Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für ein anderes Unternehmen verarbeitet.
Typische Fälle
Typische Fälle sind Hosting, Newsletter-Versand oder Lohnabrechnung. Erforderlich ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der Pflichten und Verantwortung zwischen beiden Seiten regelt.
Abgrenzung zur eigenen Verantwortlichkeit
Entscheidend ist, wer über Zwecke und Mittel der Verarbeitung bestimmt. Der Auftragsverarbeiter handelt ausschließlich auf Weisung des Verantwortlichen. Nutzt ein Dienstleister die Daten auch für eigene Zwecke, ist er insoweit selbst Verantwortlicher.
Keine Auftragsverarbeitung sind in der Regel eigenständige Fachleistungen wie die Tätigkeit von Steuerberatern, Rechtsanwälten oder Wirtschaftsprüfern.
Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter muss geeignete technische und organisatorische Maßnahmen treffen, Unterauftragsverarbeiter nur mit Genehmigung einsetzen und den Verantwortlichen bei Betroffenenanfragen und Datenpannen unterstützen. Der Verantwortliche darf nur Dienstleister beauftragen, die hinreichende Garantien bieten.
Rechtsgrundlagen
- Art. 4 Nr. 8 DSGVO
- Definiert den Auftragsverarbeiter.
- Art. 28 DSGVO
- Regelt Auswahl, Vertrag und Pflichten bei der Auftragsverarbeitung.
- Art. 29 DSGVO
- Verarbeitung nur auf Weisung des Verantwortlichen.
- Art. 32 DSGVO
- Pflicht zu angemessenen Sicherheitsmaßnahmen, auch für Auftragsverarbeiter.
Verwandte Begriffe.
Verantwortlicher Verantwortlicher ist die natürliche oder juristische Person, Behörde oder Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Art. 4 Nr. 7 DSGVO Technische und organisatorische Maßnahmen (TOM) Technische und organisatorische Maßnahmen sind die konkreten Vorkehrungen, mit denen ein Unternehmen personenbezogene Daten schützt. Art. 32 DSGVO Cloud-Computing Cloud-Computing ist die Bereitstellung von IT-Ressourcen wie Speicher, Rechenleistung oder Software über das Internet durch einen externen Anbieter. Art. 28 DSGVO 