Auftragsverarbeitung

Auftragsverarbeitung bezeichnet im europäischen Datenschutzrecht die Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter im Auftrag eines Verantwortlichen. Der Verantwortliche bestimmt Zweck und Mittel der Verarbeitung; der Auftragsverarbeiter setzt diese Verarbeitung ausschließlich nach Weisung des Verantwortlichen um.

Rechtsgrundlage ist die Datenschutz-Grundverordnung (DSGVO), insbesondere Artikel 28. Zur Rechtskonformität wird in der Regel ein Auftragsverarbeitungsvertrag (ADV-Vertrag) geschlossen. In diesem Vertrag werden Gegenstand der Verarbeitung, Art der Daten, Kategorien von betroffenen Personen, Dauer der Verarbeitung, Art der Verarbeitung, Sicherheitsmaßnahmen, Rechte und Pflichten der Parteien sowie Regelungen zu Subunternehmern und zur Rückgabe oder Löschung der Daten festgelegt.

Pflichten des Auftragsverarbeiters umfassen, die Verarbeitung ausschließlich nach dokumentierten Weisungen des Verantwortlichen vorzunehmen, Vertraulichkeit zu wahren, geeignete technische und organisatorische Maßnahmen (TOM) zu implementieren, den Verantwortlichen bei der Erfüllung Verpflichtungen zu unterstützen (z. B. bei Betroffenenrechten, Datenschutzverletzungen und Folgenabschätzungen) und nach Beendigung der Leistungen Daten zu löschen oder zurückzugeben. Im Falle einer Verletzung der Sicherheit muss der Auftragsverarbeiter den Verantwortlichen unterstützen und, sofern vorgeschrieben, die Aufsichtsbehörde informieren.

Subprozessoren dürfen nur mit vorheriger ausdrücklicher oder allgemeiner schriftlicher Zustimmung des Verantwortlichen eingesetzt werden. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für das Handeln der Subunternehmer verantwortlich. Bei Übermittlungen in Drittländer gelten DSGVO-Anforderungen zu geeigneten Garantien (z. B. Standardvertragsklauseln).

In der Praxis ermöglicht Auftragsverarbeitung eine klare Trennung von Verantwortlichkeiten in externen Datenverarbeitungsbeziehungen, wobei der Verantwortliche die Kontrolle behält und der Auftragsverarbeiter die Verarbeitung nach dessen Weisung sicher umsetzt.