Kurzdefinition: Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. Art. 28 DSGVO verlangt, dass der Verantwortliche nur Auftragsverarbeiter mit hinreichenden Garantien beauftragt und die Verarbeitung auf einen Vertrag mit festen Mindestinhalten stützt. [N-DSGVO-28]
Der Normwortlaut
Art. 28 Abs. 1 DSGVO lautet: „Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.“ [N-DSGVO-28]
Wann liegt eine Auftragsverarbeitung vor?
Wenn ein Dienstleister Daten weisungsgebunden für einen anderen verarbeitet, ohne über Zwecke und Mittel selbst zu entscheiden. Typische Fälle sind Cloud-Hosting, Lohnabrechnung durch einen externen Dienstleister oder ein Newsletter-Versanddienst. Entscheidet der Dienstleister dagegen selbst über Zwecke und Mittel, ist er nicht Auftragsverarbeiter, sondern eigener Verantwortlicher oder gemeinsam Verantwortlicher. [N-DSGVO-28]
Was muss der Auftragsverarbeitungsvertrag enthalten?
Die Verarbeitung erfolgt nach Art. 28 Abs. 3 DSGVO auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments, das den Auftragsverarbeiter an den Verantwortlichen bindet. Dieser Vertrag hat feste Mindestinhalte — unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Weisungsbindung, die Vertraulichkeit, die Sicherheitsmaßnahmen, die Unterstützung des Verantwortlichen und die Regelung zur Löschung oder Rückgabe der Daten. Fehlt dieser Vertrag, ist die Auftragsverarbeitung nicht ordnungsgemäß aufgesetzt. [N-DSGVO-28]
Darf der Auftragsverarbeiter einen Subunternehmer einschalten?
Nicht ohne Weiteres. Nach Art. 28 Abs. 2 DSGVO nimmt der Auftragsverarbeiter keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Bei allgemeiner Genehmigung muss er den Verantwortlichen über beabsichtigte Änderungen informieren, damit dieser Einspruch erheben kann. Die Weiterverlagerung der Verarbeitung ist also nicht frei. [N-DSGVO-28]
Wer trägt die Verantwortung — Verantwortlicher oder Auftragsverarbeiter?
Beide, aber unterschiedlich. Der Verantwortliche muss den Auftragsverarbeiter sorgfältig auswählen und die Garantien prüfen. Der Auftragsverarbeiter trägt eigene Pflichten aus der DSGVO, etwa die Sicherheitsmaßnahmen nach Art. 32 DSGVO und die Meldung einer Verletzung an den Verantwortlichen nach Art. 33 Abs. 2 DSGVO. Die Auswahl entbindet den Verantwortlichen nicht von seiner Verantwortung. [N-DSGVO-28] [N-DSGVO-32] [N-DSGVO-33]
Häufige Fehlannahmen
- „Jeder Dienstleister ist Auftragsverarbeiter.“ Nein. Wer selbst über Zwecke und Mittel entscheidet, ist eigener Verantwortlicher, nicht Auftragsverarbeiter. [N-DSGVO-28]
- „Cloud-Dienste, Rechenzentren oder das externe Lohnbüro sind keine Auftragsverarbeiter.“ Doch, typischerweise schon — ebenso IT-Fernwartung, Callcenter oder Newsletter-Versender, die personenbezogene Daten weisungsgebunden für den Verantwortlichen verarbeiten. [N-DSGVO-28]
- „Auftragsverarbeitung ist eine gemeinsame Verantwortlichkeit.“ Nein. Sie ist weisungsgebunden und hierarchisch — keine gemeinsame Verantwortlichkeit auf Augenhöhe. [N-DSGVO-28]
- „Ein Vertrag ist optional.“ Nein. Art. 28 Abs. 3 DSGVO verlangt einen Vertrag mit festen Mindestinhalten. [N-DSGVO-28]
- „Der Auftragsverarbeiter darf frei Subunternehmer einsetzen.“ Nein. Art. 28 Abs. 2 DSGVO verlangt die Genehmigung des Verantwortlichen. [N-DSGVO-28]
- „Mit der Beauftragung ist der Verantwortliche aus der Verantwortung.“ Nein. Ihn trifft die sorgfältige Auswahl und Kontrolle des Auftragsverarbeiters. [N-DSGVO-28]
Was die Geschäftsleitung tun sollte
- Rollen klären. Prüfen, ob ein Dienstleister Auftragsverarbeiter oder eigener Verantwortlicher ist.
- Garantien prüfen. Vor der Beauftragung die technischen und organisatorischen Maßnahmen des Dienstleisters belegen lassen.
- Vertrag schließen. Einen Auftragsverarbeitungsvertrag mit den Mindestinhalten des Art. 28 Abs. 3 DSGVO.
- Subunternehmer steuern. Genehmigungsvorbehalt und Informationsrechte vertraglich absichern.
Für die Geschäftsleitung
Auftragsverarbeitung ist bei ausgelagerter IT häufig der Datenschutz-Standardfall — aber nicht jeder Dienstleisterfall ist automatisch Auftragsverarbeitung. Art. 28 DSGVO macht daraus eine Vertrags- und Kontrollpflicht: Der Verantwortliche wählt aus, prüft die Garantien und schließt den Vertrag; der Auftragsverarbeiter trägt eigene Pflichten. Weder die Auslagerung noch eine allgemeine Subunternehmer-Klausel entlässt den Verantwortlichen aus seiner Auswahl- und Kontrollverantwortung.
Quellen
- [N-DSGVO-28] Art. 28 DSGVO (Auftragsverarbeiter), Abs. 1 bis 3. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-32] Art. 32 DSGVO (Sicherheit der Verarbeitung), Abs. 1. Konsolidierte Fassung. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-33] Art. 33 DSGVO, Abs. 2 (Meldung des Auftragsverarbeiters an den Verantwortlichen). Konsolidierte Fassung. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
