Auftragsverarbeiter

Ein Auftragsverarbeiter verarbeitet nach Art. 4 Z 8 DSGVO personenbezogene Daten im Auftrag des Verantwortlichen. Die Rolle kann etwa ein Cloud-Anbieter, ein Lohnverrechnungsdienstleister, ein Anbieter von IT-Support oder ein externer Akten- und Archivdienstleister übernehmen. Entscheidend ist nicht die Bezeichnung im Vertrag, sondern wie Zwecke, Abläufe und Befugnisse tatsächlich gestaltet sind.

Der Verantwortliche legt den Zweck der Verarbeitung und die wesentlichen Mittel fest. Der Auftragsverarbeiter darf innerhalb dieses Rahmens technische und organisatorische Einzelheiten bestimmen, verarbeitet die Daten aber nicht für eigene, mit dem Auftrag unvereinbare Zwecke. Beschäftigte, die unmittelbar unter der Weisungsbefugnis des eigenen Unternehmens arbeiten, sind dadurch nicht automatisch Auftragsverarbeiter. Für die Rollenabgrenzung zählt die tatsächliche Entscheidungs- und Handlungsmacht.

Die Verarbeitung muss nach Art. 28 DSGVO durch einen Vertrag oder ein anderes Rechtsinstrument geregelt sein. Darin werden unter anderem Gegenstand und Dauer der Verarbeitung, Datenarten, betroffene Personengruppen, dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Unterstützung bei Betroffenenrechten und Datenschutzverletzungen sowie Rückgabe oder Löschung festgelegt. Unterauftragsverarbeiter dürfen grundsätzlich nur mit vorheriger spezifischer oder allgemeiner schriftlicher Genehmigung eingesetzt werden. Der Auftragsverarbeiter muss den Verantwortlichen informieren, wenn eine Weisung seiner Einschätzung nach gegen Datenschutzrecht verstößt.

Für Unternehmen beginnt die Prüfung daher mit dem konkreten Verarbeitungsvorgang: Welche Daten werden für welchen Zweck verarbeitet, wer entscheidet über die wesentlichen Mittel, wo werden die Daten verarbeitet und welche Unterauftragsverarbeiter sind beteiligt? Der Bereich Auftragsverarbeitung und Dienstleister ordnet diese Fragen ein. Der Rollen-Check bietet eine erste Orientierung, die Checkliste für Auftragsverarbeiter unterstützt bei Auswahl und laufender Kontrolle.