newsonline24

Sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, greift in Österreich unmittelbar Art. 28 DSGVO. Ergänzend gilt das nationale Datenschutzgesetz (DSG), das in der Praxis streng angewendet wird. Die österreichische Datenschutzbehörde (DSB) prüft insbesondere die eindeutige Rollenverteilung zwischen Verantwortlichem und Auftragsverarbeiter.

Gerade bei Background Checks betrifft dies sensible Datenkategorien. Unternehmen bleiben datenschutzrechtlich Verantwortliche. Der Screening-Anbieter agiert als Auftragsverarbeiter. Ohne schriftlich geregelten AVV liegt ein formeller DSGVO-Verstoß vor – unabhängig davon, ob es sich um ein einmaliges Pre-Employment Screening oder ein periodisches Re-Screening handelt.

Pflichtbestandteile eines AVV

Ein rechtskonformer Vertrag nach Art. 28 DSGVO muss detailliert festhalten:

Gegenstand und Dauer der Verarbeitung
• Zweck der Datenverarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO
• Regelungen zu Subunternehmern
• Unterstützungspflichten bei Betroffenenrechten

In Österreich wird besonderes Augenmerk auf die Verhältnismäßigkeit gelegt. Die Verarbeitung muss geeignet, erforderlich und nachvollziehbar dokumentiert sein. Unklare Zweckdefinitionen oder pauschale Klauseln werden regelmäßig beanstandet.

Internationale Prüfungen als Risikofaktor

Viele Mitarbeiterüberprüfungen betreffen frühere Beschäftigungen im Ausland oder internationale Registerabfragen. Hier entstehen zusätzliche Anforderungen:

Transparente Darstellung von Drittlandübermittlungen
• Klar benannte Subunternehmer
• Rechtsgrundlage für internationale Datentransfers
• Dokumentierte Schutzmaßnahmen

Fehlende Präzision im AVV führt in der Praxis häufig zu Rückfragen oder Beanstandungen durch die Aufsicht.

Strukturierter Ansatz für österreichische Unternehmen

Validato unterstützt österreichische Unternehmen mit einem strukturierten AVV-Modell, das europäische Datenverarbeitung priorisiert und internationale Prüfungen sauber integriert. Technische und organisatorische Maßnahmen werden transparent dokumentiert. Subunternehmer werden klar ausgewiesen.

Damit entsteht für HR, Compliance und Geschäftsleitung ein belastbares Fundament für datenschutzkonforme Background Checks.

Fazit

In Österreich ist der Auftragsverarbeitungsvertrag kein Formalismus, sondern ein zentrales Steuerungsinstrument. Unternehmen, die Verantwortlichkeiten, Zweckbindung und Verhältnismäßigkeit klar regeln, reduzieren regulatorische Risiken deutlich und sind gegenüber der Datenschutzbehörde wesentlich besser positioniert.