Auftragsverarbeitung bezeichnet die Verarbeitung personenbezogener Daten, die von einem Dienstleister auf Anweisung des Verantwortlichen durchgeführt wird. Der Verantwortliche bestimmt den Zweck und die wesentlichen Mittel, während der Dienstleister nur die nicht wesentlichen Mittel auswählt. Es gibt Unterauftragsvergabe nur, wenn der Dienstleister keine eigenen Zwecke hat und wenn die Verarbeitung ein zentrales Element der Dienstleistung darstellt.
***
1. Definition der Rollen
Organisationen arbeiten oft mit externen Dienstleistern zusammen, die personenbezogene Daten verarbeiten. Die korrekte Qualifikation — Unterauftragnehmer, gemeinsame Verantwortliche oder autonomer Verantwortlicher — bestimmt die Verpflichtungen, die Dokumentation und die Verantwortung.
2. Schlüsselmerkmal: das Weisungsrecht
Es gibt Unterauftragsvergabe, wenn der Dienstleister den Anweisungen des Verantwortlichen unterliegt und nicht für eigene Zwecke handelt. Der Verantwortliche bestimmt den Zweck und die wesentlichen Mittel der Verarbeitung.
3. Hinweise auf Unterauftragsvergabe
Rolle der „Betriebserweiterung“
detaillierte Anweisungen
Unterstützungsfunktion
keine Entscheidung über die Art oder Menge der Daten
Fehlen eines eigenen Interesses
systematischer Zugang zu den Daten
4. Wann es sich nicht um Unterauftragsvergabe handelt
Es gibt keine Unterauftragsvergabe, wenn der Dienstleister über eine eigene Rechtsgrundlage verfügt (Rechtsanwälte, Steuerberater), eigene Zwecke verfolgt oder wenn die Verarbeitung nur eine Nebenwirkung der Dienstleistung ist.
5. Hauptaktivität als Hinweis
Wenn die Datenverarbeitung das zentrale Element der Dienstleistung (Hosting, Cloud-Dienste) darstellt, deutet dies in der Regel auf eine Unterauftragsvergabe hin.
***
Eine Qualifikation korrekt zwischen Unterauftragsvergabe, gemeinsame Verantwortung und eigenverantwortliche Verantwortung ist entscheidend, um die Konformität zu gewährleisten, Risiken zu minimieren und die vertraglichen Verpflichtungen zu strukturieren. Um die Analyse zu erleichtern, empfehlen wir, die Entscheidungslogik und die nachstehende Checkliste als Ausgangspunkt vor einer umfassenden rechtlichen Bewertung zu verwenden.