Definition
Ein Sub-Auftragsverarbeiter ist eine dritte Partei, die von einem Auftragsverarbeiter beauftragt wird, um bestimmte Aufgaben im Rahmen der Verarbeitung personenbezogener Daten zu übernehmen. Dabei handelt es sich um eine Unterauftragsvergabe, bei der der ursprüngliche Auftragsverarbeiter Teile seiner Verarbeitungstätigkeiten an weitere Dienstleister auslagert. Der Sub-Auftragsverarbeiter handelt somit nicht direkt im Auftrag des Verantwortlichen, sondern im Auftrag des Auftragsverarbeiters.
Die Rolle des Sub-Auftragsverarbeiters ist insbesondere im Kontext der Datenschutz-Grundverordnung (DSGVO) relevant, da diese die Bedingungen für die Einbindung weiterer Verarbeiter regelt. Sub-Auftragsverarbeiter müssen die gleichen Datenschutzanforderungen erfüllen wie der ursprüngliche Auftragsverarbeiter und sind vertraglich an dessen Weisungen gebunden.
Was bedeutet das für Ihr Unternehmen?
Wenn Ihr Webdienstleister Server bei einem Hosting-Anbieter mietet oder einen Maildienst nutzt, sind diese Firmen Sub-Auftragsverarbeiter für Ihre Daten. Lassen Sie sich die aktuelle Liste geben und prüfen Sie, ob Anbieter außerhalb der EU darunter sind. Im Vertrag sollte stehen, dass Sie über neue Sub-Auftragsverarbeiter vorab informiert werden und widersprechen können.
Hintergrund und rechtliche Grundlagen
Die Einbindung von Sub-Auftragsverarbeitern ist in Artikel 28 der DSGVO geregelt, der die Pflichten von Auftragsverarbeitern beschreibt. Demnach darf ein Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen keine weiteren Unterauftragsverarbeiter einschalten. Dies dient dem Schutz der Betroffenen und der Kontrolle über die Datenverarbeitungskette.
Die DSGVO schreibt vor, dass der Auftragsverarbeiter gegenüber dem Verantwortlichen die Einhaltung der Datenschutzvorgaben durch den Sub-Auftragsverarbeiter sicherstellen muss. Dies umfasst insbesondere die vertragliche Bindung an die Datenschutzanforderungen und die Überwachung der Verarbeitungstätigkeiten. Verstöße können zu Bußgeldern und Haftungsansprüchen führen.
Funktionsweise und vertragliche Regelungen
In der Praxis wird der Sub-Auftragsverarbeiter durch einen sogenannten Sub-Auftragsverarbeitungsvertrag eingebunden, der die Rechte und Pflichten im Umgang mit personenbezogenen Daten festlegt. Dieser Vertrag ist eine Erweiterung oder Ergänzung des ursprünglichen Auftragsverarbeitungsvertrags zwischen Verantwortlichem und Auftragsverarbeiter.
Der Vertrag regelt unter anderem die Art der verarbeiteten Daten, die Zwecke der Verarbeitung, Sicherheitsmaßnahmen sowie die Pflichten zur Unterstützung bei Datenschutzanfragen. Zudem muss der Auftragsverarbeiter sicherstellen, dass der Sub-Auftragsverarbeiter die Daten nur entsprechend den Weisungen verarbeitet.
Einsatzgebiete
Sub-Auftragsverarbeiter kommen häufig in komplexen IT-Dienstleistungen zum Einsatz, etwa bei Cloud-Anbietern, Rechenzentren, Softwareentwicklung oder Supportleistungen. Dabei werden spezialisierte Dienstleister eingebunden, die bestimmte technische oder organisatorische Aufgaben übernehmen.
Auch in der Logistik, im Marketing oder bei Zahlungsdienstleistern können Sub-Auftragsverarbeiter beteiligt sein, wenn sie im Auftrag des Auftragsverarbeiters personenbezogene Daten verarbeiten. Die Einbindung ermöglicht eine flexible und spezialisierte Erfüllung von Teilaufgaben innerhalb der Datenverarbeitungskette.
Abgrenzung zu verwandten Begriffen
Der Sub-Auftragsverarbeiter unterscheidet sich vom Auftragsverarbeiter dadurch, dass er nicht direkt vom Verantwortlichen beauftragt wird, sondern vom Auftragsverarbeiter. Der Verantwortliche bleibt somit der Hauptauftraggeber, während der Sub-Auftragsverarbeiter eine untergeordnete Rolle einnimmt.
Im Gegensatz zum Verantwortlichen, der die Zwecke und Mittel der Datenverarbeitung bestimmt, handelt der Sub-Auftragsverarbeiter ausschließlich nach Weisung des Auftragsverarbeiters. Zudem ist der Sub-Auftragsverarbeiter von einem selbstständigen Dienstleister zu unterscheiden, der eigenverantwortlich personenbezogene Daten verarbeitet.