Ob ein Dienstleister Verantwortlicher oder Auftragsverarbeiter ist, entscheidet sich an seiner tatsächlichen Tätigkeit. Ein Vertrag mit der Überschrift „Auftragsverarbeitung“ beantwortet die Frage nicht abschließend. Wer eigene Verarbeitungszwecke und wesentliche Mittel bestimmt, lässt sich durch eine Vertragsbezeichnung nicht zu einem bloßen Weisungsempfänger machen.
Die Einordnung muss für den konkreten Vorgang erfolgen. Derselbe Anbieter kann Kundendateien im Auftrag speichern und gleichzeitig Verantwortlicher für seine eigene Rechnungsverwaltung sein. Dieser Leitfaden zeigt die Entscheidungskriterien, ordnet unterschiedliche Situationen ein und führt zu einem ausgefüllten Rollenvermerk. Die detaillierten Vertragsinhalte behandelt ergänzend der Leitfaden zur Auftragsverarbeitung nach der DSGVO.
1. Welche Begriffe die DSGVO verwendet
Nach Artikel 4 Nummer 7 DSGVO bestimmt der Verantwortliche allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung. Der Auftragsverarbeiter verarbeitet nach Nummer 8 personenbezogene Daten im Auftrag des Verantwortlichen. Maßgeblich sind damit die Entscheidungsbefugnisse und die Beziehung zwischen den Beteiligten, nicht Unternehmensgröße oder Vertragswert. Die Definitionen und anschließenden Pflichten stehen im amtlichen Text der DSGVO.
Im gewöhnlichen Unternehmensbetrieb ist die verantwortliche Stelle regelmäßig das Unternehmen und nicht die einzelne Person, die das Formular entwirft oder den Vertrag unterschreibt. Ein weisungsgebundener Beschäftigter wird durch den Umgang mit Daten auch nicht automatisch zu einem externen Auftragsverarbeiter. Bei einer eigenständigen Konzerngesellschaft muss die Beziehung dagegen gesondert geprüft werden; ein gemeinsamer Konzernname ersetzt diese Prüfung nicht.
Die Rolle sollte so genau beschrieben sein, dass sich daraus der nächste Arbeitsschritt ergibt. „Anbieter A ist Auftragsverarbeiter“ bleibt unvollständig, wenn A zusätzlich ein eigenes Produkttraining mit den hochgeladenen Inhalten durchführen will. Beschreiben Sie stattdessen die Speicherung, den Support, die Abrechnung und eine etwaige weitere Verwendung getrennt.
2. Wer bestimmt Zweck und wesentliche Mittel?
Der Zweck erklärt, warum die Verarbeitung stattfindet. Die wesentlichen Mittel betreffen zentrale Entscheidungen über ihren Zuschnitt. In den finalen EDSA-Leitlinien 07/2020 gehören dazu etwa betroffene Personen, Datenarten, Dauer und Empfänger. Praktische Entscheidungen über geeignete Software oder technische Umsetzung können je nach Kontext dem Auftragsverarbeiter überlassen werden.
Deshalb macht die Auswahl einer Verschlüsselungstechnologie den Dienstleister nicht automatisch zum Verantwortlichen. Umgekehrt ist eine eigenmächtig eingeführte Nutzung von Kundendateien für ein eigenes Trainingsprodukt keine bloße technische Detailentscheidung. Entscheidend ist, welche Zwecke und Grenzen der Auftraggeber tatsächlich vorgegeben hat und ob der Anbieter innerhalb dieses Auftrags handelt.
Fragen Sie den Fachbereich nach beobachtbaren Entscheidungen. Wer legt fest, welche Kundengruppen einbezogen werden? Wer entscheidet über die Weitergabe an andere Unternehmen? Kann der Auftraggeber eine vorgeschlagene weitere Verwendung ablehnen, ohne dass der Anbieter sie trotzdem durchführt? Welche Entscheidung wird durch eine gesetzliche Aufgabe vorgegeben? Sammeln Sie die zugehörigen Leistungsbeschreibungen und Konfigurationen, bevor Sie das passende Vertragsmuster auswählen.
3. Vier Grundsituationen unterscheiden
| Tatsächlicher Vorgang | Entscheidende Feststellung | Mögliche Einordnung |
|---|---|---|
| Speicherung von Kundendateien ausschließlich innerhalb eines dokumentierten Auftrags | Kunde bestimmt Zwecke und wesentliche Grenzen; Anbieter führt aus | Auftragsverarbeitung für diese Speicherung |
| Eigene Rechnungsverwaltung des Anbieters | Anbieter bestimmt seine Verwaltung und erfüllt eigene Pflichten | Eigene Verantwortlichkeit für diesen Vorgang |
| Gemeinsam entworfene Erhebung für ein gemeinsames Veranstaltungsprojekt | Beide bestimmen gemeinsam die betreffenden Zwecke und Mittel | Gemeinsame Verantwortlichkeit für den gemeinsam bestimmten Teil |
| Übermittlung an eine Stelle für deren unabhängig festgelegte Aufgabe | Empfänger bestimmt seine anschließende Verarbeitung selbst | Getrennte Verantwortlichkeit, sofern keine gemeinsame Bestimmung vorliegt |
Diese Tabelle enthält bedingte Beispiele. Sie ist keine verbindliche Branchenliste. Auch bei einem bekannten Cloudprodukt können einzelne Zusatzfunktionen andere Zwecke verfolgen als die Kernleistung. Eine pauschale Einordnung sämtlicher Tätigkeiten von Banken, Kanzleien oder IT-Anbietern würde solche Unterschiede verdecken.
Der wirtschaftliche Vorteil einer Dienstleistung ist ebenfalls kein eigenständiger Rollenmaßstab. Ein Auftragsverarbeiter darf für seine Leistung bezahlt werden. Die entscheidende Frage bleibt, ob er personenbezogene Daten innerhalb des fremden Auftrags oder für selbst bestimmte Zwecke verarbeitet.
4. Ausgefüllter Rollenvermerk für ein Dokumentenportal
Das fiktive Unternehmen Havelbau möchte ein externes Portal für Projektunterlagen nutzen. Die nachfolgenden Feststellungen sind Annahmen dieses Beispiels und müssen bei einer echten Beschaffung anhand der tatsächlichen Leistung geprüft werden.
| Prüffeld | Feststellung im Beispiel | Folge |
|---|---|---|
| Zweck der Dateispeicherung | Havelbau organisiert die Zusammenarbeit in benannten Bauprojekten | Havelbau bestimmt den Zweck |
| Daten und Nutzer | Havelbau legt Projektmitglieder, Unterlagen und Berechtigungen fest | Wesentliche Grenzen bleiben beim Kunden |
| Technische Umsetzung | Portalbetreiber wählt geeignete Servertechnik und Sicherungsverfahren | Technischer Spielraum allein ändert die Rolle nicht |
| Eigene Inhaltsnutzung | Vertragsfassung und Konfiguration schließen eigenständiges Training mit Projektdateien aus | Speicherung wird als Auftragsverarbeitung eingeordnet |
| Rechnungskontakte | Betreiber führt eine eigene Kunden- und Rechnungsverwaltung | Gesonderte Verantwortlichkeit des Betreibers |
| Neue Analysefunktion | Betreiber möchte später Inhalte für einen selbst bestimmten Vergleichsdienst verwenden | Neue Rollen- und Zulässigkeitsprüfung vor Aktivierung |
Ein passender Vermerk lautet: „Für die Speicherung und Bereitstellung der festgelegten Projektunterlagen handelt der Portalbetreiber im Auftrag von Havelbau. Der Vertrag nach Artikel 28 muss diese Verarbeitung und die zugehörigen Weisungen abdecken. Die eigene Rechnungsverwaltung wird getrennt beschrieben. Die angebotene Inhaltsanalyse ist nicht von dieser Freigabe umfasst.“
Als Belege werden die geprüfte Leistungsbeschreibung, die relevanten Vertragsabschnitte und die dokumentierte Einstellung zur Inhaltsnutzung beigefügt. Die Unterscheidung bleibt dadurch nachvollziehbar, selbst wenn eine andere Person die Beschaffung später übernimmt. Die IT-Systemkartierung zeigt zusätzlich, welche weiteren Stellen tatsächlich Zugriff erhalten.
5. Wann gemeinsame Verantwortlichkeit vorliegt
Artikel 26 DSGVO betrifft die gemeinsame Festlegung von Zwecken und Mitteln. Gemeinsame Beteiligung kann nach den EDSA-Leitlinien auf einer gemeinsamen Entscheidung oder auf zusammenwirkenden Entscheidungen beruhen, die die Verarbeitung maßgeblich prägen. Der Umfang muss sich auf die konkret gemeinsam bestimmten Verarbeitungsschritte beziehen.
Ein gemeinsamer kommerzieller Nutzen reicht für sich genommen nicht. Ebenso wenig entscheidet allein, ob beide Beteiligten dieselbe Datenbank einsehen können. Prüfen Sie beispielsweise bei einer Veranstaltung, wer die Teilnehmerkategorien, den Umfang der Erhebung und die vorgesehene gemeinsame Nutzung festlegt. Die anschließende eigenständige Mitgliederverwaltung eines Partners kann eine andere Verarbeitung sein.
Bei gemeinsamer Verantwortlichkeit müssen die Beteiligten ihre jeweiligen Pflichten transparent zuordnen, insbesondere hinsichtlich Information und Betroffenenrechten. Das Wesentliche der Vereinbarung ist den betroffenen Personen zugänglich zu machen. Diese können ihre Rechte ungeachtet der internen Zuständigkeitsverteilung gegenüber jedem gemeinsam Verantwortlichen geltend machen. Ein Artikel-28-Vertrag ist dafür kein austauschbarer Ersatz.
6. Welche Pflichten aus der Einordnung folgen
Der Verantwortliche muss die Rechtmäßigkeit seiner Verarbeitung sicherstellen, Betroffene informieren und erforderliche Schutzmaßnahmen organisieren. Je nach Voraussetzungen gehören dazu ein Verarbeitungsverzeichnis und eine Datenschutz-Folgenabschätzung. Ein Dienstleistervertrag ersetzt insbesondere nicht die Rechtsgrundlage des Verantwortlichen. Der Leitfaden zur Rechenschaftspflicht verbindet diese Entscheidungen mit ihren Nachweisen.
Der Auftragsverarbeiter hat eigene gesetzliche Pflichten. Artikel 28 verlangt unter anderem dokumentierte Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung und Kontrollen. Für eine gesetzlich verlangte Verarbeitung durch den Auftragsverarbeiter enthält Artikel 28 Absatz 3 Buchstabe a eine besondere Regelung samt grundsätzlich vorheriger Information; ein solcher Fall darf nicht stillschweigend als freie eigene Nutzung behandelt werden.
Bei IT-Leistungen für eine Arztpraxis tritt neben die Rollenentscheidung die Absicherung der ärztlichen Schweigepflicht gegenüber dem IT-Dienstleister. Ein passender Vertrag nach Artikel 28 beantwortet für sich noch nicht, unter welchen Voraussetzungen ein Supportmitarbeiter Zugang zu Patientengeheimnissen erhalten darf.
Nach dem Ende der Leistung sind Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen und vorhandene Kopien zu löschen, sofern keine einschlägige unions- oder mitgliedstaatliche Speicherpflicht entgegensteht. Die praktische Gestaltung gehört in den Auftragsverarbeitungsvertrag. Aufbewahrung für die eigene Rechnungsverwaltung muss von der Weiterhaltung vollständiger Kundendateien unterschieden werden.
7. Unterauftragnehmer und Drittlandzugriffe einordnen
Ein Auftragsverarbeiter darf weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung einsetzen. Bei allgemeiner Genehmigung muss er über beabsichtigte Änderungen informieren und Gelegenheit zum Einspruch geben. Die Verantwortung des ursprünglichen Auftragsverarbeiters gegenüber dem Verantwortlichen für die Pflichterfüllung des weiteren Auftragsverarbeiters folgt aus Artikel 28 Absatz 4.
Die Prüfliste für geänderte Unterauftragsverarbeiter hilft, eine Mitteilung mit tatsächlichem Zugriff, Aufgabe und Genehmigungsmodell zu verbinden. Eine bloße Namensliste beantwortet nicht, ob eine neue Stelle Projektdateien, Kontaktinformationen oder nur technische Betriebsdaten erhält.
Bei einem Drittlandtransfer kommt zur Rollenklärung die Prüfung nach Kapitel V hinzu. Die Rollen beeinflussen beispielsweise die Auswahl des passenden SCC-Moduls. Das Transfer Impact Assessment behandelt die anschließende Bewertung des konkreten Transfers. Eine korrekte Bezeichnung als Auftragsverarbeiter ersetzt weder ein erforderliches Transferinstrument noch wirksame ergänzende Maßnahmen.
8. Typische Fehler berichtigen
Ein fehlender Artikel-28-Vertrag ist bei tatsächlich vorliegender Auftragsverarbeitung ein Mangel. Er macht den Dienstleister aber nicht allein deshalb zum unabhängig Verantwortlichen. Die tatsächlichen Rollen müssen zunächst festgestellt und die erforderlichen Regelungen anschließend hergestellt werden.
Umgekehrt heilt ein unterschriebener AVV keine eigenständig festgelegte weitere Datennutzung. Nach Artikel 28 Absatz 10 gilt ein Auftragsverarbeiter für die betreffende Verarbeitung als Verantwortlicher, wenn er unter Verstoß gegen die Verordnung deren Zwecke und Mittel bestimmt. Nicht jeder technische Fehler bedeutet einen solchen Rollenwechsel. Halten Sie fest, welche Entscheidung getroffen wurde und welche Pflicht dadurch betroffen ist.
Auch die Haftung lässt sich nicht pauschal mit „immer der Kunde“ oder „immer beide“ beschreiben. Artikel 82 unterscheidet die Verantwortlichkeit des Verantwortlichen von Verstößen gegen speziell an Auftragsverarbeiter gerichtete Pflichten beziehungsweise Handlungen außerhalb oder entgegen rechtmäßigen Weisungen. Interne Haftungsklauseln beseitigen weder gesetzliche Betroffenenrechte noch behördliche Befugnisse.
9. Die Entscheidung im Betrieb aktuell halten
Vergeben Sie für jeden Rollenvermerk einen fachlichen Eigentümer und konkrete Auslöser für eine neue Prüfung. Dazu gehören neue Inhaltsnutzungen, geänderte Empfänger, zusätzliche Datenkategorien oder ein wesentlich anderer Leistungsumfang. Eine bloße Änderung des Produktnamens muss dagegen nicht dieselbe Bedeutung haben.
Bei Havelbau würde die geplante Inhaltsanalyse den bestehenden Speicherauftrag nicht automatisch erweitern. Der zuständige Fachbereich prüft zuerst Zweck, wesentliche Mittel und Zulässigkeit der zusätzlichen Verarbeitung. Anschließend werden gegebenenfalls Verträge, Informationen und technische Einstellungen angepasst. Die Datenminimierung bleibt dabei eine eigene Anforderung, selbst wenn sich die Rollen zweifelsfrei bestimmen lassen.
Häufige Fragen
Kann ein Anbieter zugleich Verantwortlicher und Auftragsverarbeiter sein?
Für unterschiedliche Verarbeitungsvorgänge ja. Die Speicherung fremder Dateien im Auftrag und die eigene Rechnungsverwaltung sind getrennt zu betrachten. Für denselben konkreten Vorgang sind die Rollen dagegen keine beliebig kombinierbaren Etiketten.
Bedeutet technische Gestaltungsfreiheit eigene Verantwortlichkeit?
Nicht automatisch. Ein Auftragsverarbeiter kann geeignete praktische Mittel auswählen. Entscheidend ist, ob er innerhalb der vorgegebenen Zwecke und wesentlichen Grenzen handelt oder selbst maßgebliche Entscheidungen über die Verarbeitung trifft.
Was sollte vor der Unterschrift vorliegen?
Ein begründeter Rollenvermerk mit konkretem Vorgang, tatsächlichen Entscheidungsbefugnissen und überprüften Unterlagen. Erst daraus folgen die passende Vertragsart, die notwendigen Informationen und die noch offenen Schutzmaßnahmen.