Jede Branche hat ihre eigenen Stolpersteine. Wir kennen sie, weil wir sie in der Region täglich sehen.
- ProduktionMaschinennetze trennen, Hallen-WLAN, Wiederanlauf
- LogistikScanner, mehrere Standorte, Erreichbarkeit
- HandelKassensysteme, Filialen, Shop-Anbindung
- ArztpraxenVertraulichkeit belegen, Praxissoftware, TI
- KanzleienRechtssichere Archivierung, Mandantentrennung
- Kommunen & StadtwerkeNIS2, Netztrennung, Nachweise für die Aufsicht
- DienstleisterMobiles Arbeiten, Cloud, Zusammenarbeit
Eigene Leute an drei Standorten in Mittelfranken – deshalb können wir im Notfall denselben Tag zusagen.
Hand in Hand
Alles rund um Ihre IT – aus einer Hand
Von der Leitung im Serverraum bis zur KI im Arbeitsalltag: zwölf Bereiche, für jeden davon eigene Spezialisten. Was BES nicht selbst macht, übernimmt ein Haus der L&S Unternehmensgruppe – abgestimmt, nicht weitergereicht.
Auftragsverarbeitung (DSGVO)
Auftragsverarbeitung liegt vor, wenn ein Unternehmen personenbezogene Daten durch einen Dienstleister nach seinen Weisungen verarbeiten lässt. Die DSGVO verlangt dafür einen Vertrag mit festgelegten Pflichten – den Auftragsverarbeitungsvertrag (AVV).
Was ist Auftragsverarbeitung?
Nach Art. 28 DSGVO ist ein Auftragsverarbeiter jede Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet – etwa ein IT-Dienstleister mit Zugriff auf Ihre Server, ein Cloud-Anbieter, ein Backup-Rechenzentrum oder ein Lohnbüro. Der Verantwortliche bleibt für die Daten haftbar, muss den Dienstleister sorgfältig auswählen und die Zusammenarbeit vertraglich regeln.
Der AV-Vertrag legt fest: Gegenstand und Dauer der Verarbeitung, Art der Daten, Weisungsrecht, Vertraulichkeit, technische und organisatorische Maßnahmen (TOM), Umgang mit Unterauftragnehmern, Unterstützung bei Betroffenenrechten und Vorfällen, Löschung nach Vertragsende sowie Kontrollrechte des Auftraggebers.
Warum Auftragsverarbeitung für den Mittelstand relevant ist
Praktisch jedes Unternehmen setzt Auftragsverarbeiter ein, oft ohne es bewusst zu registrieren: Fernwartung durch das Systemhaus, Microsoft 365, Cloud-Backup, Newsletter-Dienst, Telefonanlage in der Cloud. Für jeden dieser Dienste braucht es einen AVV – und einen Nachweis, dass Sie die Sicherheit des Dienstleisters geprüft haben.
Was passiert, wenn nicht? Ein fehlender oder unvollständiger AVV ist ein formeller Verstoß, der bei Beschwerden oder Prüfungen der Aufsichtsbehörde regelmäßig bußgeldbewehrt ist. Schwerwiegender: Kommt es beim Dienstleister zu einem Datenabfluss, haften Sie als Verantwortlicher mit – und müssen belegen, dass Sie sorgfältig ausgewählt und kontrolliert haben. Besonders sensibel ist dies für Arztpraxen, Kanzleien, Personaldienstleister und alle, die Gesundheits- oder Finanzdaten verarbeiten.
Was BES daraus macht
BES Systemhaus ist als IT-Dienstleister selbst Auftragsverarbeiter für seine Kunden. Wir stellen einen vollständigen AV-Vertrag mit dokumentierten technischen und organisatorischen Maßnahmen bereit und legen offen, welche Unterauftragnehmer – etwa das deutsche Rechenzentrum der TERRA Cloud – beteiligt sind. Diese Unterlagen gehören zum Standard unserer Managed IT-Services. Bei Cloud-Projekten wie Microsoft 365 oder Cloud-Backup und Disaster Recovery prüfen wir für Sie, ob die Verträge und Nachweise der Anbieter vollständig vorliegen. Die datenschutzrechtliche Bewertung – Verzeichnis der Verarbeitungstätigkeiten, Prüfung der AVVs, Rolle des Datenschutzbeauftragten – übernimmt unsere Schwesterfirma CMD Datenschutz & Compliance. Für Praxen mit besonders schützenswerten Daten haben wir Hinweise unter IT für Arztpraxen zusammengestellt.
Hinweis: Dieser Beitrag ist keine Rechtsberatung. Die Vertragsgestaltung sollten Sie mit Ihrem Datenschutzbeauftragten oder einem Juristen abstimmen.
Häufige Fragen
Braucht jeder IT-Dienstleister einen AV-Vertrag?
Sobald der Dienstleister Zugriff auf Systeme mit personenbezogenen Daten hat – und das ist bei Fernwartung, Server-Administration oder Backup praktisch immer der Fall –, ja.
Was sind technische und organisatorische Maßnahmen (TOM)?
Die konkreten Schutzvorkehrungen des Dienstleisters: Zugriffskontrolle, Verschlüsselung, Backup, Protokollierung, Schulung der Mitarbeitenden, Zutrittsregelungen. Sie sind Anlage des AVV und sollten regelmäßig aktualisiert werden.
Wer prüft, ob der Dienstleister die Zusagen einhält?
Sie als Verantwortlicher – in der Praxis über Zertifikate, Testate, Fragebögen oder Auditrechte. Ein externer Datenschutzbeauftragter unterstützt bei dieser Kontrolle.