Verantwortlicher Auftragsverarbeitung

Begriffsklärung: Verantwortlicher und Auftragsverarbeitung

Die Begriffe „Verantwortlicher“ und „Auftragsverarbeitung“ sind zentrale Konzepte im Datenschutzrecht, insbesondere in Bezug auf die Verarbeitung personenbezogener Daten. Der Begriff „Verantwortlicher Auftragsverarbeitung“ ergibt sich aus der gemeinsamen Betrachtung dieser beiden Rollen im Kontext der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union. Die präzise Definition und Abgrenzung beider Begriffe ist essenziell, um Verantwortlichkeiten beim Umgang mit personenbezogenen Daten nachvollziehen, steuern und rechtssicher zu gestalten.

Formelle Definition und laienverständliche Erläuterung

Formelle Definition

Nach Artikel 4 Nr. 7 der DSGVO ist der Verantwortliche die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Im Gegensatz dazu bezeichnet Artikel 4 Nr. 8 DSGVO die Auftragsverarbeitung als die Verarbeitung personenbezogener Daten durch eine andere natürliche oder juristische Person (Auftragsverarbeiter), die im Auftrag des Verantwortlichen handelt.

Das Zusammenspiel beider Rollen, häufig als „Verantwortlicher in der Auftragsverarbeitung“ oder „Verantwortlicher Auftragsverarbeitung“ bezeichnet, beschreibt die Rechtsbeziehung, in der der Verantwortliche einen externen Dienstleister mit der Verarbeitung bestimmter personenbezogener Daten beauftragt. Hierbei bleibt die Hauptverantwortung für den Datenschutz beim Verantwortlichen, während der Auftragsverarbeiter die Daten ausschließlich nach Weisung verarbeitet.

Laienverständliche Erläuterung

Ein Verantwortlicher ist die Stelle, die entscheidet, warum und wie persönliche Daten gesammelt und verwendet werden. Setzt diese Stelle einen externen Dienstleister ein (z. B. einen IT-Dienstleister oder Cloud-Anbieter), der Daten im Auftrag verarbeitet, spricht man von Auftragsverarbeitung. In dieser Beziehung trägt der ursprüngliche Entscheider weiter die Verantwortung dafür, dass die Daten sicher und rechtskonform behandelt werden.

Allgemeiner Kontext und Relevanz

Die Themen Verantwortlicher und Auftragsverarbeitung nehmen in der modernen Informationsgesellschaft eine zentrale Stellung ein. Praktisch jedes Unternehmen, jede Organisation und viele öffentliche Stellen verarbeiten personenbezogene Daten und lagern Teilschritte dieser Verarbeitung an externe Dienstleister aus. Der Schutz betroffener Personen und die Einhaltung datenschutzrechtlicher Vorgaben sind dabei von besonderer Bedeutung.

Die Abgrenzung, wer Verantwortlicher und wer Auftragsverarbeiter ist, stellt sicher, dass Rechte und Pflichten nachvollziehbar zugeordnet werden können. Fehlerhafte Einordnungen können zu Datenschutzverletzungen führen und erhebliche rechtliche sowie finanzielle Konsequenzen haben.

Rechtliche Rahmenbedingungen und maßgebliche Vorschriften

Die maßgebliche rechtliche Grundlage in Europa ist die Datenschutz-Grundverordnung (DSGVO), die seit Mai 2018 unmittelbar anwendbar ist. Sie regelt umfassend, wie personenbezogene Daten verarbeitet werden dürfen, definiert Verantwortlichkeiten und macht Vorgaben für die Beziehung zwischen Verantwortlichen und Auftragsverarbeitern.

Wesentliche gesetzliche Regelungen

Zu den wichtigsten Regelungen gehören:

• Artikel 4 DSGVO: Begriffsbestimmungen, u. a. zu „Verantwortlicher“ und „Auftragsverarbeiter“
• Artikel 5 DSGVO: Grundsätze der Verarbeitung personenbezogener Daten
• Artikel 28 DSGVO: Anforderungen an die Auftragsverarbeitung, insbesondere die Verpflichtung, einen Vertrag oder ein anderes Rechtsinstrument über die Auftragsverarbeitung abzuschließen
• Artikel 29 DSGVO: Weisungsgebundenheit des Auftragsverarbeiters
• Artikel 82 DSGVO: Haftung und Schadensersatz bei Verstößen
• Bundesdatenschutzgesetz (BDSG): Ergänzende nationale Regelungen in Deutschland

Institutionen und Aufsicht

Die Einhaltung der Vorschriften wird von nationalen Datenschutzaufsichtsbehörden überwacht. In Deutschland sind dies die Landesdatenschutzbeauftragten und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI).

Anwendungskontexte

Verantwortlicher Auftragsverarbeitung findet in zahlreichen, unterschiedlichen Bereichen praktische Anwendung:

Wirtschaft

• Auslagerung von IT-Dienstleistungen, z. B. Nutzung von Cloud-Anbietern
• Einsatz externer Lohnabrechnungsunternehmen
• Versanddienstleister, die im Auftrag von Webshops Kundendaten für den Versand verarbeiten

Verwaltung

• Betrieb von kommunalen Rechenzentren, die Dienstleistungen für Behörden erbringen
• Verarbeitungen im Rahmen von Bürgerdiensten durch externe Dienstleister

Alltag

• Nutzung externer Newsletter-Dienste durch Vereine
• Hausverwaltungen, die personenbezogene Daten von Mietern im Auftrag der Eigentümer verarbeiten

Gesundheitswesen

• Verarbeitung von Patientendaten durch Labore im Auftrag niedergelassener Ärzte

Diese Kontexte verdeutlichen, wie weit verbreitet und alltäglich die Praxis der Auftragsverarbeitung ist.

Typischer Ablauf der Verantwortlichen Auftragsverarbeitung

Für die rechtssichere Gestaltung der Auftragsverarbeitung sind bestimmte Schritte erforderlich:

1. Prüfung der Rolle: Bestimmung, wer Verantwortlicher und wer Auftragsverarbeiter ist
2. Auswahl des Auftragsverarbeiters: Sicherstellen, dass der Dienstleister geeignete technische und organisatorische Maßnahmen zum Datenschutz trifft
3. Vertrag über Auftragsverarbeitung: Abschluss eines schriftlichen oder elektronischen Vertrags gemäß Artikel 28 Abs. 3 DSGVO
4. Instruktion und Kontrolle: Der Verantwortliche muss dem Auftragsverarbeiter klare Weisungen geben und deren Einhaltung kontrollieren
5. Dokumentation: Nachweis über die Einhaltung datenschutzrechtlicher Anforderungen

Vertragliche und rechtliche Besonderheiten

Ein wesentlicher Bestandteil der Verantwortlichen Auftragsverarbeitung ist der sogenannte Auftragsverarbeitungsvertrag. Dieser muss laut DSGVO mindestens folgende Punkte regeln:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Kategorien betroffener Personen und Datenarten
• Rechte und Pflichten des Verantwortlichen
• Pflichten und Rechte des Auftragsverarbeiters, insbesondere zur Vertraulichkeit, Datensicherheit, Unterstützung bei Betroffenenrechten etc.
• Regelungen zu Unterauftragsverarbeitern

Häufige Problemstellungen entstehen durch:

• Unklare Abgrenzung der Verantwortlichkeiten
• Mangelhafte oder fehlende Vereinbarungen zur Auftragsverarbeitung
• Verletzung von Weisungsbefugnissen (Eigenmächtigkeit des Auftragsverarbeiters)
• Fehlende technische oder organisatorische Datenschutzmaßnahmen

Die Einhaltung dieser Anforderungen ist Gegenstand regelmäßiger Prüfungen durch die Datenschutzaufsichtsbehörden.

Abgrenzung und verwandte Begriffe

Die klare Unterscheidung zwischen Verantwortlichem und Auftragsverarbeiter ist wesentlich. Irrtümlich wird anstelle einer Auftragsverarbeitung häufig eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) angenommen, wenn beide Parteien über Zwecke und Mittel entscheiden. Die korrekte Einordnung ist entscheidend für die Zuordnung von Pflichten sowie die Kontrolle und Haftung.

Zusammenfassung und abschließende Betrachtung

Die Verantwortliche Auftragsverarbeitung beschreibt die Beziehung zwischen einer Stelle, die über die Verarbeitung personenbezogener Daten entscheidet (Verantwortlicher), und einem externen Dienstleister, der diese Daten im Auftrag und nach Weisungen verarbeitet (Auftragsverarbeiter). Die gesetzlichen Grundlagen, insbesondere die DSGVO, schreiben detaillierte Anforderungen an die Auswahl, Überwachung und vertragliche Absicherung solcher Dienstleister vor.

Typische Anwendungsbereiche finden sich in Wirtschaft, Alltag, Verwaltung und Gesundheitswesen. Die Verantwortlichkeit für den Datenschutz verbleibt beim Verantwortlichen, der für die ordnungsgemäße Auswahl und Überwachung des Auftragsverarbeiters haftet. Relevante Problemstellungen ergeben sich v. a. aus der unklaren Abgrenzung beider Rollen sowie aus vertraglichen Defiziten.

Hinweise für die Praxis

Insbesondere Unternehmen, Behörden sowie Vereine sollten die Prinzipien der Verantwortlichen Auftragsverarbeitung genau beachten. Die präzise Einordnung und konsequente Umsetzung der datenschutzrechtlichen Anforderungen ist wesentliche Voraussetzung für die Einhaltung rechtlicher Vorgaben und den Schutz betroffener Personen.

Durch einen strukturierten Auswahlprozess und ausgewogene Vertragsgestaltungen lässt sich das Risiko datenschutzrechtlicher Verstöße wirksam reduzieren. Ein sorgfältiger und fortlaufend geprüfter Umgang mit Auftragsverarbeitern ist ein zentraler Baustein der Datenschutz-Compliance im digitalen Zeitalter.

Häufig gestellte Fragen

Was ist ein Verantwortlicher im Sinne der Auftragsverarbeitung nach DSGVO?

Der Verantwortliche im Rahmen der Auftragsverarbeitung gemäß Datenschutz-Grundverordnung (DSGVO) ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Das bedeutet, der Verantwortliche entscheidet, warum und wie personenbezogene Daten verarbeitet werden. Im Gegensatz dazu handelt der Auftragsverarbeiter ausschließlich nach Weisung des Verantwortlichen und darf keine eigenen Entscheidungen über die Datenverarbeitung treffen. Der Verantwortliche trägt letztlich die Hauptverantwortung für die Einhaltung der datenschutzrechtlichen Vorgaben, insbesondere für die rechtskonforme Erhebung, Verarbeitung und Löschung der personenbezogenen Daten. Zu den wichtigen Aufgaben des Verantwortlichen zählen unter anderem die Auswahl eines geeigneten Auftragsverarbeiters, die Durchführung von Prüfungen und Kontrollen, die Gestaltung und der Abschluss eines Auftragsverarbeitungsvertrags sowie die Sicherstellung, dass Betroffenenrechte umgesetzt werden können.

Welche Pflichten hat der Verantwortliche bei der Auswahl eines Auftragsverarbeiters?

Der Verantwortliche ist verpflichtet, nur solche Auftragsverarbeiter auszuwählen, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Personen gewährleistet. Diese Anforderungen ergeben sich insbesondere aus Art. 28 DSGVO. Dazu gehören unter anderem die Überprüfung der Fachkunde, Zuverlässigkeit und der technischen sowie organisatorischen Sicherheitsmaßnahmen des Dienstleisters. Der Auswahlprozess sollte zudem dokumentiert werden, um Nachweispflichten jederzeit erfüllen zu können. Weiterhin muss der Verantwortliche regelmäßig überprüfen, ob der Auftragsverarbeiter die vereinbarten Schutzmaßnahmen weiterhin einhält.

Muss zwischen Verantwortlichem und Auftragsverarbeiter immer ein Vertrag geschlossen werden?

Ja, gemäß Art. 28 Abs. 3 DSGVO müssen Verantwortlicher und Auftragsverarbeiter einen Vertrag abschließen, der als Auftragsverarbeitungsvertrag (AVV) bezeichnet wird. In diesem Vertrag müssen mindestens Regelungen zur Dauer, Art und Zweck der Verarbeitung, zur Art der personenbezogenen Daten, zu den Kategorien betroffener Personen sowie zu den Pflichten und Rechten des Verantwortlichen enthalten sein. Darüber hinaus muss der Vertrag spezifische Anforderungen der DSGVO berücksichtigen, insbesondere zu technischen und organisatorischen Maßnahmen, zur Unterstützung des Verantwortlichen bei der Wahrnehmung von Betroffenenrechten, zur Meldung von Datenschutzverletzungen und zur Löschung oder Rückgabe von Daten nach Vertragsbeendigung.

Wie haftet der Verantwortliche im Falle eines Datenschutzverstoßes durch den Auftragsverarbeiter?

Der Verantwortliche haftet grundsätzlich für die Einhaltung der Datenschutzvorschriften sowie für die ordnungsgemäße Auswahl und Kontrolle des Auftragsverarbeiters. Im Falle eines Datenschutzverstoßes durch den Auftragsverarbeiter kann der Verantwortliche zur Verantwortung gezogen werden, wenn er seinen Pflichten nicht ausreichend nachgekommen ist, insbesondere wenn er bei der Auswahl fahrlässig gehandelt oder Kontrollpflichten verletzt hat. Auch kann der Verantwortliche Schadenersatz leisten müssen, wenn durch einen Verstoß gegen die DSGVO ein materieller oder immaterieller Schaden bei Betroffenen entstanden ist. Allerdings ist der Auftragsverarbeiter ebenfalls haftbar, wenn er eigenmächtig und entgegen der Weisungen Daten verarbeitet oder gegen die eigenen Pflichten verstößt.

Wie unterscheidet sich der Verantwortliche vom Auftragsverarbeiter?

Der grundlegende Unterschied besteht darin, dass der Verantwortliche alle wesentlichen Entscheidungen über die Zwecke und Mittel der Datenverarbeitung trifft und somit für die Einhaltung der datenschutzrechtlichen Vorschriften verantwortlich ist. Der Auftragsverarbeiter hingegen verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach den dokumentierten Weisungen des Verantwortlichen. Er hat keine Entscheidungsbefugnis über Zwecke und Mittel der Verarbeitung, sondern übernimmt die vom Verantwortlichen definierten Aufgaben. Die Abgrenzung hat erhebliche rechtliche Folgen, insbesondere in Bezug auf Pflichten, Haftung und die Verantwortung bei der Umsetzung von Datenschutzmaßnahmen.

Welche Maßnahmen muss der Verantwortliche ergreifen, um die Betroffenenrechte zu gewährleisten?

Der Verantwortliche muss sicherstellen, dass die Betroffenenrechte – wie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch sowie das Recht auf Datenübertragbarkeit – jederzeit umgesetzt werden können. Dies bedeutet, dass er geeignete Prozesse und Systeme einrichten und dokumentieren muss, um die Bearbeitung entsprechender Anfragen zu ermöglichen. Außerdem muss der Verantwortliche gewährleisten, dass auch der Auftragsverarbeiter diese Rechte unterstützt, beispielsweise durch vertragliche Verpflichtungen und technische Maßnahmen. Darüber hinaus muss sichergestellt werden, dass Anfragen unverzüglich und spätestens innerhalb eines Monats beantwortet werden, wie es die DSGVO vorschreibt.

Wer trägt die Verantwortung für die Sicherheit der Datenverarbeitung?

Primär liegt die Verantwortung für die Sicherheit der Verarbeitung personenbezogener Daten beim Verantwortlichen. Laut DSGVO muss der Verantwortliche geeignete technische und organisatorische Maßnahmen treffen, die den Schutz der personenbezogenen Daten sicherstellen und die Risiken für die Rechte und Freiheiten der Betroffenen minimieren. Dazu zählen unter anderem Zugangskontrollen, Verschlüsselung, Pseudonymisierung und Backups. Zwar ist auch der Auftragsverarbeiter verpflichtet, entsprechende Maßnahmen zu ergreifen, aber der Verantwortliche muss im Rahmen seiner Kontrollpflichten überprüfen, ob diese auch tatsächlich umgesetzt werden. Die Verantwortung erstreckt sich zudem darauf, dass der Verantwortliche den Schutz der Daten über die gesamte Dauer der Auftragsverarbeitung hinweg garantiert und Verstöße umgehend meldet.