Ist das Recht zur außerordentlichen Kündigung bei Auftragsverarbeitungsverträgen wirklich sinnvoll? (Söbbing, ITRB 2022, 44)

Viele Kunden verlangen in Auftragsdatenverarbeitungsverträgen ein außerordentliches Kündigungsrecht, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen die datenschutzrechtlichen Bestimmungen vorliegt. Dies mag aus datenschutzrechtlicher Sicht richtig sein, dennoch ergibt ein solches Kündigungsrecht in der Praxis wenig Sinn und wird wahrscheinlich wegen der Unmöglichkeit der technischen Umsetzung niemals so angewendet werden.

1. Ausgangssituation

2. Außerordentliches Kündigungsrecht

a) Sofortige Wirkung

b) Beispielsfall

c) Wichtiger Grund

d) Frist

3. Vertragliche Lösung

4. Resümee


1. Ausgangssituation

Die Verarbeitung von personenbezogenen Daten kann gem. Art. 28 Abs. 3 DSGVO durch einen Auftragsverarbeiter auf Grundlage eines Vertrags erfolgen, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Weitere Anforderungen an den Auftragsverarbeitungsvertrag (AVV) ergeben sich aus Art. 28 Abs. 3 lit. a bis h DSGVO. In diesem Normen wird aber kein außerordentlichen Kündigungsrecht verlangt, so dass dessen Vereinbarung nicht zwingend vorgeschrieben ist.

Aber es ist durchaus nachvollziehbar, dass es dem Verantwortlichen nicht zumutbar ist, am AVV weiterhin festzuhalten, wenn es durch die Verarbeitung durch den Auftragsverarbeiter zu erheblichen Datenpannen kommt. Auch wenn die Verarbeitung ausgelagert worden ist, ändert dies nichts an der Verantwortlichkeit für die Verarbeitung. Denn Art. 4 Nr. 8 DSGVO definiert den Auftragsverarbeiter (lediglich) als „natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“. Demnach soll es dem Verantwortlichen ermöglicht werden, seinen Handlungsradius durch Auslagerung der Datenverarbeitungsvorgänge auszuweiten, was ihn aber nicht von der Verantwortlichkeit entbindet.

2. Außerordentliches Kündigungsrecht

In AVV werden zuweilen vom Verantwortlichen folgende oder ähnlich lautende Klauseln (im Folgenden: Musterklausel) verlangt:

„Der Verantwortliche kann diesen Vertrag zur Auftragsverarbeitung jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen die datenschutzrechtlichen Bestimmungen vorliegt. In diesem Fall liegt gleichzeitig ein außerordentlicher Kündigungsgrund für den Hauptvertrag vor.“

Möglicherweise machen sich Verwender kaum Gedanken über den tatsächlichen Inhalt dieser Klausel und v.a. die Wirkung ihrer Anwendung. Die Regelung in Satz 2 der Klausel führt dazu, dass der Auftragsverarbeiter wegen Wegfalls von AVV und Hauptvertrag nicht nur keine personenbezogenen Daten für den Verantwortlichen verarbeiten darf, sondern überhaupt keine Leistung mehr erbringt. Weitere logische bzw. praktische Probleme der Musterklausel werden im Folgenden erörtert.

a) Sofortige Wirkung

In der Musterklausel wird auf das Rechtsmodell der außerordentlichen Kündigung des § 314 BGB verkürzt. Ist die außerordentliche Kündigung einmal wirksam, ist das Vertragsverhältnis mit sofortiger Wirkung beendet (ex nunc). Eine Übergangfrist für den Kündigenden ist nicht vorgesehen; lediglich, wenn die Interessen des Kündigungsgegners es erfordern und es dem Kündigenden zumutbar ist, kann die Einräumung einer Auslauffrist angeboten werden.5 Angesichts der Folgen wird man aber oft nicht ohne weiteres (...)