Wie erfolgt die Abgrenzung?
Der Verantwortliche entscheidet über die Zwecke und wesentlichen Mittel der Verarbeitung. Der Auftragsverarbeiter unterstützt ihn innerhalb des vereinbarten Rahmens und darf angemessene technische Einzelheiten selbst bestimmen. Verfolgt ein Dienstleister eigenständige Zwecke oder trifft er wesentliche eigene Entscheidungen, kann eine andere Rolle vorliegen. Berufsrechtlich eigenverantwortliche Leistungen sind deshalb gesondert zu betrachten. Auch zwischen verbundenen Unternehmen besteht keine automatische Ausnahme. Die Bezeichnung eines Vertrags als Auftragsverarbeitung schafft die Rolle nicht, wenn die tatsächlichen Abläufe ihr widersprechen.
Was muss der Vertrag regeln?
Die Vereinbarung muss insbesondere Gegenstand und Dauer, Art und Zweck der Verarbeitung sowie Datenarten und betroffene Personengruppen festlegen. Hinzu kommen Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen und Unterstützung bei Betroffenenrechten sowie bestimmten weiteren Datenschutzpflichten. Zu regeln sind außerdem Rückgabe oder Löschung nach Auftragsende und Möglichkeiten der Überprüfung. Der Vertrag kann elektronisch geschlossen werden. Allgemeine Werbeaussagen eines Anbieters ersetzen keine ausreichend konkrete Vereinbarung. Anhänge sollten zu den tatsächlich genutzten Diensten passen und nicht lediglich abstrakte Beispiele enthalten.
Auswahl, Sicherheit und Unterauftragnehmer
Verantwortliche dürfen nur Dienstleister einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Prüfung sollte sich am Risiko der Datenverarbeitung orientieren. Für weitere Auftragsverarbeiter gelten besondere Genehmigungs- und Vertragspflichten. Eine allgemeine Genehmigung muss mit Informationen über beabsichtigte Änderungen verbunden sein, damit ein Widerspruch ermöglicht wird. Werden Daten in Drittstaaten übermittelt, ist zusätzlich das entsprechende Kapitel der DSGVO zu prüfen. Ein Auftragsverarbeitungsvertrag allein legitimiert solche Übermittlungen nicht unabhängig von deren Voraussetzungen.
EuGH-Urteil zur Zurechnung von Verstößen
Am 5. Dezember 2023 entschied der Europäische Gerichtshof, C‑683/21, unter anderem zur Bußgeldverantwortung bei eingesetzten Auftragsverarbeitern. Eine Verarbeitung im Namen des Verantwortlichen kann diesem zugerechnet werden, obwohl ein Dienstleister sie technisch ausführt. Das Gericht nennt jedoch Grenzen, etwa bei eigenständigen Zwecken des Auftragnehmers oder bestimmten unvereinbaren, vernünftigerweise nicht genehmigten Verarbeitungen. Das Urteil betrifft die Voraussetzungen einer Geldbuße und ist kein pauschaler Satz über jede zivilrechtliche Haftung. Es zeigt, warum Weisungen und tatsächliche Abläufe übereinstimmen müssen.
Was gilt bei eigenen Zwecken des Dienstleisters?
Bestimmt ein Auftragsverarbeiter entgegen der DSGVO selbst Zwecke und Mittel, gilt er insoweit nach Artikel 28 Absatz 10 als Verantwortlicher. Damit verschwindet nicht automatisch jede Pflicht des ursprünglichen Auftraggebers. Entscheidend bleiben der konkrete Verarbeitungsvorgang und die jeweils einschlägige Anspruchsgrundlage. Anbieterbedingungen, die weitreichende Datennutzung für eigene Produkte vorsehen, sollten daher sorgfältig geprüft werden. Eine unklare Rollenbeschreibung kann sowohl unpassende Datenschutzhinweise als auch Lücken bei Auskunft, Löschung und Sicherheitsmaßnahmen verursachen.
Worauf kommt es im laufenden Betrieb an?
Verträge sollten bei neuen Funktionen, geänderten Datenkategorien oder zusätzlichen Unterauftragnehmern überprüft werden. Zugänge müssen nach dem erforderlichen Umfang vergeben und nach Vertragsende zuverlässig beendet werden. Für Datenpannen braucht es erreichbare Ansprechpartner und klare Meldewege. Prüfberichte können die Kontrolle unterstützen, ersetzen aber nicht jede Einzelfallbewertung. Wer einen Dienstleister auswählt, sollte deshalb nicht nur Preise und Funktionen vergleichen, sondern auch tatsächliche Datenflüsse, Löschmöglichkeiten und nachvollziehbare Sicherheitsnachweise erfassen. Vor Vertragsende ist außerdem zu klären, wie ein Wechsel zu einem anderen Anbieter ohne unnötige Datenkopien gelingt. Vereinbarte Löschungen und verbleibende gesetzliche Aufbewahrungspflichten sollten dabei nachvollziehbar voneinander abgegrenzt werden.