Auftragsverarbeitungsvertrag, gemeinsame Verantwortlichkeit oder eigenverantwortliche Verarbeitung?
Nicht jeder Dienstleister mit Datenzugang ist automatisch ein Auftragsverarbeiter. Die DSGVO kennt drei grundlegend verschiedene Konstellationen: Auftragsverarbeitung nach Art. 28, gemeinsame Verantwortlichkeit nach Art. 26 und eigenverantwortliche Verarbeitung durch einen Dritten. Jede verlangt ein anderes Vorgehen.
Die folgende Prüfung führt Sie in drei Schritten zum richtigen Ergebnis. Rechtskenntnisse sind nicht erforderlich.
AVV-Prüfung
Schritt für Schritt zum richtigen Ergebnis
Hat der Dienstleister Zugang zu personenbezogenen Daten?
Gemeint ist jeder Zugang: lesend, schreibend, speichernd oder weiterleitend. Personenbezogene Daten sind alle Informationen, die eine Person identifizieren oder identifizierbar machen, etwa Name, E-Mail-Adresse, Kundennummer, Personalakte oder IP-Adresse.
- Cloud-Dienste mit Kundendaten
- Externer IT-Dienstleister
- HR-Software-Anbieter
- E-Mail-Marketing-Dienst
- Lieferant von Büromaterial
- Stromanbieter oder Versorger
- Catering- oder Kantinenbetrieb
Verarbeitet der Dienstleister die Daten ausschließlich nach Ihren Vorgaben?
Der Dienstleister handelt ausschließlich nach Ihren Vorgaben, wenn er keinen eigenen gesetzlichen oder berufsrechtlichen Spielraum bei der Verarbeitung hat. Steuerberater, Rechtsanwälte und Wirtschaftsprüfer fallen nicht darunter: Sie handeln aufgrund eigener Berufspflichten.
- Cloud-Anbieter, Rechenzentrum
- Externer IT-Support
- Callcenter
- Externe Lohnbuchhaltung
- Steuerberater
- Rechtsanwalt
- Wirtschaftsprüfer
- Bank
- Paket- und Versanddienstleister
Die Einordnung hängt immer von der konkreten Dienstleistung ab. Auch ein Steuerberater oder eine Bank kann in einzelnen Konstellationen Auftragsverarbeiter sein.
Nutzt der Dienstleister die Daten auch für eigene Zwecke?
Gemeint sind eigene Geschäftszwecke: Werbung, Profiling, eigene Analysen oder Produktverbesserung. Dass der Dienstleister ein Honorar erhält, reicht nicht. Entscheidend ist, ob er die Daten für eigene Interessen einsetzt.
- Facebook- oder Instagram-Fanpage
- LinkedIn-Unternehmensseite
- Analytics-Anbieter mit eigener Datennutzung
- Gemeinsame Marketingplattform
- Steuerberater
- Rechtsanwalt
- Wirtschaftsprüfer
- Paket- und Versanddienstleister
Was bedeuten die drei Ergebnisse?
Auftragsverarbeitung (Art. 28 DSGVO)
Verarbeitet ein Dienstleister personenbezogene Daten ausschließlich nach Ihren Vorgaben, liegt eine Auftragsverarbeitung vor. Sie bleiben als Auftraggeber datenschutzrechtlich verantwortlich. Ohne AVV liegt ein eigenständiger Datenschutzverstoß vor, auch wenn kein Schaden entsteht.
Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)
Bestimmen zwei Parteien gemeinsam die Zwecke und Mittel der Verarbeitung, liegt gemeinsame Verantwortlichkeit vor. Das kann auch ohne formelle Absprache entstehen, allein durch die tatsächliche Ausgestaltung der Zusammenarbeit. Der EuGH hat 2018 entschieden (C-210/16), dass Betreiber einer Facebook-Fanpage gemeinsam mit Meta für die Verarbeitung von Besucherdaten verantwortlich sind. Dieses Prinzip gilt analog für LinkedIn, Instagram und jede andere Plattform, die auf Basis Ihrer Unternehmenspräsenz eigenes Targeting betreibt.
Eigenverantwortliche Verarbeitung
Verarbeitet ein Dienstleister Daten aufgrund eigener gesetzlicher oder berufsrechtlicher Pflichten, ist er datenschutzrechtlich selbst Verantwortlicher. Ein AVV wäre hier falsch. Die Übermittlung der Daten braucht aber eine eigene Rechtsgrundlage und sollte im Verarbeitungsverzeichnis dokumentiert sein.