Im Arbeitsalltag jonglieren viele Verantwortliche eine Vielzahl an Aufgaben: Projekte, Meetings, operative Tätigkeiten und administrative Pflichten. In diesem Umfeld geraten Prozesse schnell in den Hintergrund, die auf den ersten Blick unscheinbar wirken – darunter auch der Moment, in dem Unternehmen eine Auftragsverarbeitung beenden.
Auftragsverarbeitungsverhältnisse werden häufig routiniert abgeschlossen, begleitet und schließlich beendet. Während der Fokus in der Praxis meist auf der Auswahl geeigneter Dienstleister, den vertraglichen Regelungen und der laufenden Kontrolle liegt, wird ein entscheidender Punkt oft unterschätzt: das, was nach dem Vertragsende passiert.
Gerade hier liegt jedoch ein wesentliches datenschutzrechtliches Risiko. Denn mit der Beendigung der Zusammenarbeit endet nicht automatisch die Verantwortung für personenbezogene Daten.
Was passiert mit personenbezogenen Daten nach Vertragsende?
Die DSGVO schafft hier eine klare rechtliche Grundlage. Nach Art. 28 Abs. 3 S. 2 lit. g) DSGVO ist der Auftragsverarbeiter verpflichtet, nach Abschluss der Verarbeitungsleistungen:
- alle personenbezogenen Daten entweder zu löschen
- oder an den Verantwortlichen zurückzugeben
Darüber hinaus müssen auch alle vorhandenen Kopien gelöscht werden, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Diese Verpflichtung ergibt sich nicht allein aus dem Vertrag, sondern auch aus zentralen Datenschutzgrundsätzen wie der Datenminimierung und der Speicherbegrenzung.
Verantwortung endet nicht mit dem Auftrag
Das bedeutet konkret:
- Sicherstellungspflicht: Der Verantwortliche muss sicherstellen, dass die Daten tatsächlich gelöscht oder zurückgegeben werden
- Überwachungspflicht: Ein Verlassen auf vertragliche Regelungen allein reicht nicht aus
- Kontrollpflicht: Die Umsetzung muss aktiv überprüft werden
Kommt es zu einer unzulässigen weiteren Speicherung oder Nutzung personenbezogener Daten, kann auch der Verantwortliche haftbar gemacht werden.
Haftungsrisiko: Warum beide Parteien betroffen sind
Auch wenn der Auftragsverarbeiter gegen seine Löschpflicht verstößt, bedeutet das nicht automatisch eine Entlastung für den Verantwortlichen.
Nach Art. 82 DSGVO haften beide Parteien gegenüber den betroffenen Personen grundsätzlich als Gesamtschuldner. Das hat konkrete Folgen:
- Betroffene können frei entscheiden, wen sie in Anspruch nehmen
- In der Praxis wird häufig zunächst der Verantwortliche kontaktiert
Eine Entlastung ist nur möglich, wenn nachgewiesen werden kann, dass sämtliche Überwachungs- und Kontrollpflichten erfüllt wurden. Hier greift die Rechenschaftspflicht.
Typische Schwachstellen in der Praxis
In vielen Organisationen entstehen Risiken weniger durch Vorsatz als durch fehlende Struktur. Typische Schwachstellen sind:
- Unklare oder ungenaue vertragliche Regelungen zur Löschung
- Fehlende Überprüfung, ob Daten tatsächlich gelöscht wurden
- Nicht eingeholte oder nicht dokumentierte Löschbestätigungen
- Unklare Verantwortlichkeiten beim Vertragsende
- Fehlende oder nicht etablierte Prozesse zur Beendigung der Auftragsverarbeitung
Das Risiko entsteht also häufig nicht durch einzelne Fehler, sondern durch Lücken im Gesamtsystem.
Löschung und Rückgabe aktiv kontrollieren
Wichtige Schritte in der Praxis
- Klare vertragliche Regelungen treffen (Organisationspflicht):
Bereits zu Beginn sollte festgelegt werden, ob Daten gelöscht oder zurückgegeben werden und in welcher Form dies erfolgt. - Löschung aktiv einfordern (Nachweispflicht):
Nach Vertragsende sollte eine schriftliche Bestätigung oder ein Löschprotokoll angefordert werden. - Dokumentation sicherstellen (Dokumentationspflicht):
Alle Schritte sollten nachvollziehbar festgehalten werden, um der Rechenschaftspflicht gerecht zu werden. - Überprüfung einplanen (Sorgfaltspflicht):
Bleibt eine Bestätigung aus oder bestehen Zweifel, sollte aktiv nachgefasst werden. - Verantwortlichkeiten definieren (Organisationspflicht):
Zuständigkeiten für das Vertragsende müssen intern klar geregelt sein – ebenso auf Seiten des Auftragsverarbeiters. - Mitarbeitende sensibilisieren:
Schulungen helfen, das Thema über den gesamten Lebenszyklus der Zusammenarbeit hinweg im Blick zu behalten.
Rückgabe statt Löschung – was zu beachten ist
Wird die Rückgabe der Daten gewählt, ist zu beachten:
Der Auftragsverarbeiter muss die personenbezogenen Daten vollständig herausgeben. Anschließend besteht weiterhin die Pflicht zur Löschung beim Dienstleister.
Ohne klare vertragliche Regelungen kann die Rückgabe zusätzlichen Aufwand verursachen und mit Kosten verbunden sein. Auch hier zeigt sich, wie wichtig klare Vereinbarungen bereits zu Beginn der Zusammenarbeit sind.
Fazit
Das zentrale Risiko liegt nicht nur in der Verarbeitung selbst, sondern insbesondere in dem, was danach passiert. Fehlende Kontrollen, unklare Prozesse oder unzureichende Dokumentation können dazu führen, dass Verantwortliche trotz ausgelagerter Verarbeitung haftbar werden.
Deshalb gilt:
- Denken Sie Datenschutz von Anfang bis zum Ende
- Etablieren Sie klare Prozesse für das Vertragsende
- Definieren Sie Zuständigkeiten
- Kontrollieren Sie die Umsetzung der Löschpflichten aktiv
- Lassen Sie sich Löschung oder Rückgabe nachweisen
So stellen Sie sicher, dass der Datenschutz nicht mit dem Vertragsende endet.
