Rz. 7
Die Voraussetzungen für eine Verarbeitung im Auftrag eines Verantwortlichen werden seit dem 25.5.2018 unmittelbar durch Art. 28 DSGVO geregelt (Rz. 12 ff.). § 80 ergänzt diese Voraussetzungen für die Verarbeitung von Sozialdaten im Auftrag (Rz. 28).
Ausführungen zum Begriff des Auftragsverarbeiters und der Verantwortung für die Einhaltung der Datenschutzbestimmungen enthalten die Rz. 8 bis 11.
2.1 Definition
Rz. 8
Der Begriff des "Auftragsverarbeiters" ist erstmalig seit dem 25.5.2018 durch Art. 4 Nr. 8 DSGVO gesetzlich definiert als "eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet" (vgl. die Komm. zu § 67 Rz. 51).
Rz. 9
Der Auftragsbegriff ist weit auszulegen. Dabei muss der Auftragsverarbeiter nicht gänzlich eine Aufgabe erledigen; es genügt, wenn er in mindestens einem Vorgang der Verarbeitung (Art. 4 Nr. 2 DSGVO) tätig ist. Ausschlaggebend ist, dass der Auftragnehmer personenbezogene (Sozial)daten und/oder Betriebs- und Geschäftsgeheimnisse erhält.
Beispiel für eine Datenverarbeitung im Auftrag:
Es werden einer Druckerei, die Unterlagen für Sozialversicherungswahlen erstellt, auch die Adressen der im Bestand gespeicherten Versicherten übergeben, damit die Wahlunterlagen direkt von der Druckerei versandt werden können.
Rz. 10
Nicht um einen Auftrag handelt es sich, wenn der Sozialleistungsträger lediglich eine fremde EDV-Anlage benutzt, die Hardware-Einrichtungen also in Anspruch nimmt, dabei aber seine eigenen Programme und eigenes Personal einsetzt.
Ferner handelt es sich dann nicht um einen Auftrag, wenn neben der Datenverarbeitung/-nutzung auch die zugrunde liegende Aufgabe übertragen wird. In diesem Falle hat derjenige, dem die Funktion übertragen worden ist, als Verantwortlicher alle datenschutzrechtlichen Pflichten, insbesondere die Ansprüche der betroffenen Person nach Art. 15 bis 21 DSGVO zu erfüllen. In der Praxis der Sozialleistungsträger geschieht eine Funktionsübertragung vor allem bei der Bildung von Arbeitsgemeinschaften nach § 94 SGB X.
2.2 Verantwortung
Rz. 11
Bis zum 24.5.2018 legte § 80 Abs. 1 a. F. eindeutig fest, dass der Auftraggeber (Verantwortliche) auch im Fall einer Auftragsverarbeitung für die Einhaltung der Vorschriften über den Datenschutz verantwortlich bleibt und die betroffenen Personen ihre Rechte ihm gegenüber geltend machen müssen. Diese eindeutige Festlegung der Verantwortung ergibt sich seit dem 25.5.2018 weder aus der DSGVO noch wurde sie in das SGB X übernommen. Lediglich § 62 Abs. 1 BDSG hat die entsprechende Regelung des § 11 Abs. 1 BDSG a. F. übernommen (BT-Drs. 18/11325).
Aus dem Erwägungsgrund (EG) 81 DSGVO ergibt sich, dass der Auftragsverarbeiter die vorzunehmende Verarbeitung "im Namen des Verantwortlichen" durchführt.
Nach Art. 28 Abs. 3 Buchst. a (Rz. 25) und Art. 29 DSGVO hat der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person die personenbezogenen Daten ausschließlich auf Weisung des Verantwortlichen zu verarbeiten. Der Verantwortliche entscheidet "über die Zwecke und Mittel der Verarbeitung personenbezogener Daten", Art. 4 Nr. 7 DSGVO (vgl. die Komm. zu § 67 Rz. 50).
Darüber hinaus gilt der Auftragsverarbeiter – unbeschadet der Art. 82, 83 und 84 DSGVO – nur dann als Verantwortlicher für eine Verarbeitung, wenn er unter Verstoß gegen die DSGVO die Zwecke und Mittel dieser Verarbeitung bestimmt (Art. 28 Abs. 10 DSGVO).
Daraus ergibt sich zusammengefasst weiterhin die Verantwortung des Verantwortlichen für die Einhaltung der Datenschutzvorschriften. Auch ihm gegenüber haben die betroffenen Personen weiterhin ihre Rechte geltend zu machen, wie sich unmittelbar aus den Art. 15 bis 21 DSGVO ergibt; auf die Komm. zu § 83 und § 84 wird ergänzend hingewiesen.
2.3 Auftragsverarbeitung nach Art. 28 DSGVO
Rz. 12
Art. 28 DSGVO enthält in Abs. 1, 2, 4 und 5 die konkreten Anforderungen an den Auftragsverarbeiter sowie die entsprechenden Pflichten des Verantwortlichen als "Auftraggeber" (Rz. 13 bis 18) und in Abs. 3 und 6 bis 9 die Modalitäten an die Auftragserteilung (Rz. 19 bis 27).
Art. 28 Abs. 10 DSGVO stellt den Auftragsverarbeiter in bestimmten Fällen an die Stelle des Verantwortlichen (Rz. 11).
2.3.1 Anforderungen an Auftragsverarbeiter und Verantwortliche
Rz. 13
Nach Art. 28 Abs. 1 DSGVO erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleisten.
Im Ergebnis entsprechen diese Anforderungen, den Pflichten und Verantwortungen wie sie sich aus Art. 24, 25 und Art. 32 DSGVO für den Verantwortlichen ergeben (vgl. hierzu die Komm. zu § 35 SGB I Rz. 49 ff.). Das Schutzniveau soll sich nicht verändern, nur weil der Verantwortliche Verarbeitungen von Auftragsverarbeitern erledigen lässt.
Rz. 14
Als Indiz für die Einhaltung der geforderten Garantien können auch hier – wie nach Art....