Cloud-Kasse und Datenschutz: Auftragsverarbeitung prüfen

Eine Cloud-Kasse speichert Daten Ihres Betriebs auf Servern des Anbieters. Sind darunter personenbezogene Daten, etwa Namen von Mitarbeitenden in Benutzerkonten, Kundenkarten oder Rechnungsempfänger (Beispiele, nicht vollständig), stellt sich eine Frage, die mit dem Kassenrecht nichts zu tun hat: Wer verantwortet diese Daten, und was muss der Anbieter vertraglich zusagen? Der Artikel gilt für Betriebe in Deutschland. Die Steuerpflichten der Kasse, etwa der Datenzugriff der Finanzverwaltung, behandeln andere Artikel, zum Beispiel Datenzugriff der Finanzverwaltung.

Was gilt?

Die Datenschutz-Grundverordnung (DSGVO) erfasst die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten (Art. 2 Abs. 1). Personenbezogen sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, etwa über einen Namen oder eine Kennnummer (Art. 4 Nr. 1). Wer über Zwecke und Mittel der Verarbeitung entscheidet, ist Verantwortlicher; wer Daten im Auftrag des Verantwortlichen verarbeitet, ist Auftragsverarbeiter (Art. 4 Nr. 7 und 8). Führt der Kassenanbieter nur Ihre Weisungen aus, ist Ihr Betrieb Verantwortlicher und der Anbieter Auftragsverarbeiter.

Dann gilt: Die Verarbeitung erfolgt auf Grundlage eines Vertrags, der den Auftragsverarbeiter bindet und Gegenstand und Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegt (Art. 28 Abs. 3 Satz 1 DSGVO). Er ist schriftlich abzufassen, auch elektronisch (Abs. 9). Sie dürfen nur Anbieter wählen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Abs. 1).

Wann der Kassenanbieter Auftragsverarbeiter ist

Ob ein Anbieter Auftragsverarbeiter ist, richtet sich nach seiner Rolle bei den Daten, nicht nach dem Namen des Vertrags. Die Datenschutzkonferenz (DSK) stellt auf die Entscheidung über die Verarbeitungszwecke ab; technische und organisatorische Fragen können dem Auftragsverarbeiter überlassen werden. Zwei Abgrenzungen sind für Kassen wichtig:

• Eigene Zwecke des Anbieters. Verarbeitet er Ihre Daten unter Verstoß gegen die Verordnung für eigene Zwecke, gilt er insoweit selbst als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Fragen Sie, ob er Daten für eigene Auswertungen oder Produktverbesserung nutzt.
• Fernwartung und Support. Besteht bei Wartung der Zugriff auf personenbezogene Daten oder lässt er sich nicht ausschließen, gelten nach Auffassung der DSK ebenfalls die Anforderungen des Art. 28. Das betrifft auch eine lokal installierte Kasse mit Fernwartung (DSK-Kurzpapier Nr. 13, Stand 17.12.2018).

Nicht jeder Dienstleister rund um die Kasse ist Auftragsverarbeiter. Das Kurzpapier nennt in Anhang B als Beispiele, die in der Regel keine Auftragsverarbeitung sind, die Einbeziehung eines Berufsgeheimnisträgers und eines Bankinstituts für den Geldtransfer. Für den Zahlungsdienstleister Ihres Kartenterminals sollten Sie die Rolle daher gesondert klären. Die DSK weist außerdem darauf hin, dass die Auftragsverarbeitung keine Erlaubnis ist, Daten offenzulegen, die einem Berufsgeheimnis unterliegen; das Kurzpapier verweist dazu auf § 203 Abs. 3 und 4 StGB.

Checkliste: Was Vertrag und Anbieter klären müssen

Die Tabelle nennt die Punkte des Art. 28 DSGVO (und der Art. 33 und 44), die der Vertrag abdecken sollte, und die Frage, die Sie dazu stellen. Die Spalte „So prüfen Sie es“ ist eine redaktionelle Empfehlung.

Punkt	Was das Gesetz verlangt	Frage an den Anbieter	So prüfen Sie es
Vertragsform	schriftlich oder elektronisch (Abs. 9)	Liegt der Vertrag vor Nutzungsbeginn vor?	Datum und Unterschrift oder elektronische Bestätigung
Inhalt	Gegenstand, Dauer, Art und Zweck, Datenarten, betroffene Personen (Abs. 3 Satz 1)	Welche Daten verarbeiten Sie für uns, zu welchem Zweck?	Beschreibung in einer Anlage, passend zu Ihrer Kasse
Weisungen	Verarbeitung nur auf dokumentierte Weisung, auch zu Drittländern (Abs. 3 Buchst. a)	Wie erteilen und dokumentieren wir Weisungen?	Verfahren im Vertrag, Ansprechperson
Vertraulichkeit	Mitarbeitende des Anbieters sind verpflichtet (Buchst. b)	Wie sind Ihre Mitarbeitenden verpflichtet?	Zusage im Vertrag
Sicherheit	Maßnahmen nach Art. 32 (Buchst. c)	Welche technischen und organisatorischen Maßnahmen setzen Sie ein?	Anlage mit Maßnahmen; genehmigte Verhaltensregeln oder Zertifizierung können als Faktor dienen (Abs. 5)
Unterauftragnehmer	vorherige Genehmigung, Information über Änderungen, Einspruchsrecht, gleiche Pflichten (Abs. 2 und 4, Buchst. d)	Wer sind Ihre Unterauftragnehmer, wo sitzen sie?	Liste im Vertrag, Frist für Änderungsmitteilung
Betroffenenrechte	Unterstützung bei Auskunft, Löschung und weiteren Rechten (Buchst. e)	Wie unterstützen Sie bei Anfragen?	Ablauf und Reaktionszeit schriftlich
Pannen	Unterstützung nach Art. 32 bis 36, unverzügliche Meldung von Datenschutzverletzungen an Sie (Buchst. f; Art. 33 Abs. 2)	Wie schnell melden Sie Vorfälle?	Frist und Meldeweg im Vertrag
Ende des Vertrags	Löschung oder Rückgabe nach Ihrer Wahl, Kopien löschen, außer bei gesetzlicher Speicherpflicht (Buchst. g)	In welchem Format erhalte ich die Daten, wann löschen Sie?	Probeexport, Löschbestätigung; siehe Datenexport im Vertrag
Nachweis und Kontrolle	Informationen zum Nachweis, Überprüfungen und Inspektionen (Buchst. h)	Wie weisen Sie die Einhaltung nach, und dürfen wir prüfen?	Prüfrecht im Vertrag, Berichte
Standort	Drittlandübermittlung nur nach Art. 44 ff.	In welchen Ländern liegen und laufen die Daten, auch bei Unterauftragnehmern oder Support?	Länder und Rechtsgrundlage im Vertrag

Zur Löschung am Vertragsende kommt die steuerliche Aufbewahrung der Kassendaten (siehe Aufbewahrungsfristen der Kasse). Bei einer Cloud-Kasse mit Sitz oder Support außerhalb der EU und des EWR genügt es nicht, dass der Vertrag unterschrieben ist. Eine Übermittlung ist nur zulässig, wenn die Bedingungen der Art. 44 ff. DSGVO eingehalten sind, etwa ein Angemessenheitsbeschluss der Kommission (Art. 45) oder geeignete Garantien wie Standarddatenschutzklauseln (Art. 46 Abs. 2 Buchst. c). Fragen Sie nach dem konkret genutzten Mechanismus.

Seit wann gilt das?

Die DSGVO gilt seit 25. Mai 2018 (Art. 99 Abs. 2) und unmittelbar in jedem Mitgliedstaat. Bestehende Verträge aus der Zeit vor der DSGVO können nach der DSK fortgelten, wenn sie den Anforderungen der Verordnung entsprechen oder darüber hinausgehen. Prüfen Sie ältere Verträge mit der Tabelle oben.

Welche Folgen drohen?

Verstöße gegen die Pflichten der Verantwortlichen und Auftragsverarbeiter aus Art. 25 bis 39 DSGVO, darunter Art. 28 und 32, können mit Geldbußen bis 10 Millionen Euro oder bei einem Unternehmen bis 2 Prozent des weltweiten Jahresumsatzes des Vorjahres geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 Buchst. a). Das sind Obergrenzen; die Höhe im Einzelfall bestimmt die Aufsichtsbehörde unter anderem nach Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 2). Die Sanktionen können nach der DSK nicht nur den Verantwortlichen treffen, sondern auch den Auftragsverarbeiter. Betroffene Personen können außerdem Schadenersatz verlangen (Art. 82 Abs. 1).

Checkliste für Ihren Betrieb

1. Stellen Sie fest, welche personenbezogenen Daten Ihre Kasse enthält (Mitarbeitende, Kundenkarten, Rechnungsempfänger, Lieferadressen).
2. Fordern Sie den Vertrag nach Art. 28 DSGVO vor Nutzungsbeginn an.
3. Gleichen Sie den Vertrag mit der Tabelle ab und lassen Sie Lücken ergänzen.
4. Lassen Sie sich Unterauftragnehmer und Länder der Verarbeitung nennen.
5. Klären Sie die Rolle des Zahlungsdienstleisters getrennt.
6. Prüfen Sie Löschung und Rückgabe der Daten am Vertragsende.
7. Halten Sie Vertrag und Prüfergebnis fest und ziehen Sie bei Zweifeln Ihre Datenschutzberatung hinzu.

Weiterführend: DSGVO an der Kasse: Kundendaten, Cloud-Kasse oder lokale Kasse und für die Schweiz Datenschutz bei Kassen in der Schweiz.