Wenn Dritte im Auftrag einer Schule personenbezogene Daten verarbeiten, dann ist das in der Regel eine Auftragsverarbeitung nach Art. 28 DS-GVO und entsprechend ist ein Vertrag nach Abs. 3 fällig, welcher die rechtlichen Verhältnisse festlegt. Was genau ein Vertrag zur Auftragsverarbeitung ist und wann ein solcher erforderlich ist, erklärt der Beitrag Auftragsverarbeitung.
Viele Auftragsverarbeiter bieten ihren Kunden von sich aus die erforderlichen Verträge an. Ist dieses nicht der Fall, geht es trotzdem nicht ohne, denn die DS-GVO verpflichtet den Verantwortlichen, hier die Schule, mit dem Auftragnehmer einen Vertrag abzuschließen. Das folgende Muster kann dafür genutzt werden. Es stammt aus Sachsen-Anhalt1Quelle: https://datenschutz.sachsen-anhalt.de/service/formulare-und-merkblaetter/formulare-oeffentliche-stellen/ In sehr ähnlicher Form findet sich die Vorlage auch bei anderen Aufsichtsbehörden. und wurde von mir etwas ergänzt. Das Besondere, es ist, anders als die meisten im Netz verfügbaren Vorlagen, speziell für öffentliche Stellen gedacht.2Es ist auch möglich, andere Auftragsverarbeitungsverträge, die vor allem für die Wirtschaft ausgearbeitet wurden, zu nutzen. Sie sind allerdings in der Regel deutlich umfangreicher und enthalten Elemente, welche für Schulen keine Relevanz haben.
Eine weitere Vorlage, ebenfalls für öffentliche Stellen gedacht, kommt aus Bayern.3Staatsministerium Bayern – Datenschutzreform-Arbeitshilfen
Eine gute Übersicht über Anbieter von Online-Diensten Website Hosting, Cloud Dienste, Archivierungs- und Aktenvernichtungsdienstleister, CDN-Anbieter und Verträge zur Auftragsverarbeitung gibt es auf Blogmojo. Mittlerweile sind über 200 Anbieter aus dem In- und Ausland erfasst.4Stand 05.03.2020 Die Liste findet sich unter Liste mit AV-Verträgen: 200+ Hoster, Newsletter-Tools etc. im Überblick.
Wenn Anbieter einen Vertrag zur Auftragsverarbeitung anbieten, wie das mehrheitlich der Fall ist, sollte man den Vertrag mit Unterstützung eines schulischen Datenschutzbeauftragten gründlich prüfen. Eine Hilfe dazu gibt die im Juni 2022 auf der Website der Berliner Datenschutzaufsicht veröffentlichte Checkliste Prüfung AVV, die mehrere Aufsichtsbehörden untereinander abgestimmt haben und bei ihren Prüfungen von Auftragsverarbeitungsverträgen nutzen.5Beachten Sie auch die Hinweise zur Checkliste von dritter Seite unter https://datenschutzbeauftragter-hamburg.de/2022/08/berliner-datenschutzaufsicht-veroeffentlicht-checkliste-zur-pruefung-von-auftragsverarbeitungsvertraegen/ Eine Checkliste gibt es auch von dem Fachjuristen Stefan Hansen-Oest. Schulen erhalten damit die Möglichkeit, eine erste Prüfung des AVV eines Anbieters vorzunehmen.
Tipp: Schulen sollten vor Abschluss eines Vertrags zur Auftragsverarbeitung, der ihnen von einem Anbieter vorgelegt wird, immer den für sie zuständigen Datenschutzbeauftragten beratend hinzuziehen.
Stand 06/2023