1 Frage zu Businessbydesign

Ob eine Unterauftragsverarbeitung (Subunternehmerverhältnis) im Sinne der DSGVO vorliegt, hängt davon ab, ob der Dritte im Auftrag und auf Weisung des ursprünglichen Auftragsverarbeiters personenbezogene Daten verarbeitet. Im beschriebenen Fall: Wenn der Mitarbeiterscreening-Auftragsverarbeiter (AV) einen Dritten mit der Entwicklung und Implementierung von Business ByDesign Plugins beauftragt, ist entscheidend, ob dieser Dritte im Rahmen seiner Tätigkeit Zugriff auf personenbezogene Daten erhält, die im Rahmen des Mitarbeiterscreenings verarbeitet werden. **Unterauftragsverarbeitung liegt vor, wenn:** - Der Dritte im Auftrag des AV handelt, - und dabei personenbezogene Daten verarbeitet, die Gegenstand des ursprünglichen Auftragsverarbeitungsvertrags sind. **Beispiel:** - Der Dritte entwickelt und implementiert Plugins und hat dabei Zugriff auf die Datenbank mit personenbezogenen Daten der Mitarbeiter (z.B. zu Testzwecken, Fehlerbehebung, Migration). - In diesem Fall ist der Dritte ein Unterauftragsverarbeiter gemäß Art. 28 Abs. 2 und 4 DSGVO. Der AV muss die Zustimmung des Verantwortlichen einholen und einen entsprechenden Vertrag mit dem Dritten abschließen. **Keine Unterauftragsverarbeitung liegt vor, wenn:** - Der Dritte rein technische Dienstleistungen erbringt, ohne dabei mit personenbezogenen Daten in Berührung zu kommen (z.B. rein theoretische Entwicklung ohne Zugriff auf Produktivdaten). - Oder der Dritte als eigenständiger Verantwortlicher agiert (was hier aber unwahrscheinlich ist). **Fazit:** Sobald der beauftragte Dritte im Rahmen der Entwicklung oder Implementierung tatsächlich Zugriff auf personenbezogene Daten erhält oder diese verarbeitet, handelt es sich um eine Unterauftragsverarbeitung. In diesem Fall sind die Vorgaben des Art. 28 DSGVO zu beachten. Weitere Informationen: - [Art. 28 DSGVO – Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/) - [Business ByDesign (SAP)](https://www.sap.com/germany/products/erp/business-bydesign.html)