Auftragsverarbeiter

Begriffserklärung: Was ist ein Auftragsverarbeiter?

Ein Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Der Begriff stammt aus dem Datenschutzrecht und beschreibt Unternehmen oder Organisationen, die Daten nicht für eigene Zwecke nutzen, sondern ausschließlich nach Weisung des Auftraggebers handeln.

Rechtliche Grundlagen und Bedeutung

Die Rolle des Auftragsverarbeiters ist im Datenschutzrecht klar definiert. Ziel dieser Regelungen ist es sicherzustellen, dass personenbezogene Daten auch dann geschützt bleiben, wenn sie an Dritte weitergegeben werden. Der Verantwortliche bleibt dabei für den Schutz der Daten verantwortlich und muss sicherstellen, dass der beauftragte Dienstleister alle gesetzlichen Vorgaben einhält.

Abgrenzung zum Verantwortlichen

Der Unterschied zwischen einem Verantwortlichen und einem Auftragsverarbeiter liegt in der Entscheidungsbefugnis über die Verarbeitung von personenbezogenen Daten. Während der Verantwortliche darüber entscheidet „ob“ und „wie“ eine Verarbeitung erfolgt, führt der Auftragsverarbeiter diese Tätigkeiten lediglich auf Anweisung aus.

Typische Beispiele für Auftragsverarbeitung

Häufige Fälle von Auftragsverarbeitung sind etwa das Outsourcing von IT-Dienstleistungen wie Cloud-Speicherlösungen oder Lohnabrechnungsdienste. Auch externe Callcenter oder Aktenvernichtungsunternehmen können als Auftragsverarbeiter tätig sein.

Anforderungen an einen Auftragsverarbeiter

Vertrag zur Auftragsverarbeitung (AV-Vertrag)

Zwischen dem Verantwortlichen und dem beauftragten Unternehmen muss ein schriftlicher Vertrag geschlossen werden. Dieser regelt unter anderem den Gegenstand sowie Dauer der Verarbeitung, Art und Zweck der Nutzung sowie Rechte und Pflichten beider Parteien hinsichtlich des Datenschutzes.

Sorgfaltspflichten des Auftraggebers bei Auswahl des Dienstleisters

Der Auftraggeber hat die Pflicht zu prüfen, ob sein Dienstleister geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ergreift. Dies umfasst beispielsweise Verschlüsselungstechnologien oder Zugangsbeschränkungen.

Kontrollrechte gegenüber dem Dienstleister

Dem Auftraggeber stehen Kontroll- sowie Überwachungsrechte zu. Er kann sich regelmäßig davon überzeugen lassen beziehungsweise Nachweise verlangen, dass beim Dienstleister alle datenschutzrechtlichen Anforderungen eingehalten werden.

Befugnisse & Grenzen eines Auftragsverarbeiters

Zulässige Handlungen durch den Verarbeiter

Ein Verarbeiter darf nur solche Handlungen mit den ihm überlassenen personenbezogenen Daten vornehmen wie sie ausdrücklich vom Auftraggeber angewiesen wurden – etwa Speichern bestimmter Informationen in einer Cloud-Lösung.

Einsatz weiterer Unteraufträge (Subunternehmer)

Sollte ein Verarbeiter weitere Subunternehmer einsetzen wollen – beispielsweise einen externen Rechenzentrumsbetreiber -, so bedarf dies grundsätzlich einer vorherigen Genehmigung durch den ursprünglichen Auftraggeber.

Sanktionen bei Verstößen gegen datenschutzrechtliche Vorgaben

Werden Vorschriften zur Beauftragung nicht eingehalten – etwa weil kein Vertrag besteht oder unzulässige Weitergaben erfolgen -, drohen empfindliche Sanktionen bis hin zu Bußgeldern.