Auftragsverarbeitung bei SaaS

Es ist erforderlich, einen Auftragsverarbeitungsvertrag abzuschließen, wenn ein externer Dritter mit dem Betrieb der internen Meldestelle beauftragt wird. Das Hinweisgeberschutzgesetz (HinSchG) gibt keine klare Antwort, daher orientiert sich die Beantwortung an den Grundsätzen der EU-Datenschutz-Grundverordnung (DSGVO). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist notwendig, wenn der Dritte nicht sämtliche Aufgaben der internen Meldestelle übernimmt, sondern z. B. bei der Datenverarbeitung für die Softwarebereitstellung unterstützt.

Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO könnte bestehen, wenn die Verantwortlichen gemeinsam über die Zwecke und Mittel der Datenverarbeitung entscheiden.