16 Fragen zu Auftragsverarbeiter

Eine Stelle gilt als Auftragsverarbeiter gemäß der Datenschutz-Grundverordnung (DSGVO), wenn sie personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Die wichtigsten Merkmale sind: 1. **Verarbeitung im Auftrag**: Der Auftragsverarbeiter handelt nur auf Weisung des Verantwortlichen und nicht in eigenem Interesse. 2. **Verarbeitung personenbezogener Daten**: Die Stelle muss Daten verarbeiten, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. 3. **Vertragliche Regelung**: Es muss ein schriftlicher Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter bestehen, der die Bedingungen der Datenverarbeitung festlegt. Auftragsverarbeiter können Unternehmen oder Einzelpersonen sein, die Dienstleistungen anbieten, die eine Datenverarbeitung erfordern, wie z.B. Cloud-Dienste, IT-Dienstleister oder Marketingagenturen.

Ein Auftragsverarbeiter bleibt auch bei der Einbindung eines Unterauftragnehmers grundsätzlich verantwortlich für die Verarbeitung der Daten. Nach der Datenschutz-GrundverordnungDSGVO) ist der Auftragsverarbeiter verpflichtet, sicherzustellen, dass der Unterauftragnehmer die gleichen Datenschutzstandards einhält. Der Auftragsverarbeiter muss daher sicherstellen, dass im Vertrag mit dem Unterauftragnehmer entsprechende Regelungen getroffen werden, die den Schutz der personenbezogenen Daten garantieren. Im Falle von Datenschutzverletzungen kann der Auftragsverarbeiter haftbar gemacht werden, auch wenn die Verarbeitung durch den Unterauftragnehmer erfolgt.

Ein Auftragsverarbeiter bleibt grundsätzlich Verantwortlicher im Sinne des Datenschutzrechts, auch wenn er einen Unterauftragnehmer einsetzt. Der Auftragsverarbeiter handelt im Auftrag des Verantwortlichen und ist dafür verantwortlich, dass die Verarbeitung personenbezogener Daten im Einklang mit den geltenden Datenschutzgesetzen erfolgt. Wenn ein Auftragsverarbeiter einen Unterauftragnehmer einsetzt, muss er sicherstellen, dass dieser ebenfalls die erforderlichen Datenschutzstandards einhält. Der Auftragsverarbeiter bleibt jedoch für die Einhaltung der Datenschutzvorschriften verantwortlich, auch wenn die Datenverarbeitung durch den Unterauftragnehmer erfolgt. Es ist wichtig, dass im Vertrag zwischen dem Auftragsverarbeiter und dem Unterauftragnehmer klare Regelungen zur Datenverarbeitung und zum Datenschutz getroffen werden.

Ob Vermarkter im Online-Marketing als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten, hängt von ihrer konkreten Rolle und den vertraglichen Vereinbarungen ab. **Grundsätzliches:** - **Auftragsverarbeiter** ist nach Art. 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. - **Vermarkter** im Online-Marketing (z.B. Ad Networks, Agenturen, Plattformen) können unterschiedliche Rollen einnehmen. **Typische Szenarien:** 1. **Vermarkter als Auftragsverarbeiter:** Wenn der Vermarkter ausschließlich im Auftrag des Website-Betreibers handelt, dessen Weisungen befolgt und keine eigenen Zwecke verfolgt (z.B. Schaltung von Werbung auf Weisung, ohne eigene Datenverwendung), ist er Auftragsverarbeiter. In diesem Fall ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. 2. **Vermarkter als (gemeinsam) Verantwortlicher:** Nutzt der Vermarkter die Daten auch für eigene Zwecke (z.B. Profilbildung, Retargeting, eigene Analysen), ist er in der Regel (Mit-)Verantwortlicher. Dann ist kein AVV, sondern ggf. eine Vereinbarung zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO notwendig. **Fazit:** Ob ein Vermarkter Auftragsverarbeiter ist, hängt davon ab, ob er ausschließlich im Auftrag und nach Weisung des Kunden handelt oder eigene Zwecke verfolgt. Die genaue Einordnung sollte im Einzelfall geprüft und vertraglich klar geregelt werden. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz (DSK)](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auslegung_auftragsverarbeitung.pdf) und beim [BayLDA](https://www.lda.bayern.de/media/FAQ_Auftragsverarbeitung.pdf).

Ob Affiliated Agency, Data Partner, Media Platform, Media Vendor oder Tech Partner als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten, hängt von ihrer konkreten Rolle und den vertraglichen sowie tatsächlichen Gegebenheiten ab. Die Begriffe selbst sind keine datenschutzrechtlichen Kategorien, sondern beschreiben Geschäftsbeziehungen oder Funktionen im digitalen Marketing und der Werbebranche. **Definition Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO):** Ein Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. **Erläuterung zu den genannten Begriffen:** - **Affiliated Agency:** Eine Agentur, die im Auftrag eines Kunden handelt, kann Auftragsverarbeiter sein, wenn sie personenbezogene Daten ausschließlich nach Weisung des Kunden verarbeitet. Agiert sie jedoch eigenverantwortlich (z.B. als Co-Verantwortlicher), ist sie kein reiner Auftragsverarbeiter. - **Data Partner:** Ein Datenpartner kann Auftragsverarbeiter sein, wenn er Daten nur im Auftrag und nach Weisung verarbeitet. Nutzt er die Daten aber auch für eigene Zwecke, ist er (Mit-)Verantwortlicher. - **Media Platform / Media Vendor:** Plattformen oder Anbieter, die Werbeflächen bereitstellen, sind meist eigenständige Verantwortliche, da sie über die Zwecke und Mittel der Datenverarbeitung selbst entscheiden. In Einzelfällen können sie aber auch als Auftragsverarbeiter agieren, etwa wenn sie ausschließlich im Auftrag handeln. - **Tech Partner:** Technologiedienstleister (z.B. für Tracking, Analyse) sind häufig Auftragsverarbeiter, wenn sie Daten nur im Auftrag und nach Weisung des Kunden verarbeiten. Entwickeln sie aber eigene Produkte oder nutzen Daten für eigene Zwecke, sind sie (Mit-)Verantwortliche. **Fazit:** Ob eine der genannten Parteien als Auftragsverarbeiter gilt, ist keine Frage des Namens, sondern der tatsächlichen Datenverarbeitung und der vertraglichen Ausgestaltung. Entscheidend ist, ob die Partei ausschließlich im Auftrag und nach Weisung eines Verantwortlichen handelt (dann Auftragsverarbeiter) oder eigene Zwecke verfolgt (dann Verantwortlicher oder gemeinsam Verantwortlicher). **Weitere Informationen:** - [Art. 28 DSGVO – Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/) - [Auftragsverarbeitung vs. gemeinsame Verantwortlichkeit (BfDI)](https://www.bfdi.bund.de/DE/Infothek/Schlagworte/A/Auftragsverarbeitung/auftragsverarbeitung.html) Eine genaue Einordnung ist immer im Einzelfall vorzunehmen.

Um festzustellen, ob ein neuer Vendor (Dienstleister, Lieferant) als Auftragsverarbeiter im Sinne der DSGVO (Datenschutz-Grundverordnung) agiert, sollte die Abteilung gezielte Fragen stellen, die klären, ob und wie der Vendor personenbezogene Daten im Auftrag des Unternehmens verarbeitet. Wichtige Fragen sind: 1. **Werden personenbezogene Daten im Rahmen der Dienstleistung verarbeitet?** (z. B. Kundendaten, Mitarbeiterdaten, Nutzerdaten) 2. **Verarbeitet der Vendor die Daten ausschließlich im Auftrag und nach Weisung des Unternehmens?** (Oder entscheidet der Vendor selbst über Zwecke und Mittel der Verarbeitung?) 3. **Welche Art von personenbezogenen Daten werden verarbeitet?** (z. B. Name, Adresse, Kontaktdaten, besondere Kategorien wie Gesundheitsdaten) 4. **Zu welchen Zwecken werden die Daten verarbeitet?** (z. B. Hosting, Support, Marketing, Lohnabrechnung) 5. **Hat der Vendor Zugriff auf die Daten oder werden diese nur durchgeleitet?** (z. B. Speicherung, Bearbeitung, Löschung) 6. **Findet die Verarbeitung der Daten ausschließlich im Rahmen der vertraglich vereinbarten Leistungen statt?** 7. **Werden die Daten an Dritte weitergegeben oder Subunternehmer eingesetzt?** (Wenn ja: Wer sind diese und wo sitzen sie?) 8. **Wer trägt die Verantwortung für die Einhaltung der Datenschutzvorschriften bei der Verarbeitung?** (Vendor oder das Unternehmen?) 9. **Findet eine Übermittlung der Daten in Drittländer außerhalb der EU/des EWR statt?** (Wenn ja: Welche Schutzmaßnahmen bestehen?) 10. **Besteht bereits eine Vereinbarung zur Auftragsverarbeitung (AVV) oder ist der Vendor bereit, eine solche abzuschließen?** Mit diesen Fragen kann die Abteilung einschätzen, ob der Vendor als Auftragsverarbeiter im Sinne von Art. 28 DSGVO einzustufen ist und ob entsprechende vertragliche und organisatorische Maßnahmen erforderlich sind.

Ein Versicherungsunternehmen ist in der Regel **kein Auftragsverarbeiter** im Sinne der Datenschutz-Grundverordnung (DSGVO). **Begründung:** Ein Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung eines Verantwortlichen (§ Art. 4 Nr. 8 DSGVO). Ein Versicherungsunternehmen hingegen verarbeitet die Daten seiner Kunden in der Regel **als eigener Verantwortlicher** (§ Art. 4 Nr. 7 DSGVO), da es selbst über die Zwecke und Mittel der Datenverarbeitung entscheidet – etwa zur Vertragsabwicklung, Risikoprüfung oder Schadensbearbeitung. **Beispiel:** Wenn du eine Versicherung abschließt, erhebt und verarbeitet das Versicherungsunternehmen deine Daten, um den Vertrag zu erfüllen. Es handelt dabei eigenverantwortlich und nicht im Auftrag eines Dritten. **Ausnahme:** Nur in sehr speziellen Konstellationen, etwa wenn ein Versicherungsunternehmen für einen anderen Verantwortlichen rein weisungsgebunden Daten verarbeitet (z.B. als Dienstleister für ein anderes Unternehmen), könnte es als Auftragsverarbeiter agieren. Das ist aber im klassischen Versicherungsgeschäft unüblich. **Fazit:** Versicherungsunternehmen sind in der Regel Verantwortliche und keine Auftragsverarbeiter. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auftragsverarbeitung.pdf) (DSK) oder bei der [Bundesbeauftragten für den Datenschutz](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verantwortlicher-Auftragsverarbeiter/Verantwortlicher-Auftragsverarbeiter.html).

Ob Distributoren als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten, hängt von ihrer konkreten Rolle und den verarbeiteten Daten ab. **Definitionen nach DSGVO:** - **Auftragsverarbeiter** ist eine Stelle, die personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). - **Verantwortlicher** ist die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). **Typische Rolle von Distributoren:** Distributoren sind in der Regel Unternehmen, die Produkte von Herstellern an Händler oder Endkunden weiterverkaufen. Sie handeln dabei meist im eigenen Namen und auf eigene Rechnung. In diesem Zusammenhang verarbeiten sie Kundendaten für eigene Zwecke (z.B. zur Abwicklung von Bestellungen, Rechnungsstellung etc.). **Fazit:** - **In der Regel sind Distributoren keine Auftragsverarbeiter**, sondern selbst Verantwortliche, da sie über die Zwecke und Mittel der Datenverarbeitung entscheiden. - **Ausnahme:** Wenn ein Distributor im Einzelfall ausschließlich im Auftrag eines anderen Unternehmens personenbezogene Daten verarbeitet und dabei keine eigenen Zwecke verfolgt, könnte er als Auftragsverarbeiter gelten. Das ist aber im klassischen Distributionsgeschäft selten. **Weiterführende Informationen:** - [Art. 4 DSGVO – Begriffsbestimmungen](https://dsgvo-gesetz.de/art-4-dsgvo/) - [Auftragsverarbeitung nach DSGVO – IHK](https://www.ihk.de/berlin/produktmarken/beratung-service/recht-und-steuern/datenschutz/auftragsverarbeitung-4189642) **Zusammengefasst:** Distributoren sind in der Regel keine Auftragsverarbeiter, sondern Verantwortliche im Sinne der DSGVO.

Ob ein Whistleblower-Anbieter als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gilt, hängt davon ab, wie die Dienstleistung ausgestaltet ist. **Grundsätzliches:** Ein Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Der Verantwortliche (z. B. ein Unternehmen, das ein Hinweisgebersystem einführt) entscheidet über Zweck und Mittel der Datenverarbeitung. **Typischer Fall:** Ein externer Whistleblower-Anbieter stellt meist eine technische Plattform (z. B. ein Hinweisgebersystem) zur Verfügung und verarbeitet dabei personenbezogene Daten (z. B. Name des Hinweisgebers, beschuldigte Personen, Inhalte der Meldung) im Auftrag des Unternehmens. In diesem Fall ist der Anbieter in der Regel ein Auftragsverarbeiter, da er die Daten nur im Auftrag und nach Weisung des Unternehmens verarbeitet. **Ausnahme:** Handelt der Anbieter eigenverantwortlich, z. B. indem er selbst über die Zwecke und Mittel der Datenverarbeitung entscheidet (etwa bei einer anonymen Ombudsstelle, die eigenständig Fälle prüft und entscheidet, ob und wie sie weitergeleitet werden), könnte er als (gemeinsamer) Verantwortlicher gelten. **Fazit:** In den meisten Fällen ist ein Whistleblower-Anbieter ein Auftragsverarbeiter im Sinne der DSGVO. Es sollte jedoch immer im Einzelfall geprüft werden, wie die Rollenverteilung konkret ausgestaltet ist. Weitere Informationen: - [Art. 4 Nr. 8 DSGVO – Definition Auftragsverarbeiter](https://dsgvo-gesetz.de/art-4-dsgvo/) - [Hinweise der Datenschutzkonferenz zu Whistleblowing-Systemen (PDF)](https://www.datenschutzkonferenz-online.de/media/dskb/2022_24_Whistleblowing.pdf)

Ob ein Dienstleister, der Adressen für Werbezwecke einkauft, als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gilt, hängt vom konkreten Auftrag und der Rolle des Dienstleisters ab. **Grundsätzliches:** - **Auftragsverarbeiter** ist nach Art. 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. - **Verantwortlicher** ist nach Art. 4 Nr. 7 DSGVO die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet. **Typische Konstellationen:** 1. **Dienstleister kauft Adressen im eigenen Namen und verkauft sie weiter:** In diesem Fall ist der Dienstleister selbst Verantwortlicher für die Datenverarbeitung, da er über die Zwecke und Mittel der Datenerhebung entscheidet. Er ist dann kein Auftragsverarbeiter. 2. **Dienstleister kauft Adressen ausdrücklich im Auftrag und nach Weisung des Auftraggebers:** Hier könnte der Dienstleister als Auftragsverarbeiter agieren, wenn er ausschließlich im Namen und auf Weisung des Auftraggebers handelt und keine eigenen Zwecke verfolgt. **Praxis:** In der Regel kaufen Adresshändler oder Dienstleister Adressen im eigenen Namen und bieten sie verschiedenen Kunden an. Sie sind dann **eigene Verantwortliche** und nicht Auftragsverarbeiter. Nur wenn der Dienstleister ausschließlich für einen bestimmten Auftraggeber und nach dessen Weisung handelt, kann eine Auftragsverarbeitung vorliegen. **Fazit:** Ein Dienstleister, der Adressen für Werbezwecke einkauft, ist **in der Regel kein Auftragsverarbeiter**, sondern selbst Verantwortlicher. Eine Auftragsverarbeitung liegt nur vor, wenn der Dienstleister ausschließlich im Auftrag und nach Weisung des Auftraggebers handelt. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auslegung_auftragsverarbeitung.pdf) (DSK) und beim [BayLDA](https://www.lda.bayern.de/media/FAQ_Auftragsverarbeitung.pdf).

Um echte Unter-Auftragsverarbeiter (Subunternehmer im Sinne der DSGVO) zu erkennen, sind folgende Informationen entscheidend: 1. **Art der Dienstleistung:** Der Unter-Auftragsverarbeiter muss tatsächlich im Auftrag des Hauptdienstleisters personenbezogene Daten verarbeiten, die im Zusammenhang mit dem Hauptauftrag stehen. 2. **Vertragliche Einbindung:** Es muss ein Vertrag oder eine Vereinbarung bestehen, die die Datenverarbeitung im Auftrag regelt (Art. 28 DSGVO). 3. **Zweck der Datenverarbeitung:** Die Verarbeitung muss ausschließlich im Rahmen und zu den Zwecken erfolgen, die der Hauptauftraggeber vorgegeben hat. 4. **Zugriff auf personenbezogene Daten:** Der Unter-Auftragsverarbeiter muss tatsächlich Zugriff auf personenbezogene Daten haben, die im Rahmen des Hauptauftrags verarbeitet werden. 5. **Keine Eigenverantwortung:** Der Unter-Auftragsverarbeiter darf die Daten nicht für eigene Zwecke nutzen, sondern nur im Auftrag und nach Weisung des Hauptdienstleisters. **Typische Beispiele für echte Unter-Auftragsverarbeiter:** - IT-Hosting-Anbieter, die Server für den Dienstleister betreiben und dabei Zugriff auf personenbezogene Daten haben. - Callcenter, die im Auftrag des Dienstleisters Kundendaten verarbeiten. - Externe Buchhaltungsfirmen, die im Auftrag des Dienstleisters Lohnabrechnungen erstellen. **Nicht als Unter-Auftragsverarbeiter gelten z.B.:** - Reine Telekommunikationsanbieter (z.B. Internetprovider ohne Datenzugriff) - Post- und Kurierdienste (reiner Transport, kein Datenzugriff) - Wartungsfirmen ohne Zugriff auf produktive Daten **Fazit:** Entscheidend ist, ob der Dienstleister im Rahmen des Auftrags tatsächlich personenbezogene Daten im Auftrag verarbeitet und dabei den Weisungen des Hauptdienstleisters unterliegt. Eine bloße Nennung in einer Liste reicht nicht aus – es muss ein tatsächlicher Datenverarbeitungsbezug bestehen. Weitere Infos: [Art. 28 DSGVO – Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/)

Wenn ein Auftragsverarbeiter einen Unterauftragsverarbeiter in einem Drittland (außerhalb des Europäischen Wirtschaftsraums, EWR) einsetzt, sind nach der Datenschutz-Grundverordnung (DSGVO) besondere Anforderungen zu beachten, um den Schutz personenbezogener Daten sicherzustellen: 1. **Genehmigung einholen:** Der Auftragsverarbeiter darf einen Unterauftragsverarbeiter nur mit vorheriger spezifischer oder allgemeiner schriftlicher Genehmigung des Verantwortlichen (Art. 28 Abs. 2 DSGVO) einsetzen. Der Verantwortliche muss also zustimmen. 2. **Vertragliche Regelungen:** Zwischen Auftragsverarbeiter und Unterauftragsverarbeiter muss ein Vertrag bestehen, der die gleichen Datenschutzpflichten wie der Hauptvertrag enthält (Art. 28 Abs. 4 DSGVO). 3. **Drittlandübermittlung prüfen:** Die Übermittlung personenbezogener Daten in ein Drittland ist nur zulässig, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Das bedeutet: - **Angemessenheitsbeschluss:** Die EU-Kommission hat festgestellt, dass das Drittland ein angemessenes Datenschutzniveau bietet (Liste siehe [EU-Kommission](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_de)). - **Geeignete Garantien:** Liegt kein Angemessenheitsbeschluss vor, müssen geeignete Garantien wie Standardvertragsklauseln ([SCCs](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de)), verbindliche interne Datenschutzvorschriften (BCRs) oder andere Mechanismen eingesetzt werden. - **Zusätzliche Maßnahmen:** Nach dem Schrems II-Urteil des EuGH kann es notwendig sein, zusätzliche technische und organisatorische Maßnahmen zu ergreifen, um das Datenschutzniveau zu gewährleisten. 4. **Transparenz und Information:** Der Verantwortliche muss die betroffenen Personen über die Drittlandübermittlung informieren (Art. 13, 14 DSGVO). 5. **Dokumentation:** Alle Schritte und Entscheidungen sollten dokumentiert werden, um die Einhaltung der DSGVO nachweisen zu können. **Fazit:** Der Einsatz eines Unterauftragsverarbeiters in einem Drittland ist möglich, aber nur unter strikter Einhaltung der DSGVO-Vorgaben. Verantwortliche und Auftragsverarbeiter müssen gemeinsam sicherstellen, dass ein angemessenes Datenschutzniveau gewährleistet ist.

Ob zwischen Samsung und Hiya eine gemeinsame Verantwortlichkeit, eine Auftragsverarbeitung oder eine unabhängige Verantwortlichkeit im Sinne der DSGVO vorliegt, hängt vom konkreten Einsatzszenario und der Art der Zusammenarbeit ab. **Hintergrund:** Hiya ist ein Anbieter von Anrufschutz- und Identifikationsdiensten, der beispielsweise in Samsung-Smartphones integriert ist, um Spam-Anrufe zu erkennen und Nutzer zu warnen. **Mögliche Konstellationen:** 1. **Gemeinsame Verantwortlichkeit (Art. 26 DSGVO):** Diese liegt vor, wenn beide Unternehmen gemeinsam über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheiden. Das wäre der Fall, wenn Samsung und Hiya eng zusammenarbeiten, gemeinsam die Datenverarbeitung gestalten und beide Einfluss auf die Datenverarbeitung haben. 2. **Auftragsverarbeitung (Art. 28 DSGVO):** Hiya wäre Auftragsverarbeiter, wenn es personenbezogene Daten ausschließlich im Auftrag und nach Weisung von Samsung verarbeitet, ohne eigene Entscheidungsbefugnis über die Zwecke und Mittel der Verarbeitung. 3. **Unabhängige Verantwortlichkeit:** Beide Unternehmen sind unabhängig verantwortlich, wenn sie jeweils getrennt und für eigene Zwecke personenbezogene Daten verarbeiten, ohne die Verarbeitung gemeinsam zu bestimmen. **Praxisbeispiel Samsung & Hiya:** Nach öffentlich verfügbaren Informationen (z. B. Datenschutzerklärungen von Samsung und Hiya) agiert Hiya in der Regel als eigenständiger Dienstleister, der im Rahmen seiner eigenen Datenschutzerklärung Daten verarbeitet. Samsung stellt die technische Schnittstelle bereit, über die Nutzer den Hiya-Dienst aktivieren können. Die Datenverarbeitung durch Hiya erfolgt dann auf Grundlage der Einwilligung des Nutzers und unter eigener Verantwortung von Hiya. **Fazit:** In den meisten Fällen liegt **unabhängige Verantwortlichkeit** vor, da Hiya die Daten für eigene Zwecke verarbeitet und Samsung lediglich die Integration ermöglicht. Eine gemeinsame Verantwortlichkeit wäre nur dann gegeben, wenn beide Unternehmen gemeinsam über die Zwecke und Mittel der Datenverarbeitung entscheiden, was nach aktuellem Kenntnisstand nicht der Fall ist. Eine Auftragsverarbeitung ist ebenfalls unwahrscheinlich, da Hiya nicht ausschließlich im Auftrag von Samsung handelt. **Quellen und weitere Informationen:** - [Samsung Datenschutzerklärung](https://www.samsung.com/de/info/privacy/) - [Hiya Datenschutzerklärung](https://hiya.com/privacy-policy/) Für eine abschließende rechtliche Bewertung sollte jedoch die konkrete vertragliche und technische Ausgestaltung geprüft werden.

Ob eine Unterauftragsverarbeitung (Subunternehmerverhältnis) im Sinne der DSGVO vorliegt, hängt davon ab, ob der Dritte im Auftrag und auf Weisung des ursprünglichen Auftragsverarbeiters personenbezogene Daten verarbeitet. Im beschriebenen Fall: Wenn der Mitarbeiterscreening-Auftragsverarbeiter (AV) einen Dritten mit der Entwicklung und Implementierung von Business ByDesign Plugins beauftragt, ist entscheidend, ob dieser Dritte im Rahmen seiner Tätigkeit Zugriff auf personenbezogene Daten erhält, die im Rahmen des Mitarbeiterscreenings verarbeitet werden. **Unterauftragsverarbeitung liegt vor, wenn:** - Der Dritte im Auftrag des AV handelt, - und dabei personenbezogene Daten verarbeitet, die Gegenstand des ursprünglichen Auftragsverarbeitungsvertrags sind. **Beispiel:** - Der Dritte entwickelt und implementiert Plugins und hat dabei Zugriff auf die Datenbank mit personenbezogenen Daten der Mitarbeiter (z.B. zu Testzwecken, Fehlerbehebung, Migration). - In diesem Fall ist der Dritte ein Unterauftragsverarbeiter gemäß Art. 28 Abs. 2 und 4 DSGVO. Der AV muss die Zustimmung des Verantwortlichen einholen und einen entsprechenden Vertrag mit dem Dritten abschließen. **Keine Unterauftragsverarbeitung liegt vor, wenn:** - Der Dritte rein technische Dienstleistungen erbringt, ohne dabei mit personenbezogenen Daten in Berührung zu kommen (z.B. rein theoretische Entwicklung ohne Zugriff auf Produktivdaten). - Oder der Dritte als eigenständiger Verantwortlicher agiert (was hier aber unwahrscheinlich ist). **Fazit:** Sobald der beauftragte Dritte im Rahmen der Entwicklung oder Implementierung tatsächlich Zugriff auf personenbezogene Daten erhält oder diese verarbeitet, handelt es sich um eine Unterauftragsverarbeitung. In diesem Fall sind die Vorgaben des Art. 28 DSGVO zu beachten. Weitere Informationen: - [Art. 28 DSGVO – Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/) - [Business ByDesign (SAP)](https://www.sap.com/germany/products/erp/business-bydesign.html)

Die Begriffe „Verarbeitungsbefugter“, „Unterstellter“ und „Auftragsverarbeiter“ stammen aus dem Datenschutzrecht, insbesondere im Zusammenhang mit der Datenschutz-Grundverordnung (DSGVO). Hier die Unterschiede: **1. Verarbeitungsbefugter (Verantwortlicher):** Das ist die Person oder Organisation, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Sie bestimmt also, warum und wie Daten verarbeitet werden. Im Sinne der DSGVO ist das der „Verantwortliche“ (Art. 4 Nr. 7 DSGVO). Beispiel: Ein Unternehmen, das Kundendaten für eigene Zwecke verarbeitet. **2. Unterstellter (Mitarbeiter):** Das sind Personen, die im Auftrag des Verantwortlichen handeln, also z.B. Angestellte oder Mitarbeiter. Sie verarbeiten Daten nur auf Weisung des Verantwortlichen und sind diesem unterstellt. Sie sind keine eigenständigen Akteure im Sinne der DSGVO, sondern Teil der Organisation des Verantwortlichen. **3. Auftragsverarbeiter:** Das ist eine externe Person oder Organisation, die personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Der Auftragsverarbeiter entscheidet nicht selbst über die Zwecke und Mittel der Verarbeitung, sondern handelt ausschließlich im Auftrag des Verantwortlichen. Beispiel: Ein externer IT-Dienstleister, der Kundendaten für ein Unternehmen speichert oder verarbeitet. **Zusammengefasst:** - **Verantwortlicher (Verarbeitungsbefugter):** Entscheidet über das „Warum“ und „Wie“ der Datenverarbeitung. - **Unterstellter:** Handelt innerhalb der Organisation des Verantwortlichen, auf dessen Weisung. - **Auftragsverarbeiter:** Externer Dienstleister, der Daten im Auftrag des Verantwortlichen verarbeitet. Weitere Informationen findest du direkt bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder im [Text der DSGVO](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679).