Was ist ein Auftragsverarbeiter?

Die verlängerte Werkbank des Verantwortlichen

Der Auftragsverarbeiter arbeitet mit fremden Daten für fremde Zwecke. Ob ein Druckdienstleister Kundenadressen für ein Mailing druckt oder ein Cloud-Anbieter Meeting-Transkripte speichert: Das Ziel bestimmt der Auftraggeber, der Dienstleister führt aus. Die österreichische Datenschutzbehörde formuliert es so: Die Entscheidung über Zwecke und Mittel „bleibt daher immer der:dem Verantwortlichen überlassen“.

Das heißt nicht, dass der Dienstleister keinerlei technische Entscheidungen trifft – welche Server, welches Backup-Verfahren, welche Programmiersprache, legt er oft selbst fest. Entscheidend ist, dass er die Daten nicht für eigene Ziele nutzt.

Für den Verantwortlichen beginnt die Pflicht schon bei der Auswahl: Er darf nach Art. 28 Abs. 1 nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete Schutzmaßnahmen bieten. Erwägungsgrund 81 nennt als Maßstab ausdrücklich Fachwissen, Zuverlässigkeit und Ressourcen. Ein Blick in Sicherheitsbeschreibung, Speicherort und Unterauftragnehmer-Liste gehört daher vor die Entscheidung, nicht danach.

Woran du einen Auftragsverarbeiter erkennst

Folgende Merkmale sprechen dafür, dass ein Dienstleister Auftragsverarbeiter ist:

• Er verarbeitet die Daten nur, weil und solange du ihn beauftragst.
• Er nutzt sie nicht für eigene Zwecke wie Werbung, eigene Analysen oder das Training eigener Produkte.
• Er gibt sie nicht ohne deine Weisung an andere weiter.
• Nach Vertragsende löscht er sie oder gibt sie zurück – nach deiner Wahl.

Fällt einer dieser Punkte weg, wird es heikel. Art. 28 Abs. 10 DSGVO ist hier deutlich: Wer als Auftragsverarbeiter unter Verstoß gegen die Verordnung selbst über Zwecke und Mittel bestimmt, gilt insoweit als Verantwortlicher – mit allen Pflichten, die daran hängen.

Die Pflichten des Auftragsverarbeiters

Die meisten DSGVO-Pflichten treffen den Verantwortlichen. Einige gelten aber auch direkt für den Auftragsverarbeiter: Er darf nur auf Weisung verarbeiten (Art. 29), muss eigene technische und organisatorische Maßnahmen treffen (Art. 32), in der Regel ein eigenes Verarbeitungsverzeichnis über die Auftragsverarbeitungen führen (Art. 30 Abs. 2) und darf weitere Dienstleister nur mit Genehmigung einschalten (Art. 28 Abs. 2) – siehe Unterauftragsverarbeiter.

Den Rest regelt der Auftragsverarbeitungsvertrag. Hält er eine Weisung für rechtswidrig, muss er den Verantwortlichen unverzüglich informieren (Art. 28 Abs. 3 letzter Unterabsatz). Bei einer Datenpanne meldet nicht er der Behörde, sondern der Verantwortliche – der Auftragsverarbeiter muss ihn aber unverzüglich verständigen, wie die österreichische Datenschutzbehörde zusammenfasst.

Verstößt er gegen seine Pflichten, kann auch gegen ihn eine Geldbuße verhängt werden, und Betroffene können Schadenersatz von ihm verlangen (Art. 82, 83).

Wann es kein Auftragsverarbeiter ist

Nicht jeder, der mit deinen Daten in Berührung kommt, ist Auftragsverarbeiter. Der Installateur, der den Server im Büro anschließt, verarbeitet keine Daten in deinem Auftrag, auch wenn er theoretisch den Bildschirm sieht. Und ein Partner, mit dem du gemeinsam festlegst, wofür Daten verwendet werden, ist eher ein gemeinsam Verantwortlicher.

Bei KI-Diensten lohnt der genaue Blick in die Bedingungen: Behält sich der Anbieter vor, Inhalte zur Verbesserung seiner Modelle zu verwenden, verfolgt er insoweit einen eigenen Zweck. Ob das noch zur Auftragsverarbeitung passt, ist dann eine Frage, die du vor dem Einsatz klären solltest.