Wer sich im Datenschutzrecht mit der Abgrenzung von Auftragsdatenverarbeitung und Funktionsübertragung beschäftigt, wird schnell feststellen, dass dies selten zu eindeutigen – schwarzen oder weißen – Ergebnissen führt. Der Versuch, die beiden Institute abzugrenzen, stellt je nach Sachverhalt die 50 Grauschattierungen von Christian Greys Krawatten bzw. Facetten seines Charakters deutlich in den Schatten.
Auftragnehmer weigert sich einen § 11-Vertrag zu unterzeichnen
Was tun, wenn der Auftraggeber der Auffassung ist, es handele sich um eine Auftragsdatenverarbeitung, der Auftragnehmer sich aber weigert einen entsprechenden Vertrag abzuschließen?
Konkret ging es bei einem unserer Mandanten um die Frage, wie die Auslagerung des Flottenmanagements zu bewerten ist – also Serviceleistungen im Hinblick auf die Dienstwagenflotte, etwa Tankkarten-, Schadens-, Bußgeldmanagement, Poolcarverwaltung etc.
Stellungnahme des ULD
Wir haben die Frage der Datenschutzaufsichtsbehörde in Kiel (ULD) vorgelegt, die mit Schreiben vom 18.02.2015 zu der eindeutigen Feststellung gelangt ist, dass entsprechende Dienstleistungen als Funktionsübertragung zu werten sind.
„[Bei einer] Auslagerung eines kompletten Dienstwagenflottenmanagements auf einen Dienstleister […] stehen Aufgaben wie die Versorgung der Mitarbeiter mit Dienstwagen, die Verwaltung von Tankkarten und Bußgeldern sowie das Management des gesamten Fahrzeugpools im Vordergrund. Es handelt sich vorliegend nach Meinung des ULD mithin um eine „Funktionsübertragung“, da Anhaltspunkte für ein streng weisungsgebundenes und kontrolliertes Tätigwerden der Leasinggeberin fehlen.“
Interessant ist, dass das ULD offenbar von einer subjektiven Gestaltungsmöglichkeit der Auftragsdatenverarbeitung ausgeht (sog. „Vertragstheorie“ Taeger/Gabel BDSG § 11 Rdn. 15), indem es feststellt, eine Funktionsübertragung liege vor, weil es an Anhaltspunkten für streng weisungsgebundene Tätigkeiten fehlt. Nach der ‚Vertragstheorie‘ kommt es nicht darauf an, was delegiert wird, sondern wie dies geschieht. Damit haben es die Parteien relativ leicht, durch entsprechende Gestaltung der vertraglichen Beziehungen, die strengen Voraussetzungen der Auftragsdatenverarbeitung zu umgehen.
Rechtsfolgen der Funktionsübertragung
Das hat zur Folge, dass – eine Übermittlungsbefugnis vorausgesetzt – die Verantwortung für die datenschutzkonforme Verarbeitung (mit Ausnahme eines möglichen Auswahlverschuldens) voll beim Auftragnehmer liegt und der Auftraggeber weder auf dem Abschluss eines Vertrages zur Auftragsdatenverarbeitung bestehen, noch die strengen Kontrollpflichten aus § 11 Bundesdatenschutzgesetz einhalten muss.
Beschäftigte des Auftraggebers können datenschutzrechtliche Auskunftsersuchen und Ansprüche bei etwaigen Datenschutzverstößen nur gegenüber Dienstleister durchsetzen.