Kurz erklärt: Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und auf Weisung des Verantwortlichen, ohne selbst über Zweck und Mittel zu entscheiden, zum Beispiel Hoster, Cloud-Anbieter, IT-Dienstleister mit Fernzugriff, Lohnbüros oder Aktenvernichter.
Was bedeutet Auftragsverarbeiter?
Der Auftragsverarbeiter darf die Daten nur nach dokumentierter Weisung verarbeiten, muss ausreichende Garantien für technische und organisatorische Maßnahmen bieten, sein Personal zur Vertraulichkeit verpflichten, Unterauftragnehmer nur mit Genehmigung einsetzen, den Verantwortlichen bei Betroffenenrechten und Datenpannen unterstützen und nach Vertragsende die Daten löschen oder zurückgeben.
Nicht jeder Dienstleister ist Auftragsverarbeiter: Steuerberater, Rechtsanwälte, Banken, Paketdienste oder Wirtschaftsprüfer handeln eigenverantwortlich und sind selbst Verantwortliche. Entscheidend ist, ob der Dienstleister weisungsgebunden mit den Daten arbeitet oder eine eigene Fachleistung erbringt.
Rechtsgrundlage
- Art. 4 Nr. 8 DSGVO (Begriffsbestimmung)
- Art. 28 DSGVO (Pflichten, Vertrag)
- Art. 29 DSGVO (Verarbeitung auf Weisung)
- Art. 30 Abs. 2 DSGVO (eigenes Verzeichnis)
- Kurzpapier Nr. 13 der Datenschutzkonferenz (Auftragsverarbeitung)
In der Praxis
Die Liste der Auftragsverarbeiter ist in den meisten Betrieben länger als gedacht: Hosting der Website, Microsoft 365 oder Google Workspace, Backup in der Cloud, IT-Systemhaus mit Fernwartung, Newsletter-Dienst, Online-Terminbuchung, Zeiterfassungs-App, Telefonanlage in der Cloud, Aktenvernichtung. Für jeden braucht es einen Vertrag nach Art. 28 DSGVO.
Häufige Fragen
Fragen zu Auftragsverarbeiter
Ist mein IT-Dienstleister ein Auftragsverarbeiter?
Ja, sobald er per Fernwartung oder vor Ort auf Systeme mit personenbezogenen Daten zugreifen kann. Das gilt auch, wenn der Zugriff nur gelegentlich erfolgt.
Haftet der Auftragsverarbeiter bei einer Datenpanne?
Er haftet nach Art. 82 DSGVO, wenn er seine spezifischen Pflichten verletzt oder gegen Weisungen verstößt. Die Hauptverantwortung bleibt beim Verantwortlichen.
Verwandte Begriffe
Das gehört dazu
Ratgeber