Definition
Ein Datenverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Die Verarbeitung erfolgt dabei nicht eigenverantwortlich, sondern ausschließlich nach den Weisungen des Verantwortlichen. Der Begriff ist insbesondere im Kontext des Datenschutzrechts relevant, etwa in der Europäischen Datenschutz-Grundverordnung (DSGVO).
Die Rolle des Datenverarbeiters unterscheidet sich vom Verantwortlichen, der über die Zwecke und Mittel der Verarbeitung entscheidet. Der Datenverarbeiter führt die Datenverarbeitungstätigkeiten lediglich aus, ohne selbst die Entscheidungen über die Datenverwendung zu treffen.
Rechtlicher Hintergrund und Auftragsverarbeitung
Die rechtliche Grundlage für die Tätigkeit eines Datenverarbeiters findet sich in Artikel 28 der DSGVO, die seit Mai 2018 in der Europäischen Union gilt. Dort sind die Anforderungen an die Auftragsverarbeitung geregelt, einschließlich der Pflicht zur schriftlichen Vereinbarung zwischen Verantwortlichem und Datenverarbeiter.
Ein sogenannter Auftragsverarbeitungsvertrag (AVV) legt die Bedingungen fest, unter denen der Datenverarbeiter tätig wird. Er regelt unter anderem die Art der verarbeiteten Daten, die Dauer der Verarbeitung, Sicherheitsmaßnahmen und die Pflichten des Datenverarbeiters, etwa zur Unterstützung bei der Wahrung der Betroffenenrechte.
Funktionsweise und Pflichten
Der Datenverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der vertraglich vereinbarten Zwecke und Weisungen des Verantwortlichen. Er ist verpflichtet, geeignete technische und organisatorische Maßnahmen zum Schutz der Daten umzusetzen, um Datenschutzverletzungen zu vermeiden.
Darüber hinaus muss der Datenverarbeiter sicherstellen, dass alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit verpflichtet sind. Er hat dem Verantwortlichen bei Datenschutzvorfällen unverzüglich zu informieren und bei der Erfüllung von Betroffenenrechten, wie Auskunft oder Löschung, unterstützend mitzuwirken.
Einsatzgebiete und Beispiele
Datenverarbeiter finden sich in vielen Bereichen der Wirtschaft und Verwaltung. Typische Beispiele sind Cloud-Dienstleister, IT-Support-Unternehmen, externe Buchhaltungsfirmen oder Marketingagenturen, die personenbezogene Daten im Auftrag ihrer Kunden verarbeiten.
Auch Hosting-Provider oder Anbieter von Software-as-a-Service (SaaS) gelten häufig als Datenverarbeiter, wenn sie personenbezogene Daten verarbeiten, ohne die Zwecke der Verarbeitung selbst festzulegen. Die genaue Einordnung hängt von der jeweiligen Vertragsgestaltung und der tatsächlichen Datenverarbeitung ab.
Abgrenzung zu verwandten Begriffen
Der Datenverarbeiter ist vom Verantwortlichen zu unterscheiden, der die Entscheidungen über die Zwecke und Mittel der Datenverarbeitung trifft. Während der Verantwortliche die Verantwortung für die Einhaltung datenschutzrechtlicher Vorgaben trägt, ist der Datenverarbeiter an die Weisungen des Verantwortlichen gebunden.
Eine weitere Abgrenzung besteht zum Begriff des Auftragsverarbeiters, der häufig synonym verwendet wird, jedoch im rechtlichen Kontext die Rolle des Datenverarbeiters im Auftrag des Verantwortlichen beschreibt. Im Gegensatz dazu steht der unabhängige Datenverarbeiter, der eigene Zwecke verfolgt und somit selbst Verantwortlicher sein kann.