15.03.2010 | Aktuelle Gesetzgebung

Auftragsdatenverarbeitung nach § 11 BDSG: Die Novelle und das Forderungsmanagement

von Prof. Dr. Ralf B. Abel, Schleswig/Schmalkalden

Kurz vor Ende der Legislaturperiode hat der Gesetzgeber 2009 das Bundesdatenschutzgesetz (BDSG) in drei getrennten Gesetzen novelliert. Gesetzgeberisches Ziel waren mehr Rechtssicherheit und eine Verbesserung des Datenschutzes insgesamt. Eine der Veränderungen betrifft § 11 BDSG, der die Auftragsdatenverarbeitung regelt. Der Gesetzgeber hat die Anforderungen an die Vertragsgestaltung verschärft und präzisiert. Die neuen Bestimmungen gelten übergangslos bereits ab 1.9.09. Hierdurch besteht auch im Forderungsmanagement akuter Handlungsbedarf.  

Wann liegt Auftragsdatenverarbeitung vor?

Im BDSG hat der Begriff „Auftragsdatenverarbeitung“ eine teils andere und vor allem engere Bedeutung, als dies üblicherweise der Fall ist. Im kaufmännischen Sprachgebrauch wird unter „Auftrag“ oft ein Vertragsangebot verstanden, z.B. zum Abschluss eines Kauf- oder Dienstleistungsvertrags. Im Rechtssinne ist damit generell ein Vertrag gemeint, durch den sich jemand verpflichtet, ein ihm vom Auftraggeber übertragenes Geschäft für diesen unentgeltlich zu besorgen (§ 662 BGB). Wieder anders wird der Begriff oft etwa von Auskunfteien und Inkassounternehmen verwendet, nämlich als Antrag oder Abschluss eines Geschäftsbesorgungsvertrags.  

Demgegenüber versteht das Datenschutzrecht unter Auftragsverhältnis eine privilegierte Form der Auslagerung von Datenverarbeitungs-Prozessen auf eine andere rechtliche Einheit. Zwar enthält das BDSG keine Legaldefinition des Auftrags. Sie ergibt sich aber mittelbar aus § 3 Abs. 7, 8 BDSG, wonach ein Verarbeiter auch verantwortliche Stelle bleibt, wenn er Daten durch Dritte im Auftrag verarbeiten lässt. Der innerhalb der EU/des EWR ansässige Auftragnehmer ist hingegen kraft Gesetzes nicht Dritter. Die Besonderheit dieser Konstruktion besteht also darin, dass der Auftragnehmer im Sinne des BDSG nicht als „Dritter“ gilt und damit zwischen Auftraggeber und Auftragnehmer keine „Übermittlung“ stattfindet. Das hat zur Folge, dass die Datentransfers zwischen beiden Seiten so behandelt werden, wie ein rein innerbetrieblicher Datenaustausch und damit nicht an besondere Zulässigkeitsvoraussetzungen gebunden sind.