Was ist Auftragsverarbeitung im Kontext der Aktendigitalisierung?
Auftragsverarbeitung bezeichnet nach Art. 4 Nr. 8 DSGVO die Verarbeitung personenbezogener Daten durch einen Dritten im Auftrag und nach Weisung eines Verantwortlichen. Übergibt eine Kanzlei, ein Architekturbüro oder eine Behörde Akten an einen externen Scandienstleister, verarbeitet dieser regelmäßig personenbezogene Daten – Mandantennamen, Personalnummern, Gesundheitsdaten in Patientenakten oder Eigentümerangaben in Bauakten. Der Dienstleister wird damit zum Auftragsverarbeiter, die beauftragende Stelle bleibt datenschutzrechtlich Verantwortlicher.
Diese Konstellation unterscheidet sich von einer gemeinsamen Verantwortlichkeit oder einer Datenweitergabe an einen eigenständig entscheidenden Dritten: Der Auftragsverarbeiter darf die Daten ausschließlich nach den Weisungen des Verantwortlichen nutzen und keine eigenen Zwecke verfolgen. Genau deshalb schreibt Art. 28 DSGVO für diese Fälle einen schriftlichen oder elektronischen Vertrag vor – den Auftragsverarbeitungsvertrag, kurz AVV.
Praktisch bedeutet das: Der Verantwortliche bleibt gegenüber Betroffenen und Aufsichtsbehörden in der Pflicht, auch wenn die eigentliche technische Verarbeitung ausgelagert ist. Er muss den Dienstleister sorgfältig auswählen, dessen Garantien für geeignete technisch-organisatorische Maßnahmen prüfen und die Zusammenarbeit über die gesamte Vertragsdauer kontrollieren können. Diese Verantwortung lässt sich nicht per Vertrag abbedingen – sie ist Teil der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO und muss im Zweifel gegenüber der Aufsichtsbehörde nachgewiesen werden.
Wann ist ein AVV beim Scannen von Akten erforderlich?
Ein AVV ist immer dann Pflicht, wenn der Dienstleister im Rahmen des Auftrags Zugriff auf personenbezogene Daten erhält oder erhalten kann. Beim Aktenscanning ist das der Regelfall:
- Abholung und Transport der Originalakten durch den Dienstleister
- Scanning und Indexierung, bei der Namen, Aktenzeichen oder andere Identifikatoren erfasst werden
- Zwischenlagerung von Papier oder Digitalisaten vor der endgültigen Übergabe
- Aktenvernichtung nach erfolgtem Scan als abschließender Verarbeitungsschritt
Selbst wenn der Dienstleister nur kurzzeitig Zugriff hat oder Daten verschlüsselt überträgt, begründet der bloße Zugriff auf personenbezogene Daten die AVV-Pflicht. Eine Ausnahme besteht nur, wenn tatsächlich keinerlei Personenbezug vorliegt, was bei Akten in der Praxis selten der Fall ist.
Auch mobile Scan-Einsätze vor Ort, bei denen der Dienstleister mit eigenem Gerät in den Räumen des Auftraggebers scannt, lösen die AVV-Pflicht aus, sobald Mitarbeitende des Dienstleisters personenbezogene Daten einsehen oder verarbeiten – der physische Verbleib der Akten beim Auftraggeber ändert daran nichts. Entscheidend ist allein, ob der Dienstleister im Rahmen seiner Tätigkeit Zugriff auf die Daten erhält, nicht wo die Hardware steht.
Wie wird die AVV-Pflicht organisatorisch in ein Digitalisierungsprojekt eingebettet?
Ein AVV entfaltet nur dann Wirkung, wenn er tatsächlich gelebt wird und nicht als reine Formalie in der Schublade liegt. Dazu gehören in der Praxis:
- Vorabinformation der Projektbeteiligten: Wer beim Auftraggeber Zugriff auf die Akten erhält, sollte über die Vereinbarungen im AVV informiert sein, insbesondere über Weisungsrechte und Meldewege bei Auffälligkeiten.
- Klare Meldewege bei Datenpannen: Der AVV muss regeln, innerhalb welcher Frist der Auftragsverarbeiter eine Datenschutzverletzung an den Verantwortlichen meldet – wichtig, weil die 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde beim Verantwortlichen läuft, unabhängig davon, wo der Vorfall entstanden ist.
- Regelmäßige Kontrolle: Auditrechte aus dem AVV sollten tatsächlich genutzt werden, etwa durch stichprobenartige Vor-Ort-Prüfungen oder die Einsicht in Zertifizierungsnachweise des Dienstleisters.
- Dokumentation der Kontrollen: Jede Prüfung, jedes Audit und jede Nachbesserung sollte schriftlich festgehalten werden, damit die Sorgfaltspflicht des Verantwortlichen im Streitfall belegbar ist – reine mündliche Zusagen reichen dafür nicht aus.
Welche Inhalte muss der Vertrag zwingend regeln?
Art. 28 Abs. 3 DSGVO listet die Mindestinhalte abschließend auf. Ein belastbarer AVV für einen Scandienstleister enthält typischerweise:
| Regelungsbereich | Praktische Ausgestaltung beim Scanning |
|---|---|
| Gegenstand und Dauer | Konkreter Digitalisierungsauftrag, befristet auf Projektlaufzeit oder Dauerbeauftragung |
| Art und Zweck der Verarbeitung | Erfassen, Indexieren, Archivieren, ggf. Vernichten von Papierakten |
| Kategorien betroffener Personen und Daten | Mandanten, Mitarbeitende, Bürger; ggf. besondere Kategorien wie Gesundheitsdaten |
| Technisch-organisatorische Maßnahmen (TOM) | Zutrittskontrolle im Scanzentrum, Transportverschlüsselung, Zugriffsprotokolle |
| Unterauftragsverarbeiter | Liste und Genehmigungsverfahren, z. B. für Cloud-Speicher oder Transportdienstleister |
| Löschpflichten | Vernichtung der Digitalisate und Rückgabe/Vernichtung der Papieroriginale nach Projektende |
| Kontrollrechte | Auditrechte des Verantwortlichen, Nachweispflichten des Auftragsverarbeiters |
Fehlt einer dieser Punkte, ist der AVV lückenhaft und kann bei einer Prüfung durch die Aufsichtsbehörde beanstandet werden – unabhängig davon, ob es tatsächlich zu einem Datenschutzvorfall gekommen ist.
Wie unterscheidet sich der AVV von der Datenschutz-Folgenabschätzung?
Der AVV regelt die vertragliche Grundlage der Zusammenarbeit mit einem externen Dienstleister. Ob für die konkrete Digitalisierung zusätzlich eine Datenschutz-Folgenabschätzung nötig ist, hängt vom Risiko der Verarbeitung ab – etwa bei der Massendigitalisierung von Patientenakten oder anderen besonders sensiblen Datenkategorien. AVV und Folgenabschätzung ergänzen sich: Der AVV bindet den Dienstleister vertraglich, die Folgenabschätzung bewertet und mindert das Risiko des Verarbeitungsvorgangs als Ganzes.
Was sollten Kanzleien, Behörden und Unternehmen vor Vertragsschluss prüfen?
Vor der Beauftragung eines Scandienstleisters lohnt sich eine strukturierte Prüfung:
- Nachweise einfordern: Zertifizierungen wie ISO 27001, Referenzen aus vergleichbaren Branchen, ggf. Nachweise nach BSI TR-RESISCAN.
- TOM-Anlage prüfen: Sind Zutrittskontrolle, Verschlüsselung bei Transport und Speicherung sowie Löschprozesse konkret und nicht nur allgemein beschrieben?
- Subunternehmerkette klären: Werden Transport, Scanning oder Archivierung an Dritte weitergegeben, und sind diese ebenfalls vertraglich gebunden?
- Standort der Verarbeitung: Findet die Verarbeitung ausschließlich in der EU/dem EWR statt, oder sind Drittlandtransfers mit zusätzlichen Garantien nötig?
- Löschfristen verankern: Konkrete, überprüfbare Fristen für Vernichtung von Papier und Digitalisaten nach Projektabschluss.
Ein seriöser Scandienstleister stellt einen vorformulierten AVV bereit und ist bereit, projektspezifische Anpassungen vorzunehmen, statt auf einem starren Standardtext zu bestehen.
Was passiert bei einem Verstoß gegen die AVV-Pflicht?
Fehlt ein AVV oder ist er unvollständig, liegt ein eigenständiger Verstoß gegen Art. 28 DSGVO vor, der von der zuständigen Aufsichtsbehörde mit Bußgeld geahndet werden kann – unabhängig davon, ob die eigentliche Datenverarbeitung ordnungsgemäß verlief. Kommt es zusätzlich zu einer Datenpanne, etwa durch Verlust von Akten beim Transport, erschwert ein fehlender oder lückenhafter AVV die Klärung von Verantwortlichkeiten erheblich und kann die Haftung des Verantwortlichen verschärfen.
Für Kanzleien kommt hinzu, dass ein unzureichend abgesicherter Umgang mit Mandantendaten neben dem Datenschutzrecht auch berufsrechtliche Konsequenzen nach sich ziehen kann, da die anwaltliche Verschwiegenheitspflicht nach § 43a BRAO unabhängig von der DSGVO besteht. Behörden wiederum unterliegen häufig zusätzlichen, landesrechtlich geregelten Anforderungen an die Auftragsvergabe im Umgang mit Bürgerdaten. Wer ein Digitalisierungsprojekt plant, sollte den AVV deshalb als festen Bestandteil der Ausschreibung behandeln und nicht erst nach Auftragserteilung nachreichen. Fragen zur konkreten Vertragsgestaltung klärt unser Team gerne über die Kontaktseite.