12 Fragen zu Auftragsverarbeiter

Eine Stelle gilt als Auftragsverarbeiter gemäß der Datenschutz-Grundverordnung (DSGVO), wenn sie personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Die wichtigsten Merkmale sind: 1. **Verarbeitung im Auftrag**: Der Auftragsverarbeiter handelt nur auf Weisung des Verantwortlichen und nicht in eigenem Interesse. 2. **Verarbeitung personenbezogener Daten**: Die Stelle muss Daten verarbeiten, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. 3. **Vertragliche Regelung**: Es muss ein schriftlicher Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter bestehen, der die Bedingungen der Datenverarbeitung festlegt. Auftragsverarbeiter können Unternehmen oder Einzelpersonen sein, die Dienstleistungen anbieten, die eine Datenverarbeitung erfordern, wie z.B. Cloud-Dienste, IT-Dienstleister oder Marketingagenturen.

Ein Auftragsverarbeiter bleibt auch bei der Einbindung eines Unterauftragnehmers grundsätzlich verantwortlich für die Verarbeitung der Daten. Nach der Datenschutz-GrundverordnungDSGVO) ist der Auftragsverarbeiter verpflichtet, sicherzustellen, dass der Unterauftragnehmer die gleichen Datenschutzstandards einhält. Der Auftragsverarbeiter muss daher sicherstellen, dass im Vertrag mit dem Unterauftragnehmer entsprechende Regelungen getroffen werden, die den Schutz der personenbezogenen Daten garantieren. Im Falle von Datenschutzverletzungen kann der Auftragsverarbeiter haftbar gemacht werden, auch wenn die Verarbeitung durch den Unterauftragnehmer erfolgt.

Ein Auftragsverarbeiter bleibt grundsätzlich Verantwortlicher im Sinne des Datenschutzrechts, auch wenn er einen Unterauftragnehmer einsetzt. Der Auftragsverarbeiter handelt im Auftrag des Verantwortlichen und ist dafür verantwortlich, dass die Verarbeitung personenbezogener Daten im Einklang mit den geltenden Datenschutzgesetzen erfolgt. Wenn ein Auftragsverarbeiter einen Unterauftragnehmer einsetzt, muss er sicherstellen, dass dieser ebenfalls die erforderlichen Datenschutzstandards einhält. Der Auftragsverarbeiter bleibt jedoch für die Einhaltung der Datenschutzvorschriften verantwortlich, auch wenn die Datenverarbeitung durch den Unterauftragnehmer erfolgt. Es ist wichtig, dass im Vertrag zwischen dem Auftragsverarbeiter und dem Unterauftragnehmer klare Regelungen zur Datenverarbeitung und zum Datenschutz getroffen werden.

Ob Vermarkter im Online-Marketing als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten, hängt von ihrer konkreten Rolle und den vertraglichen Vereinbarungen ab. **Grundsätzliches:** - **Auftragsverarbeiter** ist nach Art. 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. - **Vermarkter** im Online-Marketing (z.B. Ad Networks, Agenturen, Plattformen) können unterschiedliche Rollen einnehmen. **Typische Szenarien:** 1. **Vermarkter als Auftragsverarbeiter:** Wenn der Vermarkter ausschließlich im Auftrag des Website-Betreibers handelt, dessen Weisungen befolgt und keine eigenen Zwecke verfolgt (z.B. Schaltung von Werbung auf Weisung, ohne eigene Datenverwendung), ist er Auftragsverarbeiter. In diesem Fall ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. 2. **Vermarkter als (gemeinsam) Verantwortlicher:** Nutzt der Vermarkter die Daten auch für eigene Zwecke (z.B. Profilbildung, Retargeting, eigene Analysen), ist er in der Regel (Mit-)Verantwortlicher. Dann ist kein AVV, sondern ggf. eine Vereinbarung zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO notwendig. **Fazit:** Ob ein Vermarkter Auftragsverarbeiter ist, hängt davon ab, ob er ausschließlich im Auftrag und nach Weisung des Kunden handelt oder eigene Zwecke verfolgt. Die genaue Einordnung sollte im Einzelfall geprüft und vertraglich klar geregelt werden. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz (DSK)](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auslegung_auftragsverarbeitung.pdf) und beim [BayLDA](https://www.lda.bayern.de/media/FAQ_Auftragsverarbeitung.pdf).

Ob Affiliated Agency, Data Partner, Media Platform, Media Vendor oder Tech Partner als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten, hängt von ihrer konkreten Rolle und den vertraglichen sowie tatsächlichen Gegebenheiten ab. Die Begriffe selbst sind keine datenschutzrechtlichen Kategorien, sondern beschreiben Geschäftsbeziehungen oder Funktionen im digitalen Marketing und der Werbebranche. **Definition Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO):** Ein Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. **Erläuterung zu den genannten Begriffen:** - **Affiliated Agency:** Eine Agentur, die im Auftrag eines Kunden handelt, kann Auftragsverarbeiter sein, wenn sie personenbezogene Daten ausschließlich nach Weisung des Kunden verarbeitet. Agiert sie jedoch eigenverantwortlich (z.B. als Co-Verantwortlicher), ist sie kein reiner Auftragsverarbeiter. - **Data Partner:** Ein Datenpartner kann Auftragsverarbeiter sein, wenn er Daten nur im Auftrag und nach Weisung verarbeitet. Nutzt er die Daten aber auch für eigene Zwecke, ist er (Mit-)Verantwortlicher. - **Media Platform / Media Vendor:** Plattformen oder Anbieter, die Werbeflächen bereitstellen, sind meist eigenständige Verantwortliche, da sie über die Zwecke und Mittel der Datenverarbeitung selbst entscheiden. In Einzelfällen können sie aber auch als Auftragsverarbeiter agieren, etwa wenn sie ausschließlich im Auftrag handeln. - **Tech Partner:** Technologiedienstleister (z.B. für Tracking, Analyse) sind häufig Auftragsverarbeiter, wenn sie Daten nur im Auftrag und nach Weisung des Kunden verarbeiten. Entwickeln sie aber eigene Produkte oder nutzen Daten für eigene Zwecke, sind sie (Mit-)Verantwortliche. **Fazit:** Ob eine der genannten Parteien als Auftragsverarbeiter gilt, ist keine Frage des Namens, sondern der tatsächlichen Datenverarbeitung und der vertraglichen Ausgestaltung. Entscheidend ist, ob die Partei ausschließlich im Auftrag und nach Weisung eines Verantwortlichen handelt (dann Auftragsverarbeiter) oder eigene Zwecke verfolgt (dann Verantwortlicher oder gemeinsam Verantwortlicher). **Weitere Informationen:** - [Art. 28 DSGVO – Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/) - [Auftragsverarbeitung vs. gemeinsame Verantwortlichkeit (BfDI)](https://www.bfdi.bund.de/DE/Infothek/Schlagworte/A/Auftragsverarbeitung/auftragsverarbeitung.html) Eine genaue Einordnung ist immer im Einzelfall vorzunehmen.

Um festzustellen, ob ein neuer Vendor (Dienstleister, Lieferant) als Auftragsverarbeiter im Sinne der DSGVO (Datenschutz-Grundverordnung) agiert, sollte die Abteilung gezielte Fragen stellen, die klären, ob und wie der Vendor personenbezogene Daten im Auftrag des Unternehmens verarbeitet. Wichtige Fragen sind: 1. **Werden personenbezogene Daten im Rahmen der Dienstleistung verarbeitet?** (z. B. Kundendaten, Mitarbeiterdaten, Nutzerdaten) 2. **Verarbeitet der Vendor die Daten ausschließlich im Auftrag und nach Weisung des Unternehmens?** (Oder entscheidet der Vendor selbst über Zwecke und Mittel der Verarbeitung?) 3. **Welche Art von personenbezogenen Daten werden verarbeitet?** (z. B. Name, Adresse, Kontaktdaten, besondere Kategorien wie Gesundheitsdaten) 4. **Zu welchen Zwecken werden die Daten verarbeitet?** (z. B. Hosting, Support, Marketing, Lohnabrechnung) 5. **Hat der Vendor Zugriff auf die Daten oder werden diese nur durchgeleitet?** (z. B. Speicherung, Bearbeitung, Löschung) 6. **Findet die Verarbeitung der Daten ausschließlich im Rahmen der vertraglich vereinbarten Leistungen statt?** 7. **Werden die Daten an Dritte weitergegeben oder Subunternehmer eingesetzt?** (Wenn ja: Wer sind diese und wo sitzen sie?) 8. **Wer trägt die Verantwortung für die Einhaltung der Datenschutzvorschriften bei der Verarbeitung?** (Vendor oder das Unternehmen?) 9. **Findet eine Übermittlung der Daten in Drittländer außerhalb der EU/des EWR statt?** (Wenn ja: Welche Schutzmaßnahmen bestehen?) 10. **Besteht bereits eine Vereinbarung zur Auftragsverarbeitung (AVV) oder ist der Vendor bereit, eine solche abzuschließen?** Mit diesen Fragen kann die Abteilung einschätzen, ob der Vendor als Auftragsverarbeiter im Sinne von Art. 28 DSGVO einzustufen ist und ob entsprechende vertragliche und organisatorische Maßnahmen erforderlich sind.

Ein Versicherungsunternehmen ist in der Regel **kein Auftragsverarbeiter** im Sinne der Datenschutz-Grundverordnung (DSGVO). **Begründung:** Ein Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung eines Verantwortlichen (§ Art. 4 Nr. 8 DSGVO). Ein Versicherungsunternehmen hingegen verarbeitet die Daten seiner Kunden in der Regel **als eigener Verantwortlicher** (§ Art. 4 Nr. 7 DSGVO), da es selbst über die Zwecke und Mittel der Datenverarbeitung entscheidet – etwa zur Vertragsabwicklung, Risikoprüfung oder Schadensbearbeitung. **Beispiel:** Wenn du eine Versicherung abschließt, erhebt und verarbeitet das Versicherungsunternehmen deine Daten, um den Vertrag zu erfüllen. Es handelt dabei eigenverantwortlich und nicht im Auftrag eines Dritten. **Ausnahme:** Nur in sehr speziellen Konstellationen, etwa wenn ein Versicherungsunternehmen für einen anderen Verantwortlichen rein weisungsgebunden Daten verarbeitet (z.B. als Dienstleister für ein anderes Unternehmen), könnte es als Auftragsverarbeiter agieren. Das ist aber im klassischen Versicherungsgeschäft unüblich. **Fazit:** Versicherungsunternehmen sind in der Regel Verantwortliche und keine Auftragsverarbeiter. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auftragsverarbeitung.pdf) (DSK) oder bei der [Bundesbeauftragten für den Datenschutz](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verantwortlicher-Auftragsverarbeiter/Verantwortlicher-Auftragsverarbeiter.html).

Ob Distributoren als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten, hängt von ihrer konkreten Rolle und den verarbeiteten Daten ab. **Definitionen nach DSGVO:** - **Auftragsverarbeiter** ist eine Stelle, die personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). - **Verantwortlicher** ist die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). **Typische Rolle von Distributoren:** Distributoren sind in der Regel Unternehmen, die Produkte von Herstellern an Händler oder Endkunden weiterverkaufen. Sie handeln dabei meist im eigenen Namen und auf eigene Rechnung. In diesem Zusammenhang verarbeiten sie Kundendaten für eigene Zwecke (z.B. zur Abwicklung von Bestellungen, Rechnungsstellung etc.). **Fazit:** - **In der Regel sind Distributoren keine Auftragsverarbeiter**, sondern selbst Verantwortliche, da sie über die Zwecke und Mittel der Datenverarbeitung entscheiden. - **Ausnahme:** Wenn ein Distributor im Einzelfall ausschließlich im Auftrag eines anderen Unternehmens personenbezogene Daten verarbeitet und dabei keine eigenen Zwecke verfolgt, könnte er als Auftragsverarbeiter gelten. Das ist aber im klassischen Distributionsgeschäft selten. **Weiterführende Informationen:** - [Art. 4 DSGVO – Begriffsbestimmungen](https://dsgvo-gesetz.de/art-4-dsgvo/) - [Auftragsverarbeitung nach DSGVO – IHK](https://www.ihk.de/berlin/produktmarken/beratung-service/recht-und-steuern/datenschutz/auftragsverarbeitung-4189642) **Zusammengefasst:** Distributoren sind in der Regel keine Auftragsverarbeiter, sondern Verantwortliche im Sinne der DSGVO.

Ob ein Dienstleister, der Adressen für Werbezwecke einkauft, als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gilt, hängt vom konkreten Auftrag und der Rolle des Dienstleisters ab. **Grundsätzliches:** - **Auftragsverarbeiter** ist nach Art. 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. - **Verantwortlicher** ist nach Art. 4 Nr. 7 DSGVO die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet. **Typische Konstellationen:** 1. **Dienstleister kauft Adressen im eigenen Namen und verkauft sie weiter:** In diesem Fall ist der Dienstleister selbst Verantwortlicher für die Datenverarbeitung, da er über die Zwecke und Mittel der Datenerhebung entscheidet. Er ist dann kein Auftragsverarbeiter. 2. **Dienstleister kauft Adressen ausdrücklich im Auftrag und nach Weisung des Auftraggebers:** Hier könnte der Dienstleister als Auftragsverarbeiter agieren, wenn er ausschließlich im Namen und auf Weisung des Auftraggebers handelt und keine eigenen Zwecke verfolgt. **Praxis:** In der Regel kaufen Adresshändler oder Dienstleister Adressen im eigenen Namen und bieten sie verschiedenen Kunden an. Sie sind dann **eigene Verantwortliche** und nicht Auftragsverarbeiter. Nur wenn der Dienstleister ausschließlich für einen bestimmten Auftraggeber und nach dessen Weisung handelt, kann eine Auftragsverarbeitung vorliegen. **Fazit:** Ein Dienstleister, der Adressen für Werbezwecke einkauft, ist **in der Regel kein Auftragsverarbeiter**, sondern selbst Verantwortlicher. Eine Auftragsverarbeitung liegt nur vor, wenn der Dienstleister ausschließlich im Auftrag und nach Weisung des Auftraggebers handelt. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auslegung_auftragsverarbeitung.pdf) (DSK) und beim [BayLDA](https://www.lda.bayern.de/media/FAQ_Auftragsverarbeitung.pdf).

Um echte Unter-Auftragsverarbeiter (Subunternehmer im Sinne der DSGVO) zu erkennen, sind folgende Informationen entscheidend: 1. **Art der Dienstleistung:** Der Unter-Auftragsverarbeiter muss tatsächlich im Auftrag des Hauptdienstleisters personenbezogene Daten verarbeiten, die im Zusammenhang mit dem Hauptauftrag stehen. 2. **Vertragliche Einbindung:** Es muss ein Vertrag oder eine Vereinbarung bestehen, die die Datenverarbeitung im Auftrag regelt (Art. 28 DSGVO). 3. **Zweck der Datenverarbeitung:** Die Verarbeitung muss ausschließlich im Rahmen und zu den Zwecken erfolgen, die der Hauptauftraggeber vorgegeben hat. 4. **Zugriff auf personenbezogene Daten:** Der Unter-Auftragsverarbeiter muss tatsächlich Zugriff auf personenbezogene Daten haben, die im Rahmen des Hauptauftrags verarbeitet werden. 5. **Keine Eigenverantwortung:** Der Unter-Auftragsverarbeiter darf die Daten nicht für eigene Zwecke nutzen, sondern nur im Auftrag und nach Weisung des Hauptdienstleisters. **Typische Beispiele für echte Unter-Auftragsverarbeiter:** - IT-Hosting-Anbieter, die Server für den Dienstleister betreiben und dabei Zugriff auf personenbezogene Daten haben. - Callcenter, die im Auftrag des Dienstleisters Kundendaten verarbeiten. - Externe Buchhaltungsfirmen, die im Auftrag des Dienstleisters Lohnabrechnungen erstellen. **Nicht als Unter-Auftragsverarbeiter gelten z.B.:** - Reine Telekommunikationsanbieter (z.B. Internetprovider ohne Datenzugriff) - Post- und Kurierdienste (reiner Transport, kein Datenzugriff) - Wartungsfirmen ohne Zugriff auf produktive Daten **Fazit:** Entscheidend ist, ob der Dienstleister im Rahmen des Auftrags tatsächlich personenbezogene Daten im Auftrag verarbeitet und dabei den Weisungen des Hauptdienstleisters unterliegt. Eine bloße Nennung in einer Liste reicht nicht aus – es muss ein tatsächlicher Datenverarbeitungsbezug bestehen. Weitere Infos: [Art. 28 DSGVO – Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/)

Wenn ein Auftragsverarbeiter einen Unterauftragsverarbeiter in einem Drittland (außerhalb des Europäischen Wirtschaftsraums, EWR) einsetzt, sind nach der Datenschutz-Grundverordnung (DSGVO) besondere Anforderungen zu beachten, um den Schutz personenbezogener Daten sicherzustellen: 1. **Genehmigung einholen:** Der Auftragsverarbeiter darf einen Unterauftragsverarbeiter nur mit vorheriger spezifischer oder allgemeiner schriftlicher Genehmigung des Verantwortlichen (Art. 28 Abs. 2 DSGVO) einsetzen. Der Verantwortliche muss also zustimmen. 2. **Vertragliche Regelungen:** Zwischen Auftragsverarbeiter und Unterauftragsverarbeiter muss ein Vertrag bestehen, der die gleichen Datenschutzpflichten wie der Hauptvertrag enthält (Art. 28 Abs. 4 DSGVO). 3. **Drittlandübermittlung prüfen:** Die Übermittlung personenbezogener Daten in ein Drittland ist nur zulässig, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Das bedeutet: - **Angemessenheitsbeschluss:** Die EU-Kommission hat festgestellt, dass das Drittland ein angemessenes Datenschutzniveau bietet (Liste siehe [EU-Kommission](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_de)). - **Geeignete Garantien:** Liegt kein Angemessenheitsbeschluss vor, müssen geeignete Garantien wie Standardvertragsklauseln ([SCCs](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de)), verbindliche interne Datenschutzvorschriften (BCRs) oder andere Mechanismen eingesetzt werden. - **Zusätzliche Maßnahmen:** Nach dem Schrems II-Urteil des EuGH kann es notwendig sein, zusätzliche technische und organisatorische Maßnahmen zu ergreifen, um das Datenschutzniveau zu gewährleisten. 4. **Transparenz und Information:** Der Verantwortliche muss die betroffenen Personen über die Drittlandübermittlung informieren (Art. 13, 14 DSGVO). 5. **Dokumentation:** Alle Schritte und Entscheidungen sollten dokumentiert werden, um die Einhaltung der DSGVO nachweisen zu können. **Fazit:** Der Einsatz eines Unterauftragsverarbeiters in einem Drittland ist möglich, aber nur unter strikter Einhaltung der DSGVO-Vorgaben. Verantwortliche und Auftragsverarbeiter müssen gemeinsam sicherstellen, dass ein angemessenes Datenschutzniveau gewährleistet ist.

Ja, Angaben des Unterauftragnehmers sind im Verzeichnis der Verarbeitungstätigkeiten von Auftragsverarbeitern erforderlich. Gemäß der Datenschutz-Grundverordnung (DSGVO) müssen Auftragsverarbeiter alle relevanten Informationen über die Verarbeitungstätigkeiten, einschließlich der Identität der Unterauftragnehmer, dokumentieren. Dies dient der Transparenz und ermöglicht es dem Verantwortlichen, die Einhaltung der Datenschutzanforderungen zu überprüfen.