§ 8 Auftragsverarbeitung

A. Allgemeines

Rz. 1

Die automatisierte Datenverarbeitung wird häufig nicht von der für die Aufgabenerfüllung zuständigen Stelle (ausschließlich) selbst erledigt, sondern extern vergeben. Bereits im Jahre 2010 hatte die Art. 29-Datenschutzgruppe festgestellt,^[1] dass dies "in erster Linie auf eine wachsende Tendenz hin zu einer organisatorischen Differenzierung […] zurückzuführen ist", die dahin geht, "zur Entwicklung von Lieferketten oder zur Erbringung von Dienstleistungen zwischen verschiedenen Organisationen sowie zur Auslagerung (Outsourcing) und Fremdvergabe von Dienstleistungen in dem Bestreben, die Vorteile der Spezialisierung und mögliche Skaleneffekte zu nutzen. Daher werden verschiedene Dienstleistungen immer häufiger von Dienstleistern angeboten, die ihre Rolle nicht unbedingt als Verantwortungs- oder Haftungsträger sehen." Zahlreiche Unternehmen greifen im Rahmen ihrer Personalverwaltung auf externe Dienstleister zurück, die neben der Lohnbuchhaltung auch das restliche Personalwesen verantworten. Auch diejenigen Unternehmen, die im Rahmen des Direktvertriebs versuchen, ihre Waren am Markt zu platzieren, tun dies in aller Regel nicht mit eigenen hierfür vorgehaltenen Ressourcen (z.B. Call-Centern), sondern greifen für die Durchführung einer Direktmarketingaktion auf spezialisierte Dienstleister zurück. Vom virtuellen Sekretariat bis hin zum vollkommen virtuellen "Büro ohne Büro" bieten sich für Unternehmen jeder Branche zahlreiche Möglichkeiten des Outsourcings. Die mit derartigen Maßnahmen verbundene Flexibilität wird dort datenschutzrechtlich relevant, wo Vorgänge im Zusammenhang mit personenbezogenen Daten betroffen sind.

Rz. 2

Das Datenschutzrecht sperrt sich nicht generell gegen derartige Maßnahmen, sondern lässt diese vielmehr einem besonderen Regelungsregime unterfallen, der sog. Auftragsverarbeitung, die in der Bundesrepublik Deutschland bislang als Auftragsdatenverarbeitung bezeichnet und in § 11 BDSG geregelt war. Die Besonderheit der Auftragsverarbeitung lag in einer partiellen Außerkraftsetzung des datenschutzrechtlichen Offenlegungs- und Übermittlungsbegriffs, die dadurch erreicht wurde, dass in die Verarbeitung eingebundene Dienstleister, die sich über eine den Vorgaben des § 11 BDSG genügende vertragliche Vereinbarung (sog. Auftragsdatenverarbeitungsvereinbarung) gegenüber dem Verantwortlichen verpflichtet hatten, nicht als "Dritte", sondern weitgehend "wie ein Teil des Verantwortlichen" selbst behandelt wurden. Entsprechende Vorgaben fanden sich auch in Art. 17 Abs. 2 und 3 der Datenschutzrichtlinie.

Rz. 3

Die DSGVO behält dies im Grundsatz bei, nimmt den Auftragsverarbeiter jedoch weit mehr in die (Mit-)Verantwortung als bisher. Die Kernregelung zur Auftragsverarbeitung findet sich in Art. 28 DSGVO, der Auftragsverarbeiter ist jedoch auch in zahlreichen anderen Normen adressiert, weswegen der Auftragsverarbeitung nach der DSGVO an dieser Stelle ein eigener zusammenhängender Abschnitt gewidmet wird.

[1] Art. 29-Datenschutzgruppe, Stellungnahme 1/2010 zu den Begriffen "für die Verarbeitung Verantwortlicher" und "Auftragsverarbeiter", WP 169, 8.

B. Begriff und rechtliche Grundlage der Auftragsverarbeitung

I. Stellung des Auftragsverarbeiters – Abgrenzung zum Verantwortlichen

Rz. 4

Art. 4 Nr. 8 DSGVO definiert den Auftragsverarbeiter als "eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet". Diese Definition fand sich bereits in der Datenschutzrichtlinie. Für sich genommen ist sie kaum geeignet, den Auftragsverarbeiter von den anderen Beteiligten datenschutzrechtlicher Verarbeitungen abzugrenzen. Die Legaldefinition macht deutlich, dass der Auftragsverarbeiter im Auftrag eines "Verantwortlichen" handelt und damit seinerseits hinsichtlich der im Auftrag durchgeführten Verarbeitung nicht selbst Verantwortlicher ist. Hierfür spricht auch Art. 28 Abs. 10 DSGVO, der anordnet, dass nur ein Auftragsverarbeiter, der unter Verstoß gegen die Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf die betroffenen Verarbeitungen als Verantwortlicher gilt, was im Umkehrschluss bedeutet, dass dies in allen anderen Fällen nicht der Fall sein soll.

Rz. 5

Der Auftragsverarbeiter ist vom Verantwortlichen und insbesondere vom "gemeinsam Verantwortlichen" im Sinne des Art. 26 DSGVO abzugrenzen. Maßgeblich ist, dass nur der Verantwortliche über Mittel und Zwecke einer spezifischen Verarbeitung (das Wie und Warum) entscheidet,^[2] also Art und Umfang der Verarbeitung von Daten […] beeinflusst, steuert, gestaltet und/oder sonst kontrolliert. Eine Stelle, die weder einen rechtlichen noch einen tatsächlichen Einfluss auf die Entscheidung hat, wie und warum personenbezogene Daten verarbeitet werden, kann nicht als für die Verarbeitung Verantwortlicher angesehen werden.^[3]

Rz. 6

Die Art. 29-Datenschutzgruppe^[4] definiert den "Zweck" als das "erwartete Ergebnis, das beabsichtigt ist oder die geplanten Aktionen leitet". Die "Mittel" werden als die "Art und Weise, wie ein solches Ergebnis oder Ziel erreicht wird" definiert. Der Mittel-Begriff soll...