Definition
Auftragsverarbeitung bezeichnet die Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag eines Verantwortlichen. Dabei handelt es sich um eine Tätigkeit, bei der der Auftragnehmer Daten ausschließlich nach Weisung des Auftraggebers verarbeitet. Ziel ist es, datenschutzrechtliche Vorgaben einzuhalten und die Kontrolle über die Datenverarbeitung beim Verantwortlichen zu belassen.
Der Begriff ist insbesondere im Kontext der Datenschutz-Grundverordnung (DSGVO) relevant, die klare Regeln für die Auftragsverarbeitung festlegt. Die Auftragsverarbeitung umfasst alle Vorgänge, bei denen personenbezogene Daten erhoben, gespeichert, verändert, übermittelt oder gelöscht werden, sofern diese im Auftrag erfolgen.
Was bedeutet das für Ihr Unternehmen?
Sobald ein externer Dienstleister für Sie personenbezogene Daten speichert oder bearbeitet, etwa Ihr Hoster, Newsletter-Tool, Lohnbüro oder die Agentur mit Zugang zum Shop, liegt in der Regel eine Auftragsverarbeitung vor. Sie bleiben dabei verantwortlich und brauchen mit jedem dieser Dienstleister einen Auftragsverarbeitungsvertrag. Eine kurze Liste aller Dienstleister mit Datenzugriff, ergänzt um den Stand des jeweiligen Vertrags, ist ein guter erster Schritt.
Rechtliche Grundlagen
Die rechtlichen Rahmenbedingungen für die Auftragsverarbeitung sind in Artikel 28 der DSGVO geregelt, die seit Mai 2018 in der Europäischen Union gilt. Diese Vorschrift verpflichtet Verantwortliche dazu, nur solche Auftragsverarbeiter zu beauftragen, die ausreichende Garantien für die Einhaltung des Datenschutzes bieten.
Darüber hinaus muss zwischen Verantwortlichem und Auftragsverarbeiter ein schriftlicher Vertrag geschlossen werden, der die Art und den Zweck der Datenverarbeitung, die Dauer, die Art der Daten sowie die Rechte und Pflichten beider Parteien genau beschreibt. Diese vertraglichen Regelungen dienen dem Schutz der betroffenen Personen und der Rechtssicherheit.
Funktionsweise der Auftragsverarbeitung
In der Praxis überträgt der Verantwortliche bestimmte Datenverarbeitungsaufgaben an externe Dienstleister, die als Auftragsverarbeiter fungieren. Diese Aufgaben können beispielsweise das Hosting von Daten, die Durchführung von IT-Sicherheitsmaßnahmen oder die Abwicklung von Kundenservice umfassen.
Der Auftragsverarbeiter handelt dabei ausschließlich nach den Weisungen des Verantwortlichen und darf die Daten nicht für eigene Zwecke nutzen. Zudem ist er verpflichtet, geeignete technische und organisatorische Maßnahmen zum Schutz der Daten zu treffen und dem Verantwortlichen bei der Einhaltung der Datenschutzvorschriften zu unterstützen.
Einsatzgebiete der Auftragsverarbeitung
Auftragsverarbeitung findet in vielen Bereichen der Wirtschaft und Verwaltung Anwendung. Typische Beispiele sind Cloud-Dienste, Rechenzentren, Callcenter, Marketingagenturen oder IT-Dienstleister, die personenbezogene Daten im Auftrag verarbeiten.
Auch in der Softwareentwicklung und im Betrieb von Anwendungen, die personenbezogene Daten verarbeiten, ist die Auftragsverarbeitung üblich. Dabei ist es wichtig, dass der Verantwortliche die Einhaltung der Datenschutzanforderungen durch den Auftragsverarbeiter regelmäßig überprüft.
Abgrenzung zu verwandten Begriffen
Die Auftragsverarbeitung ist vom Begriff der Datenverarbeitung durch einen Verantwortlichen zu unterscheiden. Während der Verantwortliche selbst über die Zwecke und Mittel der Datenverarbeitung entscheidet, handelt der Auftragsverarbeiter nur nach Weisung und ohne eigene Entscheidungskompetenz.
Ein verwandter Begriff ist die Datenübermittlung an Dritte, die nicht im Rahmen einer Auftragsverarbeitung erfolgt. Hierbei entscheidet der Empfänger selbst über die Datenverarbeitung, was andere rechtliche Anforderungen auslöst. Zudem unterscheidet sich die Auftragsverarbeitung von der gemeinsamen Verantwortlichkeit, bei der mehrere Parteien gemeinsam über die Datenverarbeitung bestimmen.