Glossar

Auftragsverarbeitung

Datenschutz-Glossar · 4 Minuten Lesezeit

Auftragsverarbeitung liegt vor, wenn ein Unternehmen oder eine andere Stelle personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Der Auftragsverarbeiter handelt grundsätzlich nach den dokumentierten Weisungen des Verantwortlichen und entscheidet nicht selbst über die Zwecke der Verarbeitung. Nach Art. 28 DS-GVO müssen beide Parteien ihre Zusammenarbeit durch einen Auftragsverarbeitungsvertrag (AVV) oder ein anderes geeignetes Rechtsinstrument regeln. Typische Beispiele sind externe IT-Dienstleister und Cloud-Anbieter.

Wann liegt eine Auftragsverarbeitung vor?

Eine Auftragsverarbeitung setzt voraus, dass ein Dienstleister personenbezogene Daten für einen Verantwortlichen verarbeitet und dabei hinsichtlich der Verarbeitungszwecke dessen Vorgaben unterliegt.

Der Verantwortliche entscheidet nach Art. 4 Nr. 7 DS-GVO über die Zwecke und wesentlichen Mittel der Verarbeitung. Der Auftragsverarbeiter verarbeitet die Daten nach Art. 4 Nr. 8 DS-GVO im Auftrag des Verantwortlichen. Über bestimmte technische und organisatorische Einzelheiten kann der Dienstleister selbst entscheiden, ohne dadurch automatisch zum Verantwortlichen zu werden.

Typische Anwendungsfälle sind:

Speicherung personenbezogener Daten bei einem Cloud-Anbieter
Hosting einer Website mit Verarbeitung personenbezogener Daten
Auslagerung der Lohn- und Gehaltsabrechnung an einen weisungsgebundenen Dienstleister
Externe Akten- und Datenträgervernichtung
Betrieb eines Kundenverwaltungssystems durch einen externen IT-Dienstleister

Nicht jede Beauftragung eines externen Unternehmens ist automatisch eine Auftragsverarbeitung. Entscheidend ist, wer die Zwecke und wesentlichen Mittel der konkreten Datenverarbeitung bestimmt.

Wann ist ein Auftragsverarbeitungsvertrag erforderlich?

Werden personenbezogene Daten durch einen Auftragsverarbeiter verarbeitet, ist nach Art. 28 Abs. 3 DS-GVO ein Auftragsverarbeitungsvertrag (AVV) oder ein anderes geeignetes Rechtsinstrument erforderlich.

Der Vertrag muss insbesondere folgende Punkte regeln:

Gegenstand, Dauer, Art und Zweck der Verarbeitung
Kategorien betroffener Personen und Arten personenbezogener Daten
Rechte und Pflichten des Verantwortlichen
Verarbeitung der Daten auf dokumentierte Weisung
Vertraulichkeit und technische sowie organisatorische Sicherheitsmaßnahmen
Voraussetzungen für die Beauftragung weiterer Auftragsverarbeiter
Unterstützung bei Betroffenenrechten und weiteren Datenschutzpflichten
Rückgabe oder Löschung der Daten nach Abschluss der Verarbeitung
Nachweise über die Einhaltung der Pflichten und Ermöglichung von Überprüfungen

Nach Art. 28 Abs. 9 DS-GVO kann der Vertrag schriftlich oder in einem elektronischen Format abgeschlossen werden.

Ein AVV ersetzt nicht die Rechtsgrundlage für die zugrunde liegende Datenverarbeitung. Der Verantwortliche muss deren Rechtmäßigkeit insbesondere nach Art. 6 DS-GVO sicherstellen.

Welche Pflichten haben Verantwortliche und Auftragsverarbeiter?

Der Verantwortliche darf nach Art. 28 Abs. 1 DS-GVO nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für eine datenschutzkonforme Verarbeitung bieten.

Er muss deshalb vor der Beauftragung prüfen, ob der Dienstleister geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umsetzt. Die Auswahl und die erforderlichen Kontrollen sind nachvollziehbar zu dokumentieren.

Der Auftragsverarbeiter muss insbesondere:

Personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung verarbeiten
Zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichten
Geeignete Sicherheitsmaßnahmen nach Art. 32 DS-GVO treffen
Den Verantwortlichen bei der Erfüllung bestimmter Datenschutzpflichten unterstützen
Datenschutzverletzungen dem Verantwortlichen unverzüglich melden
Die vertraglich vereinbarten Nachweise und Überprüfungen ermöglichen

Die Pflichten ergeben sich insbesondere aus Art. 28 und Art. 32 bis 33 DS-GVO.

Dürfen Auftragsverarbeiter weitere Dienstleister einsetzen?

Ein Auftragsverarbeiter darf weitere Auftragsverarbeiter, sogenannte Unterauftragsverarbeiter, nach Art. 28 Abs. 2 DS-GVO nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen einsetzen.

Bei einer allgemeinen Genehmigung muss der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Änderungen informieren. Dieser erhält dadurch die Möglichkeit, gegen die Änderung Einspruch zu erheben.

Nach Art. 28 Abs. 4 DS-GVO müssen dem Unterauftragsverarbeiter grundsätzlich dieselben Datenschutzpflichten auferlegt werden, die zwischen dem Verantwortlichen und dem ursprünglichen Auftragsverarbeiter vereinbart wurden.

Werden personenbezogene Daten im Rahmen der Auftragsverarbeitung in ein Drittland außerhalb des Europäischen Wirtschaftsraums übermittelt, müssen zusätzlich die Voraussetzungen der Art. 44 ff. DS-GVO eingehalten werden.

Praxisbeispiel: Wann benötigt ein Unternehmen einen AVV?

Ein Onlinehändler beauftragt einen externen IT-Dienstleister mit dem Betrieb seines Kundenverwaltungssystems. Der Dienstleister speichert und sichert personenbezogene Kundendaten auf seinen Servern.

Der Onlinehändler legt fest, zu welchen Zwecken die Daten verarbeitet werden. Der Dienstleister übernimmt den technischen Betrieb und verarbeitet die Daten nach den vereinbarten Weisungen.

In diesem Fall liegt eine Auftragsverarbeitung vor. Vor Beginn der Verarbeitung müssen die Parteien einen AVV nach Art. 28 Abs. 3 DS-GVO abschließen oder die Verarbeitung durch ein anderes geeignetes Rechtsinstrument regeln.

Der Onlinehändler muss zudem prüfen, ob der Dienstleister ausreichende Sicherheitsmaßnahmen gewährleistet. Setzt dieser weitere Dienstleister ein, sind die Anforderungen an Unterauftragsverarbeiter zu beachten.

legal data Einschätzung: Unternehmen sollten vor der Beauftragung externer Dienstleister prüfen, ob eine Auftragsverarbeitung vorliegt. Ein AVV allein genügt nicht: Entscheidend sind auch die sorgfältige Auswahl des Dienstleisters, angemessene Sicherheitsmaßnahmen und die tatsächliche Einhaltung der vertraglichen Vereinbarungen. Besonders bei Cloud-Diensten sollten Unternehmen mögliche Unterauftragsverarbeiter und Datenübermittlungen in Drittländer berücksichtigen.

Rechtsgrundlagen

Art. 4 Nr. 7 und Nr. 8 DS-GVO
Art. 6 DS-GVO
Art. 28 DS-GVO
Art. 32 DS-GVO
Art. 33 DS-GVO
Art. 44 ff. DS-GVO

Häufige Fragen zur Auftragsverarbeitung

Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter?

Der Verantwortliche entscheidet über die Zwecke und wesentlichen Mittel der Verarbeitung personenbezogener Daten. Der Auftragsverarbeiter verarbeitet diese Daten in seinem Auftrag und grundsätzlich nach dessen dokumentierten Weisungen.

Ist ein Auftragsverarbeitungsvertrag immer notwendig?

Ein AVV oder ein anderes geeignetes Rechtsinstrument ist erforderlich, wenn eine Auftragsverarbeitung im Sinne von Art. 28 DS-GVO vorliegt. Nicht jede Zusammenarbeit mit einem externen Dienstleister stellt jedoch eine Auftragsverarbeitung dar.

Muss ein AVV schriftlich abgeschlossen werden?

Ja. Nach Art. 28 Abs. 9 DS-GVO muss der Vertrag oder das andere Rechtsinstrument schriftlich abgefasst sein. Ein elektronisches Format ist ausdrücklich zulässig.

Wer haftet bei Datenschutzverstößen des Auftragsverarbeiters?

Sowohl Verantwortliche als auch Auftragsverarbeiter können nach Maßgabe des Art. 82 DS-GVO für Schäden haften. Der Auftragsverarbeiter haftet insbesondere, wenn er gegen speziell für ihn geltende Pflichten verstößt oder rechtmäßige Weisungen des Verantwortlichen missachtet.

Ist Auftragsverarbeitung mit Dienstleistern außerhalb der EU erlaubt?

Ja, sofern neben den Anforderungen an die Auftragsverarbeitung auch die Voraussetzungen für internationale Datenübermittlungen nach Art. 44 ff. DS-GVO erfüllt sind. Hierzu gehört beispielsweise ein Angemessenheitsbeschluss oder geeignete Garantien.