Auch genannt: Auftragsverarbeitung nach DSGVO, Auftragsverarbeiter, AV-Vertrag
Auftragsverarbeitung liegt vor, wenn eine eigenständige Stelle personenbezogene Daten für einen Verantwortlichen und nach dessen dokumentierten Weisungen verarbeitet. Die Rollen stehen in der Datenschutz-Grundverordnung (DSGVO): Verantwortlicher ist, wer Zwecke und Mittel der Verarbeitung festlegt; Auftragsverarbeiter ist, wer Daten im Auftrag verarbeitet.DSGVO, Art. 4 und Art. 28 Die Einordnung richtet sich nicht nur nach der Überschrift eines Vertrags. Der Europäische Datenschutzausschuss (EDSA) betont, dass die tatsächlichen Rollen und Entscheidungen maßgeblich sind.EDSA: Leitlinien 07/2020
Der Begriff beschreibt damit eine Rollenverteilung bei einer konkreten Verarbeitung. Er beantwortet nicht pauschal, ob ein Dienst „datenschutzkonform“ ist. Ob und wie Daten verarbeitet werden dürfen, hängt zusätzlich vom jeweiligen Zweck, einer Rechtsgrundlage, den Datenarten und weiteren Umständen ab. Dieser Artikel erklärt das Grundprinzip und ersetzt keine Prüfung eines Einzelfalls.
Der Verantwortliche bestimmt das „Warum“ und die wesentlichen Mittel der Verarbeitung: Er entscheidet zum Beispiel, dass Kundendaten für die Bereitstellung eines eigenen Dienstes gespeichert werden und welche Datenkategorien dafür benötigt werden. Ein Auftragsverarbeiter führt die Verarbeitung für diesen Verantwortlichen aus. Er darf dabei Spielraum bei praktischen, nicht wesentlichen Umsetzungsfragen haben, etwa bei der konkreten technischen Ausgestaltung einer vereinbarten Sicherheitsmaßnahme. Eigene Verarbeitungszwecke darf er daraus jedoch nicht ableiten.EDSA: Leitlinien 07/2020
Wichtig ist die Trennung nach Verarbeitungsvorgang. Dieselbe Organisation kann in unterschiedlichen Konstellationen unterschiedliche Rollen haben. Entscheidend ist, wer im jeweiligen Fall tatsächlich Einfluss auf Zwecke und wesentliche Mittel nimmt. Ein Vertrag kann die Zuständigkeiten dokumentieren, ersetzt aber diese sachliche Prüfung nicht.
Setzt ein Verantwortlicher einen Auftragsverarbeiter ein, verlangt Artikel 28 DSGVO einen Vertrag oder ein anderes verbindliches Rechtsinstrument in Schriftform; auch ein elektronisches Format ist möglich. Der Vertrag muss die Verarbeitung konkret beschreiben, insbesondere Gegenstand und Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen.DSGVO, Art. 28
Zum Mindestinhalt gehören außerdem dokumentierte Weisungen, Vertraulichkeit der berechtigten Personen, geeignete technische und organisatorische Maßnahmen, Regeln für weitere Auftragsverarbeiter sowie Unterstützung bei Betroffenenrechten und bestimmten Pflichten des Verantwortlichen. Nach Ende der Leistung sieht Artikel 28 grundsätzlich vor, dass der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen löscht oder zurückgibt, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Zudem muss er Informationen für den Nachweis der Pflichterfüllung bereitstellen und Überprüfungen ermöglichen.DSGVO, Art. 28
Eine solche Vereinbarung wird oft AV-Vertrag genannt. Sie sollte die gesetzliche Liste nicht lediglich wiederholen. Der EDSA empfiehlt konkrete Angaben dazu, wie Vorgaben umgesetzt werden und welches Sicherheitsniveau für die vereinbarte Verarbeitung erforderlich ist.EDSA: Leitlinien 07/2020
Ein Unternehmen betreibt ein Kundenportal und entscheidet, welche Kontaktdaten und Dokumente es dort für seinen Service verarbeitet. Es beauftragt einen Cloud-Speicherdienst, diese Daten zu hosten. Solange der Anbieter die Daten ausschließlich im Auftrag und weisungsgemäß speichert, kann er für diesen Vorgang Auftragsverarbeiter sein; das Unternehmen bleibt Verantwortlicher. Der EDSA verwendet einen standardisierten Cloud-Speicherdienst als Beispiel für diese Konstellation.EDSA: Leitlinien 07/2020
Praktisch reicht es nicht, den Vertrag abzulegen. Für den beschriebenen Vorgang müssen die vereinbarten Weisungen, Zugriffsrechte, Sicherheitsmaßnahmen, gegebenenfalls eingesetzte Unterauftragsverarbeiter und die Rückgabe- oder Löschabläufe nachvollziehbar bleiben. Ändert der Anbieter den Zweck und nutzt Daten etwa für eigene, von der Weisung unabhängige Ziele, muss die Rollenbewertung für diese Verarbeitung neu erfolgen.
Nicht jede Zusammenarbeit mehrerer Organisationen ist Auftragsverarbeitung. Gemeinsame Verantwortlichkeit kommt in Betracht, wenn zwei oder mehr Akteure gemeinsam über Zwecke und Mittel eines Verarbeitungsvorgangs entscheiden. Dann müssen sie ihre jeweiligen DSGVO-Pflichten transparent festlegen; der wesentliche Inhalt dieser Vereinbarung ist betroffenen Personen zur Verfügung zu stellen.DSGVO, Art. 26
Der Kernunterschied liegt in den Entscheidungen: Ein Auftragsverarbeiter verarbeitet für die Zwecke des Verantwortlichen und unterliegt dessen Weisungen. Gemeinsam Verantwortliche beteiligen sich dagegen gemeinsam an den maßgeblichen Entscheidungen über den Vorgang. Dass zwei Unternehmen Daten austauschen oder dieselbe technische Infrastruktur nutzen, beantwortet die Frage allein noch nicht. Die tatsächliche Gestaltung des einzelnen Verarbeitungsvorgangs bleibt ausschlaggebend.EDSA: Leitlinien 07/2020
Ein Auftragsverarbeiter ist nicht einfach jeder externe Dienstleister. Verarbeitet ein Dienstleister keine personenbezogenen Daten oder entscheidet er für einen eigenen, getrennten Zweck über die Verarbeitung, passt das Modell der Auftragsverarbeitung möglicherweise nicht. Auch ein Unterauftragsverarbeiter ist eine eigene Rolle: Er wird vom Auftragsverarbeiter eingesetzt und unterliegt den dafür vorgesehenen Bedingungen aus Artikel 28 DSGVO.DSGVO, Art. 28
Auftragsverarbeitung ist außerdem keine allgemeine Freigabe zur Datenweitergabe. Sie ist ein rechtlicher und organisatorischer Rahmen für eine weisungsgebundene Verarbeitung. Für die Praxis folgt daraus: erst den konkreten Verarbeitungsvorgang und die tatsächlichen Entscheidungen beschreiben, dann Rollen und Vertragsinhalt daran ausrichten.