Auftragsverarbeitung
Bei der Auftragsverarbeitung verarbeitet ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Unternehmens, etwa als Hoster.
Was ist Auftragsverarbeitung?
Viele Unternehmen erledigen nicht alles selbst: Sie mieten Server bei einem Hoster, lassen Newsletter von einem Versanddienst verschicken oder nutzen eine Buchhaltungssoftware in der Cloud. Verarbeitet ein solcher Dienstleister dabei personenbezogene Daten im Auftrag des Unternehmens, spricht die DSGVO von einem Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Das beauftragende Unternehmen bleibt der Verantwortliche (Art. 4 Nr. 7 DSGVO).
Der Vertrag nach Art. 28 DSGVO
Art. 28 DSGVO verlangt einen Vertrag oder ein anderes verbindliches Rechtsinstrument, oft Auftragsverarbeitungsvertrag oder kurz AVV genannt. Darin wird unter anderem festgelegt, dass der Dienstleister Daten nur auf dokumentierte Weisung verarbeitet, seine Beschäftigten zur Vertraulichkeit verpflichtet, angemessene Sicherheitsmaßnahmen trifft und weitere Unterauftragnehmer nur mit Genehmigung einschaltet. Nach Ende des Auftrags muss er die Daten löschen oder zurückgeben, sofern keine Pflicht zur Speicherung besteht.
Wer verantwortlich bleibt
Der Verantwortliche darf nur Dienstleister beauftragen, die ausreichende technische und organisatorische Schutzmaßnahmen bieten, und er bleibt gegenüber den betroffenen Personen in der Pflicht. Deine Rechte, etwa auf Auskunft oder Löschung, machst du deshalb in der Regel beim Verantwortlichen geltend. Nutzt ein Auftragsverarbeiter Daten dagegen für eigene Zwecke und bestimmt selbst über Zwecke und Mittel, gilt er nach Art. 28 Abs. 10 DSGVO insoweit selbst als Verantwortlicher.
Abgrenzung zu anderen Fällen
Nicht jede Zusammenarbeit ist Auftragsverarbeitung. Entscheiden zwei Stellen gemeinsam über Zweck und Mittel einer Verarbeitung, sind sie gemeinsam Verantwortliche nach Art. 26 DSGVO. Wer eine eigene fachliche Leistung erbringt, etwa ein Steuerberater oder eine Bank, ist häufig selbst Verantwortlicher. Werden Daten an einen Auftragsverarbeiter außerhalb der EU übermittelt, gelten zusätzlich die Regeln für Übermittlungen in Drittländer nach Art. 44 ff. DSGVO.
Häufige Fragen
Muss ich als Nutzer etwas tun?
In der Regel nicht. Den Vertrag schließen der Verantwortliche und sein Dienstleister. Die Empfänger oder Kategorien von Empfängern deiner Daten muss der Verantwortliche aber in seiner Datenschutzerklärung angeben.
Muss ein Auftragsverarbeitungsvertrag auf Papier unterschrieben werden?
Nein. Nach Art. 28 Abs. 9 DSGVO muss der Vertrag schriftlich abgefasst sein, ein elektronisches Format ist aber ausdrücklich zulässig.
Was ist ein Unterauftragsverarbeiter?
Ein weiterer Dienstleister, den der Auftragsverarbeiter seinerseits einschaltet, etwa ein Rechenzentrum. Das ist nur mit vorheriger Genehmigung des Verantwortlichen erlaubt, und für ihn gelten dieselben Datenschutzpflichten.
Verwandte Begriffe
Passende Themen
Friendstime ausprobieren
Die Anmeldung dauert eine Minute und ist kostenlos.