"Die Autorität, einen Auftrag zu erteilen, beinhaltet die Verantwortung,

darauf zu achten, dass der Auftrag ausgeführt wird."

Henry Laurence Gantt

 

...und wir möchten hinzufügen: Sie beinhaltet auch die Verantwortung, darauf zu achten, WIE der Auftrag ausgeführt wird!
Auftragsverarbeiter sind nach DSGVO eine Stelle, die personenbezogene Daten in Ihrem Auftrag verarbeitet.
  • Sie entscheiden über den Zweck der Verarbeitung
  • Der Auftragnehmer handelt “weisungsgebunden” (verfolgt mit der Verarbeitung keinen eigenen Zweck)
 
Beispiele:
  • DV-technische Arbeiten für die Lohn- und Gehaltsabrechnung oder die Finanzbuchhaltung durch Rechenzentren,
  • Outsourcing personenbezogener Datenverarbeitung im Rahmen von Cloud-Computing, ohne dass ein inhaltlicher Datenzugriff des Cloud-Betreibers erforderlich ist,
  • Werbeadressen-verarbeitung in einem Copy-Shop,
  • Verarbeitung von Kundendaten durch ein Callcenter ohne wesentliche eigene Entscheidungsspielräume dort,
  • Datenkonvertierung oder Einscannen von Dokumenten,
  • Auslagerung der Backup-Sicherheitsspeicherung und anderer Archivierungen,
  • Datenträgerentsorgung durch Dienstleister,
  • Prüfung oder Wartung ( Fernwartung, externer Support) automatisierter Verfahren oder von Datenverarbeitungsanlagen, wenn bei diesen Tätigkeiten ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
  • Zentralisierung bestimmter „Shared Services-Dienstleistungen“ innerhalb eines Konzerns, wie Dienstreisen-Planungen oder Reisekostenabrechnungen (jedenfalls sofern kein Fall gemeinsamer Verantwortlichkeit nach Art. 26 DS-GVO vorliegt)

 

In diesen Fällen muss ein Vertrag zur Auftragsverarbeitung (Vertrag nach Art.28 DSGVO) zwischen Auftraggeber und Auftragnehmer geschlossen werden.

 
Keine Auftragsverarbeitung, sondern die Inanspruchnahme fremder Fachleistungen bei einem eigenständig Verantwortlichen, für die bei der Verarbeitung (einschließlich Übermittlung) personenbezogener Daten eine Rechtsgrundlage gemäß Art. 6 DS-GVO gegeben sein muss, sind beispielsweise in der Regel die Einbeziehung eines:
  • Berufsgeheimnisträgers (Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer),
  • Inkassobüros mit Forderungsübertragung,
  • Bankinstituts für den Geldtransfer,
  • Postdienstes für den Brieftransport,
  • und vieles mehr.
 
Keine Auftragsverarbeitung liegt ferner vor, wenn gemeinsame Verantwortlichkeit nach Art. 26 DS-GVO gegeben ist, d.h. wenn mehrere Verantwortliche gemeinsam über die Verarbeitungszwecke und  -mittel entscheiden. Hierunter können fallen:
  • klinische Arzneimittelstudien, wenn mehrere Mitwirkende ( Sponsor, Studienzentren/ Ärzte) jeweils in Teilbereichen Entscheidungen über die Verarbeitung treffen,
  • Entwicklungsgemeinschaften z.B. zur gemeinsamen Entwicklung einer neuen Technologie
  • gemeinsame Verwaltung bestimmter Datenkategorien (z.B. „Stammdaten“) für bestimmte gleichlaufende Geschäftszwecke mehrerer Konzernunternehmen.