Welche Informationen unterscheiden einen Unterauftragsverarbeiter von einem Subunternehmen?

Um einen Unterauftragsverarbeiter (auch Subunternehmer im Sinne der DSGVO) von einem sonstigen Subunternehmen zu unterscheiden, sind folgende Informationen entscheidend:

1. **Art der Tätigkeit**:
Ein Unterauftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und auf Weisung des Verantwortlichen (oder eines Auftragsverarbeiters) gemäß Art. 28 DSGVO. Ein sonstiges Subunternehmen erbringt Leistungen, die nicht mit der Verarbeitung personenbezogener Daten im Auftrag zusammenhängen (z. B. Gebäudereinigung, Wartung ohne Zugriff auf Daten).

2. **Zugriff auf personenbezogene Daten**:
Der Unterauftragsverarbeiter erhält Zugang zu personenbezogenen Daten, um diese im Rahmen des Hauptauftrags zu verarbeiten. Ein sonstiges Subunternehmen hat entweder keinen Zugriff auf personenbezogene Daten oder verarbeitet diese nicht im Auftrag des Verantwortlichen.

3. **Vertragliche Einbindung**:
Für Unterauftragsverarbeiter ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwingend erforderlich. Für sonstige Subunternehmen gelten allgemeine zivilrechtliche Verträge, aber keine speziellen datenschutzrechtlichen Anforderungen.

4. **Weisungsgebundenheit**:
Unterauftragsverarbeiter handeln ausschließlich auf Weisung des Verantwortlichen oder des Hauptauftragsverarbeiters. Sonstige Subunternehmen handeln eigenverantwortlich im Rahmen ihres Auftrags.

**Zusammengefasst:**
Entscheidend ist, ob das Subunternehmen im Auftrag personenbezogene Daten verarbeitet (dann Unterauftragsverarbeiter) oder ob es Leistungen erbringt, die keinen Bezug zur Datenverarbeitung im Auftrag haben (dann sonstiges Subunternehmen).

Weitere Informationen zur Abgrenzung findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_05_auslegung_auftragsverarbeitung.pdf) (DSK) und im [Leitfaden der BayLDA](https://www.lda.bayern.de/media/baylda_dsfa_leitfaden.pdf).