Ob die Inanspruchnahme von Leistungen, bei denen ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann, eine Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) dar... [mehr]
Ist ein AVV zwischen Entleiher und Verleiher bei Leihstellungen von Geräten mit möglichen personenbezogenen Daten Dritter erforderlich?
AntwortJa, in der beschriebenen Konstellation ist in der Regel ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. **Begründung:** Wenn ein Unternehmen (Entleiher) Geräte vom Verleiher erhält und auf diesen Geräten bei der Rückgabe personenbezogene Daten Dritter vorhanden sein könnten, verarbeitet der Verleiher im Rahmen der Rücknahme und ggf. Löschung oder Wartung dieser Geräte personenbezogene Daten im Auftrag des Entleihers. Der Verleiher handelt dann als Auftragsverarbeiter, da er die Daten nicht zu eigenen Zwecken, sondern im Auftrag und nach Weisung des Entleihers verarbeitet. **Wichtige Punkte:** - **Art der Datenverarbeitung:** Sobald der Verleiher Zugriff auf personenbezogene Daten erhält (z.B. bei Wartung, Reparatur, Datenlöschung oder -auswertung), liegt eine Verarbeitung im Auftrag vor. - **Pflichten:** Der Entleiher bleibt Verantwortlicher im Sinne der DSGVO und muss sicherstellen, dass der Verleiher als Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen zum Schutz der Daten ergreift. - **AVV-Inhalt:** Der Vertrag muss die in Art. 28 DSGVO geforderten Inhalte umfassen, z.B. Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen, Rechte und Pflichten des Verantwortlichen und des Auftragsverarbeiters. **Ausnahme:** Wenn der Verleiher nachweislich keinen Zugriff auf personenbezogene Daten erhält (z.B. weil der Entleiher die Geräte vor Rückgabe vollständig und sicher löscht), ist kein AVV erforderlich. In der Praxis ist dies jedoch oft schwer sicherzustellen. **Fazit:** Ein AVV ist in den meisten Fällen bei Leihstellungen von Geräten, auf denen personenbezogene Daten Dritter bei Rückgabe vorhanden sein könnten, erforderlich. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_05_auslegung_auftragsverarbeitung.pdf) oder bei der [Aufsichtsbehörde](https://www.lda.bayern.de/de/thema_auftragsverarbeitung.html).
Verwandte Fragen
Ist der Transport unverschlüsselter Festplatten mit personenbezogenen Daten ohne Datenverarbeitung eine Auftragsverarbeitung?
Der reine Transport von unverschlüsselten Festplatten mit personenbezogenen Daten – ohne dass der Transporteur selbst auf die Daten zugreift oder sie verarbeitet – gilt in der Regel *... [mehr]
Was bedeutet 'Empfängern, denen personenbezogene Daten offengelegt werden'?
Der Ausdruck „Empfängern, denen personenbezogene Daten offengelegt werden“ bedeutet, dass bestimmte Personen, Unternehmen oder Organisationen („Empfänger“) Zugang zu... [mehr]
