Auftragsverarbeitung

Auftragsverarbeitung bezeichnet nach Art. 28 DSGVO die Verarbeitung personenbezogener Daten durch eine Stelle im Auftrag eines Verantwortlichen, ohne eigene Entscheidungsbefugnis über Zweck und Mittel. Typische Beispiele sind Hosting-Anbieter, E-Mail-Marketing-Dienste oder externe Support-Software.

Wann liegt Auftragsverarbeitung vor?

Was in den Vertrag gehört

Art. 28 Abs. 3 DSGVO schreibt Mindestinhalte für den Auftragsverarbeitungsvertrag (AVV) vor: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien betroffener Personen, sowie Pflichten und Rechte des Verantwortlichen. Die meisten seriösen SaaS-Anbieter stellen einen solchen Vertrag bereits fertig zur Verfügung.

Unterauftragsverarbeiter

Schaltet der Auftragsverarbeiter selbst weitere Dienstleister ein, etwa einen Cloud-Anbieter für die Infrastruktur, braucht er dafür grundsätzlich die vorherige Zustimmung des Verantwortlichen, entweder im Einzelfall oder allgemein mit Widerspruchsrecht.

Praxisbeispiel: Hosting und E-Mail-Versand

Ein kleiner Onlineshop nutzt einen Hosting-Anbieter für die Webseite und einen separaten Dienst für den Versand von Bestellbestätigungen. Beide Anbieter verarbeiten personenbezogene Daten ausschließlich nach Weisung des Shopbetreibers, etwa Namen und Adressen aus Bestellungen. Für beide Dienstleister braucht der Betreiber einen eigenen AVV, auch wenn beide Anbieter unterschiedliche Aufgaben übernehmen.

Kontrolle nach Vertragsschluss

Ein unterschriebener AVV allein reicht nicht aus. Art. 28 Abs. 1 DSGVO verlangt, dass der Verantwortliche nur mit Auftragsverarbeitern zusammenarbeitet, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Ein kurzer Blick auf Zertifizierungen oder eine Sicherheitsdokumentation des Anbieters gehört deshalb zur laufenden Sorgfaltspflicht, nicht nur zum einmaligen Vertragsschluss.