Immer mehr Auftragsverarbeitungsverträge enthalten Klauseln, die dem Dienstleister erlauben, Kundendaten nach deren Anonymisierung für eigene Zwecke zu nutzen. Dieses Phänomen wirkt auf den ersten Blick harmlos – schließlich ist von Anonymisierung die Rede, und auf anonyme Daten findet die Datenschutz-Grundverordnung (DSGVO) bekanntlich keine Anwendung.
Beim genaueren Hinsehen wird jedoch schnell klar, dass zwischen den Klardaten und der Verarbeitung anonymisierter Daten noch ein entscheidender Zwischenschritt liegt: der Anonymisierungsvorgang selbst.
Das eigentliche Problem: Der Weg zur Anonymität
Was beim Lesen eines Auftragsverarbeitungsvertrags leicht übersehen wird, ist dass diese Daten überhaupt erst anonymisiert werden müssen, wenn der Dienstleister anonymisierte Kundendaten zu eigenen Zwecken, etwa für Analysen oder die Produktentwicklung, verarbeiten möchte.
Und genau hier liegt das Dilemma: Die Kundendaten müssen zuerst anonymisiert werden, bevor sie tatsächlich anonym sind. Und die Anonymisierung selbst stellt nach herrschender Ansicht, insbesondere nach dem Positionspapier der Bundesbeauftragten für den Datenschutz und die Informationssicherheit (BfDI), eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO dar.
Die entscheidende Frage lautet daher: Erfolgt die Anonymisierung im Interesse des Verantwortlichen oder des Auftragsverarbeiters?
Wann ist die Eigennutzung unproblematisch?
Hat der Verantwortliche die Anonymisierung selbst vorgenommen oder den Dienstleister ausdrücklich mit der Anonymisierung beauftragt, um eigene Interessen und Zwecke umzusetzen, spricht grundsätzlich nichts dagegen, dass der Dienstleister diese bereits anonymisierten Daten auch für eigene Zwecke nutzt. Denn dann handelt es sich um anonyme Daten, auf die die DSGVO keine Anwendung mehr findet.
Vorausgesetzt, es handelt sich auch tatsächlich um anonyme Daten. Das heißt, dem Dienstleister darf es auch mit erheblichem Aufwand nicht möglich sein, die Daten zu re-identifizieren (sog. relative Anonymisierung, wir berichteten hier und hier).
Die gängige Praxis in Auftragsverarbeitungsverträgen
Anders verhält es sich, wenn der Verantwortliche selbst kein Interesse an einer Anonymisierung hat und diesbezüglich auch keine Weisung an den Auftragsverarbeiter vorliegt. Das dürfte in der Praxis der Regelfall sein.
Und genau hier setzt ein Trick an, den Auftragsverarbeiter häufig einsetzen: Die Anonymisierungsklausel im Auftragsverarbeitungsvertrag wird so formuliert, dass es wirkt, als erteile der Verantwortliche mit seiner Unterschrift die Zustimmung zur Anonymisierung seiner Daten – wobei diese Zustimmung zugleich als Weisung ausgelegt wird, um sich vermeintlich rechtlich abzusichern.
Dass dies häufig unbemerkt bleibt, ist wenig verwunderlich: Verträge zur Auftragsverarbeitung erhalten in der Praxis oft nicht die Aufmerksamkeit, die sie eigentlich verdienen – es sei denn, der Vertrag wird einer sorgfältigen datenschutzrechtlichen Prüfung unterzogen. Hinzu kommt, dass solche Klauseln auf den ersten Blick nicht nur plausibel, sondern auch harmlos klingen: Es werden ja schließlich nur anonyme Daten verarbeitet. Wo soll da das Problem liegen? Die Zustimmung bzw. Unterschrift ist schnell gesetzt.
Die datenschutzrechtlichen Konsequenzen
Was Auftragsverarbeiter meist nicht hören möchten, wenn sie von einem aufmerksamen Datenschutzbeauftragten auf diese Regelung angesprochen werden: In dieser Konstellation werden sie selbst zum Verantwortlichen der Datenverarbeitung (konkret für den Anonymisierungsvorgang) und es treffen sie damit alle datenschutzrechtlichen Pflichten eines Verantwortlichen. Dazu gehören die Dokumentationspflicht, die Informationspflicht gegenüber Betroffenen, der Nachweis einer Rechtsgrundlage etc.
Reagiert der Auftragsverarbeiter auf diesen Hinweis ablehnend, bleibt dem Verantwortlichen häufig nur die Wahl, den Vertrag unter diesen Bedingungen zu akzeptieren und ein Beanstandungsrisiko durch die zuständige Datenschutzaufsichtsbehörde in Kauf zu nehmen oder von einem Vertragsschluss Abstand zu nehmen und sich nach einem anderen Dienstleister umzusehen. Letzteres wird aus Zeitgründen oder anderen praktischen Gründen häufig vermieden.
Wie bewerten die Aufsichtsbehörden diese Konstellation?
Wie uneinheitlich diese Konstellation datenschutzrechtlich bewertet wird, zeigt ein Blick auf die Positionen der Aufsichtsbehörden. Ein Aspekt, der insbesondere für international tätige Unternehmen in der Praxis relevant ist.
Die Konferenz der Datenschutzaufsichtsbehörden (DSK) hat in ihrem Kurzpapier Nr. 13 vom 17.12.2018 einen klaren Standpunkt formuliert, von dem sie bisher nicht abgerückt ist:
„Verstößt ein Auftragsverarbeiter gegen die Pflicht zur weisungsgebundenen Verarbeitung, indem er die Daten des Auftraggebers verordnungswidrig für eigene Zwecke oder Zwecke Dritter verarbeitet, gilt er nach Art. 28 Abs. 10 DS-GVO insoweit selbst als Verantwortlicher – mit allen rechtlichen Folgen, z. B. auch der Pflicht zur Erfüllung der Betroffenenrechte.“ (Seite 3)
Die Commission Nationale de l’Informatique et des Libertés (CNIL) hat 2022 einen Leitfaden veröffentlicht, der eine solche Eigennutzung unter bestimmten Bedingungen für zulässig hält. Grundsätzlich darf auch nach Auffassung der französische Datenschutzaufsichtsbehörde ein Auftragsverarbeiter die ihm anvertrauten Daten nicht für eigene Zwecke wiederverwenden. Eine Ausnahme ist jedoch möglich, wenn der Verantwortliche dies ausdrücklich erlaubt. Allerdings erst nach einem sog. „Kompatibilitätstest“: Der Verantwortliche muss vorab prüfen, ob der neue Verwendungszweck mit dem ursprünglichen Erhebungszweck vereinbar ist. Dabei sind u. a. der inhaltliche Zusammenhang der Zwecke, der Kontext der Datenerhebung, die Art der betroffenen Daten sowie mögliche Risiken für die betroffenen Personen abzuwägen.
Eine pauschale Vorab-Erlaubnis ist nach der CNIL-Leitlinie unzulässig. Die Genehmigung muss stets zweckspezifisch und schriftlich erteilt werden. Ergibt der Kompatibilitätstest keine Vereinbarkeit, darf die Erlaubnis gar nicht erst erteilt werden. Liegt eine wirksame Erlaubnis vor, wird der Auftragsverarbeiter für diese neue Verarbeitung zum eigenständigen Verantwortlichen und trägt damit sämtliche DSGVO-Pflichten (Informationspflicht gegenüber Betroffenen, Festlegung einer eigenen Rechtsgrundlage, Datensicherheit).
Fazit
Die Anonymisierung ist kein Freifahrtschein. Die deutschen Aufsichtsbehörden stufen den Anonymisierungsvorgang selbst als Verarbeitung personenbezogener Daten ein, für die eine Rechtsgrundlage erforderlich ist. Ohne entsprechende Weisung des Verantwortlichen liegt bereits in diesem Schritt ein unzulässiger Exzess des Auftragsverarbeiters vor.
Insbesondere für international tätige Unternehmen mit Auftragsverarbeitern in verschiedenen EU-Ländern kann die unterschiedliche Sichtweise der Behörden in der Praxis relevant werden. Was in Frankreich mit entsprechender Dokumentation zulässig sein kann, bewegt sich in Deutschland in einer rechtlichen Grauzone.
Einig sind sich beide Ansätze jedoch in einem zentralen Punkt: Die Verarbeitung des Auftragsverarbeiters zu eigenen Zwecken begründet dessen eigene datenschutzrechtliche Verantwortlichkeit und ist nicht mehr durch das Auftragsverarbeitungsverhältnis gedeckt – auch dann nicht, wenn die Ergebnisse dieser Weiterverarbeitung, etwa verbesserte Produktfunktionen, letztlich dem ursprünglichen Verantwortlichen zugutekommen.
Und auch darin besteht, wenn auch aus unterschiedlichen Gründen, Einigkeit: Eine pauschale Vorab-Erlaubnis im Auftragsverarbeitungsvertrag ist unzulässig. Die DSK schließt eine Eigennutzung durch den Auftragsverarbeiter grundsätzlich aus, sodass für eine Vorab-Erlaubnis von vornherein kein Raum bleibt. Die CNIL lässt zwar unter strengen Voraussetzungen eine zweckspezifische Erlaubnis zu, erteilt einer pauschalen Vorab-Zustimmung jedoch ebenfalls eine klare Absage. Bei der Prüfung des nächsten Auftragsverarbeitungsvertrags lohnt es sich daher, solchen Klauseln besondere Aufmerksamkeit zu schenken.
Kiki
Mittlerweile lese ich in jedem zweiten Auftragsverarbeitungsvertrag, dass die pbD für eigene Zwecke des Auftragsverarbeiters pseudonymisiert bzw. anonymisiert werden sollen. Dagegen sollte sich mMn jeder Auftraggeber wehren, damit die Auftragnehmer ihre Auftragsverarbeitungsverträge (AVV) endlich datenschutzkonform gestalten müssen und das Risiko für die Auftraggeber gesenkt wird. Das Risiko der re-Identifizierung und das Risiko, dass die Behörde den AVV bemängelt. Solange die Auftragnehmer immer wieder damit durchkommen, wird sich nichts ändern.
Walter
Ein sehr interessanter und praxisrelevanter Beitrag - vielen Dank dafür!
ein Kollege
Das Problem dieser und vieler ähnliche "Ideen" ist es, die grundsätzliche Regelungssystematik der DSGVO zu übersehen.
Das SRM Urteil des EuGH wurde aufgrund dessen durch sog. "Praktiker" vertriebsorientiert bewußt oder unbewußt völlig missinterpretiert und quasi als Startschuss einer neuen Zeit betrachtet.
DAHER: Der Auftragnehmer erhält die personenbezogenen Daten vom Auftraggeber. Dieser hat zuvor im Rahmen einer Datenerhebung von Betroffenen die Bewertung vorgenommen, es handelt sich um personenbezogene Daten.
Der Autraggeber hat die Frage zu beantworten, ob er - wie und vor allem mit wem auch immer - personenbezogene Daten verarbeitet.
Gibt er für seine Verarbeitung Teile der Daten - bestenfalls vollständig (aus Sicht des die Daten empfangenden Auftragnehmers) anonymisiert - an den Dienstleister heraus, bleiben es personenbezogene Daten.
Die Anonymisierung bzw. Datentrennung, d.h. (zudem relative) Auflösung der Verbindung von Teildaten zu den die einzelne Person identfizierenden Daten, ist erstens eine Verarbeitung und zweitens eine technische organisatorische Maßnahmen i.S.d. Art. 32 DSGVO, die dem Schutz der Daten und damit der Herabsetzung von Risiken anläßlich der Verarbeitung zu Gunsten des Betroffenen dient.
Dass sich der Auftraggeber eines Dienstleisters bedient ist ausdrücklich zugelassen, im Falle des Art. 28 sogar privilegiert. Aber es setzt die Verarbeitung personenbezogener Daten voraus und entzieht jener Bewertung nicht durch diese "Auslagerung" die Bewertungsgrundlage.
Zudem darf nicht verkannt werden, dass es sich aus Sicht der Betroffenen um eine risikosteigernde Maßnahme handelt. Mehr Menschen erhalten physikalisch Zugang zu den Daten.
Daher ist dieser Umstand im Rahmen der Schwellenprüfung zu bewerten und idelaler Weise mit risikobegrenzenden Maßnahmen "zu beantworten".
Eine wirkungsvolle Maßnahme wäre die Verarbeitung der Daten durch Dienstleister, ohne dass diese wissen oder erkennen können, welche Betroffenendaten da durch ihre Hände gehen.
Aber durch diese risikobegrenzende Maßnahme werden die Daten nicht plötzlich zu nicht-personenbezogenen Daten.
Schon gar nicht wirkt sich diese Schutzmaßnahme in ihr Gegenteil und eröffnet nunmehr dem Dienste leistenden Empfänger einen Datenschutz, den er frei heben und verwerten kann und darf.
Im Gegenteil: Er darf diese Daten nur streng zweckgebunden und streng weisungsunterworfen, überwacht und nachweislich kontrolliert verarbeiten, möchte der Auftraggeber nicht gegen die Grundsätze der Art. 5, 24, 32 und eben 28 DSGVO verstoßen - wozu ihn Art. 82 und 83 anhalten mögen.
ALSO: Die Auslagerung kann ersichtlich nicht dazu führen, dass die personenbezogene Dateni plötzlich keine mehr sind und frei ausgewertet werden dürfen.
Das Mißverständnis liegt offen zutage und es wäre schön, wenn dies nachvollzogen und beachtet werden könnte.
An Dienstleister- und Subunternehmerketten überlassene personenbezogene Daten bleiben personenbezogene Daten und der Auftraggeber hat lediglich wie vorgeschrieben den Grundsatz der Datenminimierung, etwa durch Datentrennung, und damit die Vorgaben - etwa des Art. 32 - anläßlich der Zusammenarbeit mit einem Dienstleister (womöglich einer ganzen Subunternehmerkette) realisiert. Veranstalten diese Subunternehmer nun mit den Daten, was sie wollen - ungeachtet des Grundsatzes der strengen Zweckbindung sowie ihrer Weisungsunterworfenheit - haftet der Auftraggeber gegenbüer dem BEtroffenen dafür und kann gegenüber seinen Auftragnehmern Regreß nehmen.
Eine Haftung kommt für den Auftraggeber dann nicht in Betracht, wenn er ausreichende technisch organisatorische Maßnahmen sowie auf deren Einhaltung hin eingerichtete Überwachungs- und Kontrollmaßnahmen nachweisen kann. Dann - und nur dann - liegt ein Exzess des Dienstleisters vor, dieser wird selbst zur verantwortlichen Stelle und haftet gegenüber den Betroffenen.
Würde man die gegenteilige Auffassung vertreten, dass es im Falle der Einschaltung von Dienstleistern tatsächlich auf deren Perspektive ankäme, ob - aus ihrer Sicht - personenbezogene Daten vorliegen oder nicht - würden sämtliche Prinzipen der Art. 5 Abs. 1 und 2 ausgehölt werden können und könnten ohne weiteres eben durch derartige Dienstleisterketten umgangen werden.
Die DSGVO wählt aber genau den gegenteiligen Weg. Und im übrigen ist es in Wahrheit nicht die DSGVO, sondern sind es die EU-Grundrechtscharta sowie die EU Verträge (bzw. das Grundgesetzt), denn diese schreiben die Regel vor, keine Verarbeitung personenbezogener Daten ohne rechtfertigende Rechtsgrundlage. Es ist leider immer wieder erstaunlich, wie leicht Ausnahmen zur Regel erklärt werden, um Eigeninteressen durchzusetzen zu suchen, die eben gegen die Regulatorik verstoßen.
Umfang, Reichweite und vor allem Grund und Bedeutung der Regel werden bewußt aus eigenvertrieblichen Motiven heraus verkannt und der angesprochene Verkehr - werberechtlich verfolgbar - in die Irre geführt (vgl. §§ 5ff UWG).
Nein. Die Lösung dieser "Probleme" liegt ganz woanders. In Wahrheit geht es um die (transparente) Ausgestaltung von Leistungsbeziehungen und daher auch gar nicht um datenschutzrechtliche Fragestellungen, sondern die leistungsrechtliche Frage, ob anläßlich der Leistung Daten mit Personenbezug anfallen und verarbeitet werden sollen.
Die Leistungsebene klärt die Grundlagen, das sog. Datenschutzrecht passt sich dem an und legt dann "den Mantel an".
"Der Datenschutz" ist nicht die Grundlage der Verarbeitung, sondern eine Folge anderer Entscheidungen und anderer Kommunikation.
Hilft das jetzt weiter? Ja - aber es zeigt auch, dass die Dinge etwas komplexer sind, als dass man sich das mal eben ein bisschen im Internet zusammen lesen kann.
In diesem Sinne: Der Winter naht - lasst uns den Mantel anziehen ...