Wenn die Kamera des Nachbarn dich oder dein Auto außerhalb seines eigenen Grundstücks mitfilmt, ist das in Deutschland meist unzulässig – und du kannst verlangen, dass die Erfass...
Ist Mystery Shopping Auftragsverarbeitung?
Antwort vom**Nicht automatisch. Mystery Shopping ist nur dann Auftragsverarbeitung, wenn der Dienstleister personenbezogene Daten ausschließlich weisungsgebunden für dein Unternehmen verarbeitet; bewertet er Mitarbeiter oder erhebt er Daten für eigene methodische Zwecke, ist er oft selbst Verantwortlicher oder es liegt zumindest keine reine Auftragsverarbeitung vor.** ([baden-wuerttemberg.datenschutz.de](https://www.baden-wuerttemberg.datenschutz.de/faq-zur-abgrenzung-der-verantwortlichkeiten-und-des-begriffs-der-auftragsverarbeitung/)) ## Entscheidend ist nicht der Name, sondern die Rolle Nach DSGVO ist Auftragsverarbeitung nur gegeben, wenn der Dienstleister ein „verlängerter Arm“ ist: kein eigener Zweck, kein wesentlicher eigener Entscheidungsspielraum, Verarbeitung nur nach deinen Vorgaben. Genau diese Abgrenzung betonen die Datenschutzaufsichtsbehörden. ([baden-wuerttemberg.datenschutz.de](https://www.baden-wuerttemberg.datenschutz.de/faq-zur-abgrenzung-der-verantwortlichkeiten-und-des-begriffs-der-auftragsverarbeitung/)) Bei Mystery Shopping ist das oft gerade **nicht** so eindeutig, weil die Agentur typischerweise selbst festlegt, wie Tests durchgeführt, Beobachtungen dokumentiert und Ergebnisse ausgewertet werden. Sobald sie über Mittel und Auswertung wesentlich mitentscheidet, spricht das gegen eine reine Auftragsverarbeitung. Das ist eine naheliegende Schlussfolgerung aus den behördlichen Abgrenzungskriterien. ([baden-wuerttemberg.datenschutz.de](https://www.baden-wuerttemberg.datenschutz.de/faq-zur-abgrenzung-der-verantwortlichkeiten-und-des-begriffs-der-auftragsverarbeitung/)) ## Wann es eher Auftragsverarbeitung ist Eher **ja**, wenn die Agentur nur technisch-organisatorisch für dich arbeitet, zum Beispiel: - du legst Zweck, Fragenkatalog, betroffene Filialen und Auswertung exakt fest - die Agentur liefert nur Rohdaten oder Berichte nach deinen Weisungen - sie nutzt die Daten nicht für eigene Benchmarks, Methodenentwicklung oder andere Kundenprojekte Dann passt ein AV-Vertrag nach Art. 28 DSGVO regelmäßig. ([lfd.niedersachsen.de](https://www.lfd.niedersachsen.de/auftragsverarbeitung/auftragsverarbeitung-nach-art-28-dsgvo-179673.html)) ## Wann es eher keine Auftragsverarbeitung ist Eher **nein**, wenn die Agentur: - ein eigenes Bewertungssystem einsetzt - selbst entscheidet, welche Beobachtungen relevant sind - Ergebnisse eigenständig interpretiert oder verdichtet - Daten auch zur eigenen Qualitätssicherung oder Methodik nutzt Dann ist sie datenschutzrechtlich meist nicht bloß Auftragsverarbeiter. Genau hier machen viele Unternehmen den Fehler, vorschnell einen AV-Vertrag zu schließen, obwohl die Rollenverteilung materiell nicht passt. ([baden-wuerttemberg.datenschutz.de](https://www.baden-wuerttemberg.datenschutz.de/faq-zur-abgrenzung-der-verantwortlichkeiten-und-des-begriffs-der-auftragsverarbeitung/)) ## Praktisch wichtig Der Kernpunkt ist: **Wenn beim Mystery Shopping konkrete Mitarbeiter identifizierbar bewertet werden, ist die datenschutzrechtliche Einordnung besonders heikel.** Dann geht es nicht nur um Art. 28 DSGVO, sondern zusätzlich um Rechtsgrundlage, Transparenz gegenüber Beschäftigten und arbeitsrechtliche Grenzen. Ein falsches Rollenmodell heilt diese Probleme nicht. ([bfdi.bund.de](https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile&v=27)) Für die Praxis ist die klarste Antwort deshalb: **Mystery Shopping kann Auftragsverarbeitung sein, ist es aber häufig nicht in Reinform.** Entscheidend ist, ob die Agentur nur ausführt oder selbst inhaltlich mitbestimmt.
Verwandte Fragen
Kann eine datenschutzrechtliche Einwilligung nach Art. 7 Abs. 3 DSGVO grundsätzlich für die Zukunft widerrufen werden?
Ja. Eine Einwilligung nach Art. 7 Abs. 3 DSGVO ist grundsätzlich jederzeit mit Wirkung für die Zukunft widerrufbar; die bis zum Widerruf erfolgte Verarbeitung bleibt aber rechtmäß...
Sind Laden und Smartphone-Hersteller gemeinsame Verantwortliche, wenn ich im Geschäft Push-Angebote erhalte?
Nicht automatisch. Gemeinsame Verantwortlichkeit liegt nur vor, wenn Laden und Hersteller die konkrete Datenverarbeitung für die Push-Angebote gemeinsam über Zweck und wesentliche Mittel bes...
Darf der Vermieter persönliche Daten von Notfall-Schlüsselinhabern verlangen?
Nein. Der Vermieter darf nicht pauschal „vollständige persönliche Informationen“ über Dritte verlangen, die nur für einen Notfall einen Ersatzschlüssel haben solle...
Kann Fremdpersonal, das über einen Dienstvertrag beim Kunden eingesetzt wird, datenschutzrechtlich als nicht Dritter gelten?
Ja – Fremdpersonal kann datenschutzrechtlich „nicht Dritter“ sein, aber nicht schon deshalb, weil es per Dienstvertrag beim Kunden arbeitet. Entscheidend ist, ob die Personen persone...
Wie entsteht das Spannungsfeld zwischen Datenschutz und Scheinselbstständigkeit beim Einsatz von Fremdpersonal im Unternehmen?
Das Spannungsfeld ist real: Unternehmen wollen Fremdpersonal datenschutzrechtlich eng steuern, dürfen es aber arbeitsorganisatorisch nicht so einbinden, dass aus dem „Selbstständigen&l...
Hat eine Impfhelferin nur Datenschutzpflicht oder auch gesetzliche Schweigepflicht?
Nein. Eine Impfhelferin hat nicht nur Datenschutzpflicht; sie kann je nach Rolle auch einer gesetzlichen Schweigepflicht unterliegen. Entscheidend ist nicht die Bezeichnung „Impfhelferin“,...
Welche Eskalationsinstanzen braucht es bei einer Verfahrensverzeichnisprüfung, wenn das Datenschutzteam den Prozess an einen Rechtsdienstleister ausgelagert hat?
Die Eskalation darf nicht beim externen Rechtsdienstleister enden: Verantwortlich bleibt immer die auslagernde Stelle, deshalb braucht die Verfahrensverzeichnisprüfung mindestens eine fachliche,...
Sollte bei Auditorfragen zum Verfahrensverzeichnis eher der Fachbereich oder das Datenschutz-Team zum Datenschutzhinweis antworten?
Ja – aber nur, wenn das Datenschutz-Team die rechtliche Einordnung übernimmt und der Fachbereich die tatsächliche Praxis liefert. Genau dort liegt der entscheidende Punkt: Ein Datensch...
Wer ist für die Umsetzung von Maßnahmen nach einer Verfahrensverzeichnis-Prüfung verantwortlich, z. B. für die Erstellung eines Löschkonzepts?
Verantwortlich ist grundsätzlich der Verantwortliche im Sinne der DSGVO – also die Stelle bzw. Unternehmensleitung, nicht der Datenschutzbeauftragte. Die praktische Umsetzung einzelner Ma&s...
