Elementares Wissen zur Auftragsverarbeitung

Quelle: iStock.com/Pakin Jarerndee

Wer ist Auftragsverarbeiter?

Auftragsverarbeiter ist gemäß der Definition in Artikel 4 Nr. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Im Zuge dessen handelt der Auftragsverarbeiter stets auf Weisung des Verantwortlichen.

Wann liegt eine Auftragsverarbeitung vor?

Personenbezogene Daten werden nicht nur intern in Unternehmen verarbeitet, sondern vielfach werden auch externe Stellen (Dienstleister) in die Verarbeitung mit einbezogen. Solche Verarbeitungen personenbezogener Daten durch externe Stellen und insbesondere Dienstleister sind eine Auftragsverarbeitung. Auftragsverarbeiter kann demnach beispielsweise ein IT-Dienstleister sein, der im Zuge seiner Tätigkeit an die Kundendaten eines Unternehmens gelangt. Genauso ist Auftragsverarbeiter ein Web-Hosting Anbieter auf dessen Servern ein Unternehmen personenbezogene Daten von Kunden oder Mitarbeitern speichert. Es gibt unzählige weitere Beispiele bei denen personenbezogene Daten im Auftrag des Verantwortlichen durch einen solchen Auftragsverarbeiter verarbeitet werden. Ein Unternehmen kann somit also Auftraggeber einer Auftragsverarbeitung sein, aber auch Auftragnehmer einer Auftragsverarbeitung.

Keine Auftragsverarbeiter sind hingegen beispielsweise Rechtsanwälte oder Steuerberater, da diese aufgrund ihrer besonderen Stellung nicht weisungsgebunden handeln.

Auswahl und Pflichten eines Auftragsverarbeiters

Bei der Auswahl eines Auftragsverarbeiters ist im Sinne der DSGVO durch den Verantwortlichen stets darauf zu achten, dass ein Auftragsverarbeiter zuverlässig und fachlich geeignet ist sowie technische und organisatorische Maßnahmen trifft, die der DSGVO genügen. Überdies hat auch der Auftragsverarbeiter einen Datenschutzbeauftragten zu benennen, sofern die Voraussetzungen hierfür vorliegen. Falls es bei einem Auftragsverarbeiter zu Datenschutzverstößen kommt, hat der Auftragsverarbeiter diese verpflichtend dem Verantwortlichen zu melden.

Der Auftragsverarbeitungsvertrag

Der Verantwortliche schließt regelmäßig mit seinem Auftragsverarbeiter einen Auftragsverarbeitungsvertrag (AVV) oder arbeitet mit diesem auf Basis eines anderen Rechtsinstruments zusammen. Der Inhalt eines solchen Vertrages und die daraus resultierenden Pflichten des Auftragsverarbeiters ergeben sich detailliert aus Artikel 28 Absatz 3 der DSGVO. Der Verantwortliche und der Auftragsverarbeiter haben sicherzustellen, dass die dort genannten Voraussetzungen erfüllt werden.

In der Praxis empfiehlt es sich beabsichtigt der Auftragsverarbeitung mit dem Datenschutzbeauftragten abzustimmen, da die Hürden und Stolpersteine die mit einer Auftragsverarbeitung verbunden sein können für jeden Einzelfall zu bewerten sind kann man sich also mit einem kompakten Artikel, wie er hier zur Erstinformation verfasst wurde, nicht abschließend und universell darlegen lassen.