19 Fragen zu Auftragsverarbeitung

Eine Auftragsverarbeitung nach der Datenschutz-GrundverordnungDSGVO) liegt vor, wenn ein Verantwortlicher (z.B. ein Unternehmen) einen Auftragsverarbeiter (z.B. einen Dienstleister) damit beauftragt, personenbezogene Daten im Auftrag des Verantwortlichen zu verarbeiten. Der Auftragsverarbeiter handelt dabei nach den Weisungen des Verantwortlichen. Folgende Schritte müssen bezüglich der Auftragsverarbeitung unternommen werden: 1. **Vertrag zur Auftragsverarbeitung (AV-Vertrag)**: Es muss ein schriftlicher Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter geschlossen werden. Dieser Vertrag muss bestimmte Mindestinhalte gemäß Art. 28 DSGVO enthalten, wie z.B. den Gegenstand und die Dauer der Verarbeitung, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen. 2. **Sorgfältige Auswahl des Auftragsverarbeiters**: Der Verantwortliche muss sicherstellen, dass der Auftragsverarbeiter ausreichende Garantien bietet, um geeignete technische und organisatorische Maßnahmen zu ergreifen, damit die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt. 3. **Überwachung und Kontrolle**: Der Verantwortliche muss regelmäßig überprüfen, ob der Auftragsverarbeiter die im AV-Vertrag festgelegten Maßnahmen einhält. Dies kann durch Audits oder andere Kontrollmechanismen geschehen. 4. **Dokumentation**: Alle Maßnahmen und Verträge im Zusammenhang mit der Auftragsverarbeitung müssen dokumentiert werden, um im Falle einer Überprüfung durch die Aufsichtsbehörden nachweisen zu können, dass die DSGVO eingehalten wird. Weitere Informationen zur Auftragsverarbeitung nach DSGVO können auf der offiziellen Website der Europäischen Kommission gefunden werden: [Europäische Kommission - Datenschutz](https://ec.europa.eu/info/law/law-topic/data-protection_de).

Die Auftragsverarbeitung ist in der Datenschutz-Grundverordnung (DSGVO) in Artikel 28 geregelt. Dieser Artikel beschreibt die Bedingungen, unter denen ein Verantwortlicher einen Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen kann, und legt die Anforderungen an den Vertrag zwischen diesen Parteien fest.

In der Apotheke bezieht sich Auftragsverarbeitung auf die Verarbeitung von personenbezogenen Daten im Auftrag eines anderen Unternehmens oder einer Institution, beispielsweise im Rahmen Abwicklung von Rezept oder der Verwaltung von Kundendaten. Dies kann die Speicherung, Organisation und Analyse von Daten umfassen, die für die Erbringung von Dienstleistungen notwendig sind. Die Apotheke muss dabei sicherstellen, dass alle datenschutzrechtlichen Vorgaben eingehalten werden, insbesondere die Vorgaben der Datenschutz-Grundverordnung (DSGVO).

Nein, das Warenkreditversicherungsgeschäft ist in der Regel **keine Auftragsverarbeitung** im Sinne der Datenschutz-Grundverordnung (DSGVO). **Begründung:** Bei einer Warenkreditversicherung schließt ein Unternehmen (Versicherungsnehmer) mit einem Versicherer einen Vertrag ab, um sich gegen das Risiko von Zahlungsausfällen seiner Kunden abzusichern. Im Rahmen der Risikoprüfung und Schadensbearbeitung verarbeitet der Versicherer personenbezogene Daten der Kunden des Versicherungsnehmers (z. B. Name, Bonitätsdaten). Der Versicherer handelt dabei **nicht im Auftrag und auf Weisung** des Versicherungsnehmers, sondern als eigenständig Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er entscheidet selbstständig über die Zwecke und Mittel der Datenverarbeitung, etwa zur Risikobewertung und Vertragsdurchführung. **Auftragsverarbeitung** (Art. 28 DSGVO) liegt nur vor, wenn ein Dienstleister personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen verarbeitet, ohne eigene Entscheidungsbefugnis über die Daten. **Fazit:** Das Warenkreditversicherungsgeschäft ist datenschutzrechtlich eine **eigene Verantwortlichkeit** des Versicherers und keine Auftragsverarbeitung. Weitere Informationen findest du z. B. bei der [Deutschen Datenschutzkonferenz (DSK)](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auslegung_auftragsverarbeitung.pdf) (siehe dort die Abgrenzung zwischen Auftragsverarbeitung und eigener Verantwortlichkeit).

Ob eine Dienstleistung mit Telefonnummernvalidierung eine Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist, hängt davon ab, wie die Dienstleistung ausgestaltet ist und welche Rolle der Dienstleister einnimmt. **Auftragsverarbeitung** liegt gemäß Art. 4 Nr. 8 und Art. 28 DSGVO immer dann vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. **Konkret:** - Wenn du als Unternehmen einen externen Dienstleister beauftragst, Telefonnummern deiner Kunden zu validieren (z.B. auf Gültigkeit oder Format), und der Dienstleister diese Daten ausschließlich nach deinen Vorgaben verarbeitet, handelt es sich in der Regel um eine Auftragsverarbeitung. In diesem Fall muss ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden. - Wenn der Dienstleister die Telefonnummern jedoch für eigene Zwecke verarbeitet oder die Daten mit anderen Datenquellen abgleicht, um eigene Produkte oder Services zu verbessern, ist er selbst Verantwortlicher oder ggf. gemeinsam Verantwortlicher. Dann liegt keine Auftragsverarbeitung vor. **Beispiel:** - Ein Dienstleister prüft im Auftrag deines Unternehmens, ob eine Telefonnummer existiert oder korrekt formatiert ist, und nutzt die Daten nicht für eigene Zwecke → Auftragsverarbeitung. - Ein Dienstleister sammelt Telefonnummern, wertet sie aus und nutzt sie für eigene Marketingzwecke → keine Auftragsverarbeitung. **Fazit:** In den meisten Fällen ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung, sofern der Dienstleister die Daten ausschließlich im Auftrag und nach Weisung verarbeitet. Es sollte aber immer im Einzelfall geprüft werden, wie die Datenverarbeitung konkret erfolgt. Weitere Informationen findest du z.B. beim [BayLDA](https://www.lda.bayern.de/de/thema-auftragsverarbeitung.html) oder [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auftragsverarbeitung.pdf).

Der reine Transport eines medizintechnischen Geräts, auf dem sich personenbezogene Daten befinden, stellt in der Regel **keine Auftragsverarbeitung** im Sinne der Datenschutz-Grundverordnung (DSGVO) dar. **Begründung:** Eine Auftragsverarbeitung nach Art. 28 DSGVO liegt vor, wenn ein Dienstleister im Auftrag und nach Weisung des Verantwortlichen personenbezogene Daten verarbeitet. Beim Transport wird das Gerät (und damit die Daten) lediglich physisch befördert, ohne dass der Transporteur selbst auf die Daten zugreift oder sie verarbeitet (z.B. einliest, speichert, verändert oder löscht). **Wichtig:** - Der Transporteur darf keinen Zugriff auf die Daten nehmen. - Es müssen geeignete technische und organisatorische Maßnahmen getroffen werden, um die Daten während des Transports zu schützen (z.B. Verschlüsselung, versiegelte Verpackung). **Ausnahme:** Sollte der Transporteur im Rahmen des Transports tatsächlich Zugriff auf die Daten erhalten oder diese in irgendeiner Form verarbeiten (z.B. zur Wartung, Reparatur, Auslesen der Daten), wäre eine Auftragsverarbeitung gegeben und ein entsprechender Vertrag nach Art. 28 DSGVO erforderlich. **Fazit:** Solange der Transporteur keinen Zugriff auf die Daten hat und diese nicht verarbeitet, handelt es sich nicht um eine Auftragsverarbeitung. Es ist jedoch ratsam, dies im Einzelfall zu prüfen und die Schutzmaßnahmen zu dokumentieren. Weitere Informationen zur Auftragsverarbeitung findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_05_auftragsverarbeitung.pdf).

Der reine Transport eines medizintechnischen Geräts, auf dem sich personenbezogene Daten befinden, stellt in der Regel **keine Auftragsverarbeitung** im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO dar – unabhängig davon, ob das Gerät versiegelt ist oder nicht. **Begründung:** - **Auftragsverarbeitung** liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet (z.B. speichert, verändert, löscht). - Beim reinen Transport wird das Gerät lediglich von A nach B befördert, ohne dass der Transporteur aktiv auf die Daten zugreift oder sie verarbeitet. - Das Fehlen einer Versiegelung ändert daran grundsätzlich nichts. Allerdings erhöht es das Risiko eines unbefugten Zugriffs, was datenschutzrechtlich zu berücksichtigen ist (Stichwort: technische und organisatorische Maßnahmen nach Art. 32 DSGVO). **Wichtig:** Sollte der Transporteur jedoch die Möglichkeit haben, auf die Daten zuzugreifen (z.B. weil das Gerät nicht verschlüsselt oder nicht versiegelt ist), kann dies ein Risiko darstellen. In diesem Fall ist zu prüfen, ob zusätzliche Schutzmaßnahmen erforderlich sind (z.B. Verschlüsselung, vertragliche Regelungen). **Fazit:** Der Transport selbst ist keine Auftragsverarbeitung, solange keine Datenverarbeitung im Sinne der DSGVO erfolgt. Die Sicherheit der Daten muss aber dennoch gewährleistet sein. Weitere Informationen zur Auftragsverarbeitung findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_05_auslegung_auftragsverarbeitung.pdf).

Der reine Transport von unverschlüsselten Festplatten mit personenbezogenen Daten – ohne dass der Transporteur selbst auf die Daten zugreift oder sie verarbeitet – gilt in der Regel **nicht** als Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO). **Begründung:** Auftragsverarbeitung nach Art. 4 Nr. 8 und Art. 28 DSGVO liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Der reine Transport (z.B. durch ein Kurierunternehmen), bei dem keine inhaltliche Kenntnisnahme oder Verarbeitung der Daten erfolgt, ist grundsätzlich keine Verarbeitung im Sinne der DSGVO, sondern eine reine Transportdienstleistung. **Wichtig:** - Der Transporteur darf keinen Zugriff auf die Daten nehmen. - Die Festplatten sollten idealerweise verschlüsselt sein, um das Risiko eines Datenverlusts oder -missbrauchs zu minimieren. - Es empfiehlt sich, mit dem Transporteur eine Vertraulichkeitsvereinbarung zu schließen und technische sowie organisatorische Maßnahmen zum Schutz der Daten zu treffen. **Quellen und weitere Informationen:** - [Datenschutzkonferenz: Orientierungshilfe Auftragsverarbeitung](https://www.datenschutzkonferenz-online.de/media/oh/20180524_oh_auftragsverarbeitung.pdf) (siehe insbesondere S. 6, Punkt 2.2) - [BayLDA: FAQ zur Auftragsverarbeitung](https://www.lda.bayern.de/media/FAQ_Auftragsverarbeitung.pdf) **Fazit:** Der reine Transport unverschlüsselter Festplatten mit personenbezogenen Daten ist in der Regel keine Auftragsverarbeitung, solange keine Datenverarbeitung im Sinne der DSGVO erfolgt.

Ob IaaS (Infrastructure as a Service) und PaaS (Platform as a Service) als Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten, hängt davon ab, wie diese Dienste genutzt werden und welche Rolle der Anbieter dabei spielt. **Grundsätzliches zur Auftragsverarbeitung:** Auftragsverarbeitung liegt vor, wenn ein Dienstleister (Auftragsverarbeiter) personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet (Art. 4 Nr. 8, Art. 28 DSGVO). **IaaS und PaaS im Kontext der Auftragsverarbeitung:** - **IaaS:** Hier stellt der Anbieter Infrastruktur (z.B. Server, Speicher, Netzwerke) zur Verfügung. Der Kunde installiert und betreibt darauf eigene Anwendungen und verarbeitet ggf. personenbezogene Daten. Der IaaS-Anbieter hat in der Regel keinen Zugriff auf die Daten, kann aber technisch darauf zugreifen (z.B. im Rahmen von Wartung oder Support). Daher wird IaaS meist als Auftragsverarbeitung eingestuft, sofern personenbezogene Daten verarbeitet werden. - **PaaS:** Hier stellt der Anbieter eine Plattform (z.B. Datenbanken, Entwicklungsumgebungen) bereit, auf der der Kunde eigene Anwendungen betreibt. Auch hier verarbeitet der Anbieter ggf. personenbezogene Daten im Auftrag des Kunden. Daher ist auch PaaS in der Regel als Auftragsverarbeitung zu betrachten. **Wichtige Voraussetzung:** Entscheidend ist, dass der Anbieter im Auftrag und nach Weisung des Kunden handelt und keinen eigenen Zweck bei der Datenverarbeitung verfolgt. **Fazit:** In den meisten Fällen sind IaaS- und PaaS-Anbieter als Auftragsverarbeiter zu qualifizieren, wenn sie im Auftrag des Kunden personenbezogene Daten verarbeiten. Es muss dann ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen werden. **Weitere Informationen:** - [IaaS bei Wikipedia](https://de.wikipedia.org/wiki/Infrastructure_as_a_Service) - [PaaS bei Wikipedia](https://de.wikipedia.org/wiki/Platform_as_a_Service) - [Art. 28 DSGVO – Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/) Eine genaue Bewertung kann im Einzelfall aber von der konkreten Ausgestaltung des Dienstes abhängen.

Eine Checkliste für die Auftragsdatenverarbeitung (ADV) kann folgende Punkte umfassen: 1. **Vertragliche Grundlagen**: - Existiert ein schriftlicher Vertrag zur Auftragsdatenverarbeitung? - Sind alle erforderlichen Informationen gemäß Art. 28 DSGVO im Vertrag enthalten? 2. **Auftragsverarbeiter**: - Wurde der Auftragsverarbeiter sorgfältig ausgewählt? - Verfügt der Auftragsverarbeiter über geeignete technische und organisatorische Maßnahmen? 3. **Zweck der Verarbeitung**: - Ist der Zweck der Datenverarbeitung klar definiert? - Sind die Datenverarbeitungszwecke mit den eigenen Unternehmenszielen vereinbar? 4. **Datenkategorien**: - Welche Datenkategorien werden verarbeitet? - Sind die Daten auf das notwendige Minimum beschränkt? 5. **Rechte der Betroffenen**: - Sind Verfahren zur Wahrung der Rechte der Betroffenen (z.B. Auskunft, Löschung) implementiert? - Wie wird die Einhaltung dieser Rechte sichergestellt? 6. **Sicherheitsmaßnahmen**: - Welche technischen und organisatorischen Maßnahmen sind implementiert? - Gibt es regelmäßige Sicherheitsüberprüfungen und Audits? 7. **Subunternehmer**: - Dürfen Subunternehmer eingesetzt werden? - Wurde die Zustimmung zur Beauftragung von Subunternehmern eingeholt? 8. **Datenübermittlung**: - Gibt es Regelungen zur Datenübermittlung in Drittländer? - Sind die erforderlichen Garantien für die Datenübermittlung vorhanden? 9. **Dokumentation**: - Ist die Verarbeitungstätigkeit dokumentiert? - Gibt es Protokolle über die Einhaltung der ADV-Vereinbarung? 10. **Schulung und Sensibilisierung**: - Wurden Mitarbeiter im Umgang mit personenbezogenen Daten geschult? - Gibt es regelmäßige Sensibilisierungsmaßnahmen? Diese Checkliste kann als Grundlage dienen, um sicherzustellen, dass alle relevanten Aspekte der Auftragsdatenverarbeitung berücksichtigt werden.

Ja, ein Auftragsverarbeitungsvertrag (AVV) sollte grundsätzlich mit allen Dienstleistern abgeschlossen werden, die personenbezogene Daten im Auftrag verarbeiten – unabhängig davon, ob aktuell ein aktives Projekt läuft oder nicht. Entscheidend ist, ob der Dienstleister grundsätzlich Zugriff auf personenbezogene Daten erhalten kann oder erhalten hat. Im Rahmen eines Audits ist es wichtig, dass alle relevanten Dienstleister, die als Auftragsverarbeiter fungieren (z. B. IT-Dienstleister, Cloud-Anbieter), in der Dokumentation und im Verzeichnis der Auftragsverarbeiter aufgeführt sind und entsprechende Verträge vorliegen. Auch wenn derzeit keine aktive Verarbeitung stattfindet, kann es sein, dass der Dienstleister weiterhin Zugriffsmöglichkeiten hat (z. B. auf Backups, Wartungszugänge). Fehlt der AVV, kann dies im Audit als Mangel gewertet werden. Daher empfiehlt es sich, die Verträge auch dann vorzuhalten, wenn aktuell keine Verarbeitung stattfindet, aber grundsätzlich möglich wäre. Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/oh/20180524_oh_tom.pdf) oder beim [BfDI](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verarbeitung-und-Weitergabe/Auftragsverarbeitung/auftragsverarbeitung-node.html).

Um echte Unter-Auftragsverarbeiter (Subunternehmer im Sinne der DSGVO) zu erkennen, sind folgende Informationen entscheidend: 1. **Art der Dienstleistung:** Der Unter-Auftragsverarbeiter muss tatsächlich im Auftrag des Hauptdienstleisters personenbezogene Daten verarbeiten, die im Zusammenhang mit dem Hauptauftrag stehen. 2. **Vertragliche Einbindung:** Es muss ein Vertrag oder eine Vereinbarung bestehen, die die Datenverarbeitung im Auftrag regelt (Art. 28 DSGVO). 3. **Zweck der Datenverarbeitung:** Die Verarbeitung muss ausschließlich im Rahmen und zu den Zwecken erfolgen, die der Hauptauftraggeber vorgegeben hat. 4. **Zugriff auf personenbezogene Daten:** Der Unter-Auftragsverarbeiter muss tatsächlich Zugriff auf personenbezogene Daten haben, die im Rahmen des Hauptauftrags verarbeitet werden. 5. **Keine Eigenverantwortung:** Der Unter-Auftragsverarbeiter darf die Daten nicht für eigene Zwecke nutzen, sondern nur im Auftrag und nach Weisung des Hauptdienstleisters. **Typische Beispiele für echte Unter-Auftragsverarbeiter:** - IT-Hosting-Anbieter, die Server für den Dienstleister betreiben und dabei Zugriff auf personenbezogene Daten haben. - Callcenter, die im Auftrag des Dienstleisters Kundendaten verarbeiten. - Externe Buchhaltungsfirmen, die im Auftrag des Dienstleisters Lohnabrechnungen erstellen. **Nicht als Unter-Auftragsverarbeiter gelten z.B.:** - Reine Telekommunikationsanbieter (z.B. Internetprovider ohne Datenzugriff) - Post- und Kurierdienste (reiner Transport, kein Datenzugriff) - Wartungsfirmen ohne Zugriff auf produktive Daten **Fazit:** Entscheidend ist, ob der Dienstleister im Rahmen des Auftrags tatsächlich personenbezogene Daten im Auftrag verarbeitet und dabei den Weisungen des Hauptdienstleisters unterliegt. Eine bloße Nennung in einer Liste reicht nicht aus – es muss ein tatsächlicher Datenverarbeitungsbezug bestehen. Weitere Infos: [Art. 28 DSGVO – Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/)

Wenn ein Auftragsverarbeiter einen Unterauftragsverarbeiter in einem Drittland (außerhalb des Europäischen Wirtschaftsraums, EWR) einsetzt, sind nach der Datenschutz-Grundverordnung (DSGVO) besondere Anforderungen zu beachten, um den Schutz personenbezogener Daten sicherzustellen: 1. **Genehmigung einholen:** Der Auftragsverarbeiter darf einen Unterauftragsverarbeiter nur mit vorheriger spezifischer oder allgemeiner schriftlicher Genehmigung des Verantwortlichen (Art. 28 Abs. 2 DSGVO) einsetzen. Der Verantwortliche muss also zustimmen. 2. **Vertragliche Regelungen:** Zwischen Auftragsverarbeiter und Unterauftragsverarbeiter muss ein Vertrag bestehen, der die gleichen Datenschutzpflichten wie der Hauptvertrag enthält (Art. 28 Abs. 4 DSGVO). 3. **Drittlandübermittlung prüfen:** Die Übermittlung personenbezogener Daten in ein Drittland ist nur zulässig, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Das bedeutet: - **Angemessenheitsbeschluss:** Die EU-Kommission hat festgestellt, dass das Drittland ein angemessenes Datenschutzniveau bietet (Liste siehe [EU-Kommission](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_de)). - **Geeignete Garantien:** Liegt kein Angemessenheitsbeschluss vor, müssen geeignete Garantien wie Standardvertragsklauseln ([SCCs](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de)), verbindliche interne Datenschutzvorschriften (BCRs) oder andere Mechanismen eingesetzt werden. - **Zusätzliche Maßnahmen:** Nach dem Schrems II-Urteil des EuGH kann es notwendig sein, zusätzliche technische und organisatorische Maßnahmen zu ergreifen, um das Datenschutzniveau zu gewährleisten. 4. **Transparenz und Information:** Der Verantwortliche muss die betroffenen Personen über die Drittlandübermittlung informieren (Art. 13, 14 DSGVO). 5. **Dokumentation:** Alle Schritte und Entscheidungen sollten dokumentiert werden, um die Einhaltung der DSGVO nachweisen zu können. **Fazit:** Der Einsatz eines Unterauftragsverarbeiters in einem Drittland ist möglich, aber nur unter strikter Einhaltung der DSGVO-Vorgaben. Verantwortliche und Auftragsverarbeiter müssen gemeinsam sicherstellen, dass ein angemessenes Datenschutzniveau gewährleistet ist.

Ein DSGVO-Auftragskataster (auch Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO genannt) muss bestimmte Angaben enthalten, um den Anforderungen der-Grundver (DSGVO zu entsprechen. Folgende Inhalte sindend: 1 **Name und Konttdaten des Verantwort** und ggf. des gemeinsamen Verantwortlichen, des Vertreters des Verantwortlichen sowie des Datenschutzbeauftragten). 2. **Zwecke der Verarbeitung** Beschreibung, zu welchen Zwecken die personenbezogenen Daten verarbeitet werden. 3. **Beschreibung der Kategorien betroffener Personen** Zum Beispiel: Kunden, Mitarbeiter, Lieferanten. 4. **Beschreibung der Kategorien personenbezogener Daten** Zum Beispiel: Name, Adresse, Kontaktdaten, Bankdaten. 5. **Kategorien von Empfängern** An wen werden die Daten weitergegeben? (z.B. IT-Dienstleister, Steuerberater). 6. **Übermittlungen in Drittländer** Falls Daten außerhalb der EU/des EWR übermittelt werden: Angabe des Landes und ggf. der Garantien nach Art. 46 DSGVO. 7. **Vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien** Wie lange werden die Daten gespeichert? 8. **Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen** Maßnahmen zum Schutz der Daten (z.B. Verschlüsselung, Zugangskontrollen). **Hinweis:** Auftragsverarbeiter müssen ein ähnliches Verzeichnis führen, das sich auf die im Auftrag durchgeführten Verarbeitungstätigkeiten bezieht. Weitere Informationen findest du direkt im Gesetzestext: [Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/) Das Auftragskataster ist ein zentrales Element für die Rechenschaftspflicht nach DSGVO und sollte regelmäßig aktualisiert werden.

In einem Auftragsverarbeitungsvertrag (AVV) bezeichnet der Begriff "interne Empfänger" in der Regel Personen oder Abteilungen innerhalb des Unternehmens des Auftragsverarbeiters, die Zugriff auf die verarbeiteten personenbezogenen Daten erhalten. Das können zum Beispiel Mitarbeitende aus der IT, dem Support, der Buchhaltung oder der Geschäftsleitung sein, sofern sie im Rahmen ihrer Aufgaben mit den Daten arbeiten müssen. Der Begriff dient dazu, abzugrenzen, wer innerhalb der Organisation des Auftragsverarbeiters berechtigt ist, die Daten zu sehen oder zu verarbeiten – im Gegensatz zu "externen Empfängern", also Dritten außerhalb des Unternehmens (z.B. Subunternehmer, andere Dienstleister oder Behörden). Die Nennung "interner Empfänger" im AVV ist wichtig, um Transparenz zu schaffen und sicherzustellen, dass nur autorisierte Personen Zugriff auf die Daten haben, wie es die Datenschutz-Grundverordnung (DSGVO) verlangt.