Auftragsverarbeitung ist einer von vielen mit Unsicherheit verbundenen Punkten in der DSGVO Umsetzung. Grund ist vor allem die unklare Regelung wann Auftragsverarbeitung vorliegt.
Nicht hilfreich sind die von den Datenschutzbeauftragten, bzw. Aufsichtsbehörden für Datenschutz der Länder unterschiedlichen Auslegungen und Betrachtungen.
kurze Zusammenfassung zur Auftragsverarbeitung
Auftragsverarbeitung liegt vor, wenn Sie eine natürliche oder juristische Person mit der Verarbeitung fremder, oder nicht eigener, personenbezogener Daten beauftragen.
(Art.4 Nr. 8 DSGVO „Auftragsverarbeiter“ )
Der Auftragsverarbeiter entscheidet nicht selbst darüber, wie die Daten des Auftraggebers verarbeitet werden, bzw. was damit passiert. Er erhält Anweisungen darüber, was zu tun ist.
Zweck, Mittel und Umfang der Verarbeitung werden durch die verantwortliche Stelle festgelegt und bestimmt. Der Auftragsverarbeiter hat für die verarbeiteten personenbezogenen Daten keine eigene Verwendung und arbeitet weisungsgebunden. Verantwortlich für die Verarbeitung ist die verantwortliche Stelle. Sie muss die Rechtmäßigkeit der Verarbeitung und Einhaltung der gesetzlichen Vorgaben gegenüber der betroffenen Person sorgen.
(siehe dazu auch Art.4 Nr. 7 DSGVO „Verantwortlicher“)
Links mit Infos zur Auftragsverarbeitung
Aktuelle Rechtsprechung gibt es noch nicht. Dafür aber Orientierungshilfen von Aufsichtsbehörden die, wenn man es positiv betrachten möchte, bemüht sind hier Klarheit zu schaffen.
PDF FAQ zur Auftragsverarbeitung… von Die Landesbauftragte für den Datenschutz Niedersachsen
PDF Auftragsverarbeitung nach DS-GVO (2018) von Der Landesbauftragte für den Datenschutz Baden-Württemberg
Abgrenzung zur Auftragsverarbeitung des Bayerischen Landesamtes für Datenschutzaufsicht
Stellungnahme der Datenschutzkonferenz (DSK) zur Auftragsverarbeitung
Leitlinien des Europäischen Datenschutzausschusses zu „Verantwortlicher“ und „Auftragsverarbeiter“ (englisch)
Working Paper 169 mit einer Stellungnahme zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ der Artikel 29 Datenschutzgruppe (Stand 2010)
