Warum legt die SEWOBE AG die Kosten für die Auftragsverarbeitungskontrolle des Auftraggebers gemäß DSGVO nicht auf die Softwaremiete um, sondern hat in ihren Verträgen zur Auftragsver­arbeitung (AV-Vertrag) die Regelung, dass diese Kosten vom dem Auftraggeber übernommen werden, der die Kontrolle ausüben möchte? 

Die SEWOBE AG versucht seit Bestehen, die Softwaremiete so stabil wie möglich zu halten und Preiserhö­hungen zu vermeiden, damit sich auch weiterhin weniger finanzstarke Organisationen die Software leisten können.  
Das sogenannte Einpreisen* der Auftragskontrollkosten in die monatliche Softwaremiete, wie Anfang 2018  von den Aufsichtsbehörden empfohlen, würde jedoch alle SEWOBE Kunden unverhältnismäßig belasten, weil nicht abschätzbar ist, wie viele Kunden die Auftragskontrolle vor Ort oder im Rechenzentrum vornehmen wollen und diese Kosten geschätzt werden müssten, so dass sich in der Folge die Softwaremiete erheblich verteuern würde.

 *(Vgl. z.B.  DSB Hamburg:  Eine „Einpreisung“, also die entstehenden Kosten von vornherein pauschal in das Angebot der vertraglichen Leistung einzurechnen, hält die Behörde allerdings für vertretbar.)

Der Mietpreis für die SEWOBE Softwarelösung enthält neben den gestiegenen Personal-, Raum- Energie- und Nebenkosten u.a. folgende weitere Kostenfaktoren:

• Entwicklungs- und Pflegekosten der Softwarelösung 
• Regelmäßige Aktualisierungen (Updates) und Anpassungen der Softwarelösung an geänderte Rechtsprechung
• Speicherkosten von Kundendaten in zertifizierten Rechenzentrum 
• Zusätzliche Sicherungskosten der Kundendaten durch ein Backup an separatem Speicherort
• Regelmäßige Pflege der Speicherungen und Backups
• Einsatz eines externen Datenschutzbeauftragten
• Sicherheitskosten zur Vermeidung von Cyberangriffen u.Ä.
• Fortbildungen und Sicherheitsschulungen des Personals, u.a. auch durch Externe
• Erstellung der jährlichen Prüfberichte
• Pflege der Website zum Datenschutz mit umfangreichen Informationen zu Schutzmaßnahmen

Im Vertrag zur Auftragsverarbeitung sichert die SEWOBE allen Kunden einen jährlichen Prüfbericht zu.  
Die­ser Bericht erteilt umfassend Auskunft über die Datenschutz- und Sicherheitsmaßnahmen der Auftragsverarbeitung.
Der Kunde und damit Verantwortliche für die Mitglieder- oder Kundendaten soll somit in die Lage versetzt werden, seiner Kontrollpflicht gem. DSGVO nachzukommen und seine Mitglieder und Kunden über die vorschriftsmäßige Verarbeitung der personenbezogenen Daten durch die SEWOBE als Auftragsverarbeiter zu informieren.
 
Prüfen der Verhältnismäßigkeit der Auftragskontrolle im Verhältnis zur Softwaremiete: 

Sollten Kunden eine Vorortbesichtigung bei der SEWOBE oder im Rechenzentrum wünschen, verursacht dies erfahrungsgemäß Kosten zwischen 1.000,- € und 1.500,- € pro Kontrollbesuch. Diese Kosten müssen, sofern nicht vom Auftraggeber getragen, auf alle Kunden umgelegt werden. Damit würde sich die Softwaremiete erheblich verteuern, weil schon wenige Kontrollbesuche der Kunden der Gemeinschaft er­hebliche Kosten verursachen können, die in die Softwaremiete „eingepreist“ werden müssten. Damit wäre ein Softwarepreisangebot von derzeit ab 29,- € für kleine Organisationen nicht möglich.

Fazit: Aus v. g. Gründen hat sich die SEWOBE dazu entschieden, diese Kosten aus der Softwaremiete zu extrahieren und nicht einzupreisen. Diese Praxis vertritt zwischenzeitlich auch die Datenschutzaufsicht in Bay­ern, da die Kontrollkosten oft nicht im Verhältnis zum Produktpreis stehen.  

Vgl. Stellungnahme des Bayerischen Landesbeauftragten für den Datenschutz (BayLfD) vom 15.11.2021; abrufbar unter: https://www.datenschutz-bayern.de/datenschutzreform2018/aki06.html

Dies bedeutet, dass die SEWOBE, ihre Kunden wie bisher auch im Rahmen ihrer Möglichkeiten in Daten­schutzangelegenheiten betreuen wird. Jedoch müssen zugunsten der Mehrheit, Kontrollmaßnahmen, die über den Prüfbericht und kleine Anfragen hinausgehen, gesondert berechnet werden.