01

Der Unterschied in Kürze

Der Verantwortliche ist derjenige, der die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt; der Auftragsverarbeiter ist derjenige, der Daten im Auftrag des Verantwortlichen gemäß dessen Anweisungen verarbeitet.

Diese Unterscheidung, definiert in Artikel 4 der DSGVO, bestimmt, wer welche Pflichten gegenüber den betroffenen Personen und den Aufsichtsbehörden trägt.

02

Warum die Unterscheidung wichtig ist

Die zugewiesene Rolle ist keine Frage der Bezeichnung: Sie hängt davon ab, wer tatsächlich entscheidet, warum und wie Daten verarbeitet werden. Eine Organisation, die Daten erhält und sie nach den Anweisungen eines anderen verarbeitet, ist Auftragsverarbeiter, nicht Verantwortlicher, unabhängig davon, wie sie im Vertrag bezeichnet wird.

03

Wie man die Rolle Schritt für Schritt feststellt

Schritte

  1. Fragen, wer die Zwecke der Verarbeitung festlegt: diese Partei ist, allein oder gemeinsam mit anderen, der Verantwortliche.
  2. Prüfen, wer die technischen und organisatorischen Mittel der Verarbeitung festlegt: auch dies weist auf den Verantwortlichen hin.
  3. Wenn eine Organisation Daten nur im Auftrag einer anderen und nach deren Anweisungen verarbeitet, ist diese Organisation der Auftragsverarbeiter.
  4. Die Beziehung durch einen Vertrag oder einen anderen Rechtsakt formalisieren, der Gegenstand, Dauer, Art, Zweck, Art der Daten und Kategorien betroffener Personen festlegt.
  5. Prüfen, dass der Vertrag die für den Auftragsverarbeiter erforderlichen spezifischen Pflichten enthält und nicht nur einen allgemeinen Verweis auf die DSGVO.

04

Hypothetisches Beispiel

Ein Anbieter von Verwaltungssoftware verarbeitet die Kundendaten eines Fertigungsunternehmens gemäß dessen dokumentierten Anweisungen: in diesem hypothetischen Szenario ist das Fertigungsunternehmen Verantwortlicher, der Softwareanbieter Auftragsverarbeiter. Würde der Anbieter einen weiteren Anbieter für das Hosting einsetzen, bräuchte er die schriftliche Genehmigung des Verantwortlichen und müsste dem Hosting-Anbieter dieselben Datenschutzpflichten wie im ursprünglichen Vertrag vorgesehen auferlegen.

05

Elemente, die der Vertrag mit dem Auftragsverarbeiter enthalten muss

  • Eine dokumentierte Anweisung des Verantwortlichen als alleinige Grundlage für die Verarbeitung durch den Auftragsverarbeiter.
  • Eine Vertraulichkeitsverpflichtung der zur Verarbeitung befugten Personen.
  • Nach Artikel 32 angemessene technische und organisatorische Maßnahmen.
  • Bedingungen für den Einsatz eines Unterauftragsverarbeiters, einschließlich derselben Datenschutzgarantien.
  • Unterstützung des Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen und bei der Einhaltung der Pflichten aus den Artikeln 32-36.
  • Löschung oder Rückgabe der Daten nach Beendigung der Dienstleistung, sofern keine gesetzliche Aufbewahrungspflicht besteht.
  • Bereitstellung der zum Nachweis der Einhaltung erforderlichen Informationen und Ermöglichung von Audits.

06

Wie man Rollen und Nachweise mit einem Software-Partner organisiert

Eine Organisation kann sich dafür entscheiden, zusammen mit ihrem Software-Partner ein klares Register zu erstellen, wer für jede Verarbeitung Verantwortlicher und wer Auftragsverarbeiter ist, mit verknüpften Verträgen und Aktualisierungsdatum. Dies ist eine empfohlene betriebliche Entscheidung, keine Pflicht aus einer bestimmten Softwarefunktion.

Es kann sich zudem lohnen festzulegen, wer im Unternehmen den Einsatz von Unterauftragsverarbeitern genehmigt und wer regelmäßig prüft, dass Verträge die erforderlichen Pflichten enthalten, wobei die den Auftragsverarbeitern dokumentiert erteilten Anweisungen nachvollziehbar bleiben.

07

In der Praxis, in drei Schritten

Schritte

  1. Erfassen, wer für jede Verarbeitung personenbezogener Daten im Unternehmen Zwecke und Mittel festlegt.
  2. Den Vertrag mit jedem Auftragsverarbeiter erstellen oder prüfen und alle erforderlichen Pflichten aufnehmen.
  3. Die Ketten von Unterauftragsverarbeitern und die erteilten Genehmigungen regelmäßig überprüfen.

08

Nächster Schritt

Überprüfen Sie die bestehenden Verarbeitungsverträge und vergleichen Sie jede Klausel mit den in dieser Checkliste aufgeführten Pflichten vor der nächsten Vertragsüberprüfung.

FAQ

Häufig gestellte Fragen

Kann ein Unternehmen sowohl Verantwortlicher als auch Auftragsverarbeiter sein?

Ja, je nach konkreter Verarbeitung: bei einer Verarbeitung kann es Zwecke und Mittel festlegen (Verantwortlicher), bei einer anderen Daten nach Anweisung Dritter verarbeiten (Auftragsverarbeiter). Die Rolle muss für jede Verarbeitung einzeln bewertet werden.

Kann ein Auftragsverarbeiter einen anderen Anbieter einsetzen, ohne den Verantwortlichen zu informieren?

Nein: der Auftragsverarbeiter darf einen anderen Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung, spezifisch oder allgemein, des Verantwortlichen einsetzen, und im Fall einer allgemeinen Genehmigung muss er ihn über geplante Änderungen informieren.

Was muss der Auftragsverarbeiter tun, wenn eine Anweisung des Verantwortlichen rechtswidrig ist?

Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren, wenn eine Anweisung seiner Ansicht nach gegen die DSGVO oder andere nationale oder unionsrechtliche Datenschutzbestimmungen verstößt.

✓

Quellen und Prüfung