Beendigung der Auftragsverarbeitung

Gemäß Art. 28 Abs. 3 Satz 2 Buchst. g DSGVO muss ein Vertrag bzw. das andere Rechtsinstrument vorsehen, dass der Auftragsverarbeiter nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt und die vorhandenen Kopien löscht, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

Diese Vertragsbedingungen sollen gewährleisten, dass die personenbezogenen Daten nach dem Ende der „Erbringung von Dienstleistungen im Zusammenhang mit der Verarbeitung“ angemessen geschützt werden: Es ist daher Sache des Verantwortlichen, zu entscheiden, wie der Auftragsverarbeiter im Hinblick auf die personenbezogenen Daten verfahren soll und dies muss er auch überprüfen und überwachen. Dies kann auch durch eine Inaugenscheinnahme vor Ort erfolgen. Die Vor-Ort-Kontrolle soll mit angemessener Frist durch den Auftraggeber angekündigt werden.

Der Verantwortliche kann zu Beginn entscheiden, ob personenbezogene Daten gelöscht oder zurückgegeben werden müssen, indem er dies im Vertrag festlegt und dem Auftragsverarbeiter zeitnah schriftlich mitteilt. Im Vertrag oder dem anderen Rechtsinstrument sollte dem Verantwortlichen die Möglichkeit gegeben werden, sich vor dem Ende der Erbringung der mit der Verarbeitung verbundenen Dienstleistung umzuentscheiden. Im Vertrag sollte das Verfahren für die Erteilung solcher Weisungen festgelegt werden.

Diese Pflichten ergeben sich auch aus dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO) sowie der Speicherbegrenzung (Art. 5 Abs. 1 Buchst. e DSGVO).

Entscheidet sich der Verantwortliche für die Löschung der personenbezogenen Daten, sollte der Auftragsverarbeiter sicherstellen, dass die Löschung auf sichere Weise erfolgt, auch um Art. 32 DSGVO zu genügen. Der Auftragsverarbeiter sollte dem Verantwortlichen bestätigen, dass die Löschung innerhalb der vereinbarten Frist und in der vereinbarten Weise abgeschlossen wurde und jede Löschung dokumentieren.

Der Auftragsverarbeiter muss alle vorhandenen Kopien der Daten löschen, es sei denn, das EU-Recht oder das Recht der Mitgliedstaaten verlangt eine längere Speicherung (z. B. im Rahmen von steuerrechtlichen Aufbewahrungspflichten). Ist dem Auftragsverarbeiter oder dem Verantwortlichen eine solche rechtliche Verpflichtung bekannt, sollte er die andere Partei so bald wie möglich davon in Kenntnis setzen.