten, Empfängern, Fristen und technischen Maßnahmen.
Bei einer üblichen Firmenwebsite sind das 6 bis 10 Verarbeitungen: Aufruf der Seite, Kontaktformular, Newsletter, Terminbuchung, Reichweitenmessung, Karten, Bewertungen.
Rechnen Sie 4 bis 6 Stunden für die erste Erstellung und 1 Stunde je Jahr für die Pflege. Ohne das Verzeichnis ist bei einer Anfrage nicht zu belegen, was überhaupt verarbeitet wird.
Quellen
Häufige Fragen
Wann liegt eine Auftragsverarbeitung vor?
Wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung verarbeitet.
Was muss der Vertrag regeln?
Gegenstand, Dauer, Art und Zweck, Datenarten, betroffene Personen sowie Pflichten und Rechte.
Wann ist eine Einwilligung für den Zugriff aufs Endgerät entbehrlich?
Wenn der Zugriff unbedingt erforderlich ist, damit der ausdrücklich gewünschte Dienst bereitgestellt werden kann.
Wie viele Verarbeitungen hat eine Firmenwebsite?
Üblicherweise sechs bis zehn.