Fernzugriff und Wartung durch Dritte

Wenn ein fremdes Haus für kurze Zeit genauso viel sieht wie Sie, ist zu klären, ob eine Auftragsverarbeitung vorliegt. Trifft das zu, verlangt Art. 28 Abs. 3 S. 1 DSGVO einen Vertrag — die Einordnung selbst nimmt der Verantwortliche vor, nicht die Administration.

Warum das wichtig ist

Der Hersteller, der sich zur Fehlersuche aufschaltet, bekommt Zugang zu personenbezogenen Daten. Dass es nur zwanzig Minuten dauert, ändert daran nichts. Ob dieser Zugang rechtlich eine Auftragsverarbeitung ist, hängt vom Einzelfall ab und gehört zum Verantwortlichen — dieser Kurs ordnet keine Dienstleistertypen ein.

Der Vertrag ist dabei nicht der eigentliche Punkt, sondern die Folge: Er legt fest, was der Dienstleister darf, wie lange und unter welchen Bedingungen. Ohne ihn ist das offen.

Praktisch wirksamer als jeder Vertrag ist die Begleitung: Sitzung nur auf Anforderung öffnen, dabeibleiben, danach schließen. Ein Dauerzugang „für den Notfall" ist der häufigste Befund — und der überflüssigste.

Was das Gesetz sagt

Art. 28 Abs. 3 S. 1 DSGVO

„Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind."

Art. 29 DSGVO

„Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind."

So macht man es richtig

1. Vor dem ersten Fernzugriff prüfen, ob ein Vertrag vorliegt.
2. Zugänge nur auf Anforderung öffnen und danach wieder schließen.
3. Keine Dauerzugänge „für den Notfall" stehen lassen.
4. Sitzungen begleiten und festhalten, wer wann aufgeschaltet war.

Stand: 25.10.2026