Datenschutz im Service: Logdaten und Fernzugriff🔗

DSGVO-konforme Wartungsverträge🔗

Wartungsverträge verarbeiten oft personenbezogene Daten: Logdaten, Fernzugriff auf Anlagen, Mitarbeiterdaten. Unklare Datenschutzregeln führen zu DSGVO-Verstößen und Bußgeldern bis zu 20 Millionen Euro. Dieser Beitrag zeigt, wie Sie Rollen, Auftragsverarbeitung und technische Maßnahmen richtig regeln.

Zielgruppe: Datenschutzbeauftragte, IT-Leiter und Vertragsmanager in Wartungsunternehmen für Turbinen, Anlagen und Maschinen.

Inhaltsverzeichnis🔗

1. Warum Datenschutz in Wartungsverträgen kritisch ist
2. Die vier wichtigsten Datenschutz-Bereiche
3. Checkliste: DSGVO-konforme Wartungsverträge
4. Häufige Fehler und wie Sie diese vermeiden

Warum Datenschutz in Wartungsverträgen kritisch ist🔗

Wartungsverträge verarbeiten oft personenbezogene Daten: Logdaten von Anlagen, Fernzugriff auf Systeme, Mitarbeiterdaten, Kundendaten. Unklare Datenschutzregeln führen zu DSGVO-Verstößen und Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes.

Typische Datenschutz-Risiken:

• Unklare Rollen (Verantwortlicher vs. Auftragsverarbeiter)
• Fehlende Auftragsverarbeitungsverträge (AVV)
• Unzureichende Protokollierung und Löschfristen
• Unsichere Fernzugriffe ohne Zugriffskontrolle

Rechtlicher Rahmen: Die Datenschutz-Grundverordnung (DSGVO) regelt die Verarbeitung personenbezogener Daten. Art. 28 DSGVO verlangt Auftragsverarbeitungsverträge bei Datenverarbeitung durch Dritte. Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen (TOMs).

Die vier wichtigsten Datenschutz-Bereiche🔗

2.1 Rollen und Auftragsverarbeitung🔗

Typische Formulierung: "Der Auftragnehmer verarbeitet alle Daten im Auftrag des Auftraggebers."

Risiko: Unklare Rollen führen zu falschen Verantwortlichkeiten. Wer ist Verantwortlicher, wer Auftragsverarbeiter? Bei Fehlern haftet der Falsche.

Empfehlung: Definieren Sie klare Rollen: "Der Auftraggeber ist Verantwortlicher für die Verarbeitung personenbezogener Daten im Rahmen der Wartungsleistungen. Der Auftragnehmer ist Auftragsverarbeiter und verarbeitet Daten ausschließlich nach Weisung des Auftraggebers."

Vertragsklausel: "Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für alle personenbezogenen Daten, die im Rahmen der Wartungsleistungen verarbeitet werden. Der Auftragnehmer ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO und verarbeitet Daten ausschließlich nach Weisung des Auftraggebers."

Rechtsgrundlage: Nach Art. 28 DSGVO muss bei Auftragsverarbeitung ein schriftlicher Vertrag geschlossen werden. Die Rollen müssen klar definiert sein.

2.2 Auftragsverarbeitungsvertrag (AVV)🔗

Typische Formulierung: "Der Auftragnehmer beachtet alle Datenschutzbestimmungen."

Risiko: Allgemeine Datenschutzklauseln sind unzureichend. Art. 28 DSGVO verlangt spezifische AVV-Inhalte. Fehlende AVVs führen zu Bußgeldern.

Empfehlung: Schließen Sie einen vollständigen AVV ab: "Die Parteien schließen einen separaten Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen und Pflichten des Auftragnehmers regelt."

Vertragsklausel: "Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage eines separaten Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Der AVV regelt insbesondere: Gegenstand und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen, Pflichten des Auftragnehmers, technische und organisatorische Maßnahmen."

Rechtsgrundlage: Art. 28 DSGVO verlangt zwingend einen schriftlichen Vertrag mit spezifischen Inhalten bei Auftragsverarbeitung.

2.3 Protokollierung und Löschfristen🔗

Typische Formulierung: "Alle Daten werden nach Vertragsende gelöscht."

Risiko: "Nach Vertragsende" ist zu unbestimmt. Keine Unterscheidung zwischen verschiedenen Datentypen. Keine Protokollierung der Löschvorgänge.

Empfehlung: Definieren Sie spezifische Löschfristen: "Logdaten werden nach 30 Tagen gelöscht, technische Dokumentation nach 2 Jahren, Mitarbeiterdaten nach 6 Monaten. Alle Löschvorgänge werden protokolliert und dem Auftraggeber bestätigt."

Vertragsklausel: "Die Löschung personenbezogener Daten erfolgt wie folgt: Logdaten nach 30 Tagen, technische Dokumentation nach 2 Jahren, Mitarbeiterdaten nach 6 Monaten. Alle Löschvorgänge werden protokolliert und dem Auftraggeber schriftlich bestätigt."

Rechtsgrundlage: Art. 17 DSGVO regelt das Recht auf Löschung. Art. 32 DSGVO verlangt Protokollierung als technische Maßnahme.

2.4 Fernzugriff und Zugriffskontrolle🔗

Typische Formulierung: "Fernzugriff erfolgt über sichere Verbindungen."

Risiko: "Sichere Verbindungen" ist unbestimmt. Keine Zugriffskontrolle, keine Protokollierung, keine Zugriffsbeschränkungen.

Empfehlung: Definieren Sie konkrete Sicherheitsmaßnahmen: "Fernzugriff erfolgt ausschließlich über verschlüsselte VPN-Verbindungen mit Zwei-Faktor-Authentifizierung. Alle Zugriffe werden protokolliert. Zugriff ist nur für autorisierte Personen mit definierten Berechtigungen möglich."

Vertragsklausel: "Fernzugriff erfolgt ausschließlich über verschlüsselte VPN-Verbindungen mit Zwei-Faktor-Authentifizierung. Alle Zugriffe werden protokolliert mit Zeitstempel, Benutzer und Zugriffsgrund. Zugriff ist nur für autorisierte Personen mit schriftlich definierten Berechtigungen möglich."

Rechtsgrundlage: Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen für die Sicherheit der Verarbeitung.

Checkliste: DSGVO-konforme Wartungsverträge🔗

Tipp: Nutzen Sie diese Checkliste für jeden Wartungsvertrag. Dokumentieren Sie alle Datenschutzmaßnahmen und Compliance-Nachweise.

Häufige Fehler und wie Sie diese vermeiden🔗

FAQ🔗

<div>
  <p class="font-semibold text-gray-900 mb-2">Aufsichtsbehörden</p>
  <ul class="space-y-1 ml-4 text-xs">
    <li>Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)</li>
    <li>Europäischer Datenschutzausschuss (EDPB): Leitlinien und Stellungnahmen</li>
    <li>Bundesamt für Sicherheit in der Informationstechnik (BSI): Technische Sicherheitshinweise</li>
  </ul>
</div>

<div>
  <p class="font-semibold text-gray-900 mb-1">Weiterführende Informationen</p>
  <ul class="space-y-1 ml-4 text-xs">
    <li>Bundesministerium der Justiz: DSGVO-Leitfäden und FAQ</li>
    <li>Datenschutz-Konferenz: Beschlüsse und Empfehlungen der Aufsichtsbehörden</li>
    <li>Industrie- und Handelskammer: Branchenspezifische Datenschutz-Leitfäden</li>
  </ul>
</div>

<div class="border-t border-gray-300 pt-3 mt-3">
  <p class="text-xs italic text-gray-600">
    <strong>Rechtlicher Hinweis:</strong> Diese Quellen dienen der Information und ersetzen keine individuelle Rechtsberatung für Ihren konkreten Fall.
    Für verbindliche Auskünfte wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.
  </p>
</div>

<div class="border-t border-gray-300 pt-3 mt-3">
  <p class="font-semibold text-gray-900 mb-2 text-xs">Verwandte Artikel:</p>
  <ul class="space-y-1 text-xs">
    <li><a href="/blog/internationale-projekte-recht-gerichtsstand" class="text-brand-primary hover:underline">Internationale Projekte: Recht, Gerichtsort, Sprache</a></li>
    <li><a href="/blog/herstellerbedingungen-fair-verhandeln" class="text-brand-primary hover:underline">Herstellerbedingungen verstehen und fair verhandeln</a></li>
    <li><a href="/privacy" class="text-brand-primary hover:underline">Sicherheit und Datenschutz</a></li>
    <li><a href="/pricing" class="text-brand-primary hover:underline">Preise und Pakete</a></li>
  </ul>
</div>