Auftragsverarbeitung
Auftragsverarbeitung liegt nach Art. 4 Nr. 8 DSGVO vor, wenn ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Der Verantwortliche bestimmt die Zwecke und wesentlichen Mittel der Verarbeitung; der Auftragsverarbeiter handelt innerhalb dokumentierter Weisungen. Entscheidend sind die tatsächlichen Entscheidungsbefugnisse, nicht die Bezeichnung im Vertrag. Art. 28 DSGVO verlangt insbesondere ausreichende Garantien, einen bindenden Vertrag oder anderen Rechtsakt, Datensicherheitsmaßnahmen und besondere Regeln für weitere Auftragsverarbeiter.
Rollen nach der DSGVO
Art. 4 Nr. 8 der Datenschutz-Grundverordnung (DSGVO) definiert den Auftragsverarbeiter als Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Der Verantwortliche nach der DSGVO entscheidet demgegenüber allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung.
Ein Dienstleister darf bei der technischen und organisatorischen Umsetzung eigene Entscheidungen treffen. Maßgeblich ist, ob der Auftraggeber Zweck und wesentliche Mittel vorgibt und der Dienstleister die Daten nur zur Erfüllung dieses Auftrags nutzt. Ein Vertrag mit der Überschrift „Auftragsverarbeitung“ ändert eine tatsächlich weitergehende Entscheidungsrolle nicht.
Anforderungen des Art. 28 DSGVO
Der Verantwortliche darf nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Nach Art. 28 Abs. 3 DSGVO muss ein Vertrag oder anderer bindender Rechtsakt unter anderem Gegenstand und Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen festlegen.
Weisungsbindung und Sicherheit
Der Auftragsverarbeiter verarbeitet Daten grundsätzlich nur auf dokumentierte Weisung. Er verpflichtet befugte Personen zur Vertraulichkeit, trifft die nach Art. 32 DSGVO erforderlichen Sicherheitsmaßnahmen, unterstützt den Verantwortlichen bei Betroffenenrechten und bestimmten Schutzpflichten und ermöglicht Nachweise sowie Überprüfungen. Nach Auftragsende löscht oder übergibt er die Daten nach Wahl des Verantwortlichen, soweit keine gesetzliche Speicherpflicht entgegensteht.
Weitere Auftragsverarbeiter
Einen Unterauftragnehmer darf der Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung einsetzen. Bei einer allgemeinen Genehmigung muss er geplante Änderungen mitteilen, damit der Verantwortliche widersprechen kann. Dem Unterauftragnehmer sind im Kern dieselben Datenschutzpflichten aufzuerlegen. Gegenüber dem Verantwortlichen bleibt der erste Auftragsverarbeiter für die Pflichterfüllung des Unterauftragnehmers verantwortlich.
Abgrenzung zur gemeinsamen Verantwortlichkeit
Legen mehrere Beteiligte gemeinsam Zwecke und Mittel fest, besteht keine bloße Auftragsverarbeitung, sondern gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die DSGVO selbst Zwecke und Mittel, gilt er nach Art. 28 Abs. 10 DSGVO für diese Verarbeitung als Verantwortlicher. Die Rollen können zudem je Verarbeitungsvorgang verschieden sein.
Beispiel
Ein Unternehmen beauftragt einen Cloudanbieter, Kundendaten ausschließlich nach seinen Vorgaben zu speichern, zu sichern und zu löschen. Der Anbieter ist insoweit typischerweise Auftragsverarbeiter. Analysiert er dieselben Daten ohne Weisung für eigene Werbung oder verkauft daraus gewonnene Profile, entscheidet er über einen eigenen Zweck. Für diese Verarbeitung kann er nicht mehr als bloßer Auftragsverarbeiter behandelt werden.
FAQ
Braucht jede externe Datenverarbeitung einen Vertrag nach Art. 28 DSGVO?
Nein. Ein solcher Vertrag ist erforderlich, wenn tatsächlich Auftragsverarbeitung vorliegt. Bei eigener oder gemeinsamer Verantwortlichkeit gelten andere Regeln.
Entlastet der Vertrag den Verantwortlichen vollständig?
Nein. Der Verantwortliche muss den Dienstleister sorgfältig auswählen, ausreichende Garantien prüfen und die vereinbarten Kontrollen angemessen wahrnehmen.
Darf der Auftragsverarbeiter von einer Weisung abweichen?
Grundsätzlich nicht. Eine gesetzliche Verarbeitungspflicht kann eine Ausnahme bilden; darüber muss er den Verantwortlichen grundsätzlich vorab informieren.
Quellen und Vertiefung
Die Rollen folgen aus Art. 4 Nr. 7 und 8, die Pflichten aus Art. 28 und die Abgrenzung gemeinsamer Verantwortlichkeit aus Art. 26 der DSGVO bei EUR-Lex. Grundbegriffe erläutert der Beitrag Datenschutzrecht; für die Reichweite der Verarbeitung ist außerdem Verarbeitung personenbezogener Daten maßgeblich.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.