Auftragsverarbeitung bezeichnet die Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag und nach Weisung eines Verantwortlichen — etwa durch Hosting-Anbieter, Newsletter-Dienste oder Agenturen. Nach Art. 28 DSGVO ist dafür ein Auftragsverarbeitungsvertrag (AVV) erforderlich, der Gegenstand, Dauer, Art der Daten und die Pflichten des Dienstleisters regelt. Ohne diesen Vertrag ist die Zusammenarbeit in der Regel nicht DSGVO-konform.
Wie funktioniert die Auftragsverarbeitung?
Bei der Auftragsverarbeitung bleibt der Auftraggeber (Verantwortlicher) Herr der Daten: Er bestimmt Zwecke und Mittel der Verarbeitung, der Dienstleister (Auftragsverarbeiter) handelt nur nach dessen Weisungen. Typische Beispiele sind Website-Hosting, Cloud-Speicher, E-Mail-Marketing-Tools, Ticketsysteme oder eine Marketing-Agentur, die Kundendaten für Kampagnen verarbeitet.
Der Auftragsverarbeitungsvertrag legt unter anderem fest: den Gegenstand und die Dauer der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen, technische und organisatorische Maßnahmen, Regelungen zu Subunternehmern sowie Unterstützungspflichten bei Betroffenenanfragen und Datenpannen. Viele Anbieter stellen standardisierte AVVs bereit, die online abgeschlossen werden können.
Warum ist die Auftragsverarbeitung wichtig?
Kaum ein Unternehmen verarbeitet heute alle Daten selbst — Hosting, Newsletter, CRM und Analyse laufen über externe Dienste. Ohne AVV fehlt dieser Auslagerung die rechtliche Grundlage: Sowohl Verantwortlicher als auch Auftragsverarbeiter riskieren Bußgelder. Aufsichtsbehörden fragen bei Prüfungen regelmäßig nach der Liste der Auftragsverarbeiter und den zugehörigen Verträgen.
Für Berufsgeheimnisträger wie Rechtsanwälte und Steuerberater kommt eine Besonderheit hinzu: Neben der DSGVO ist die berufsrechtliche Verschwiegenheitspflicht zu beachten, wenn Dienstleister Zugang zu mandatsbezogenen Daten erhalten können. Die Auswahl der Dienstleister sollte hier besonders sorgfältig erfolgen und im Zweifel berufsrechtlich geprüft werden.
Auftragsverarbeitung in der Praxis
Praktisch empfiehlt sich ein einfaches Vorgehen: alle eingesetzten Dienste auflisten, für jeden prüfen, ob eine Auftragsverarbeitung vorliegt, und die AVVs zentral ablegen. Bei US-Anbietern oder anderen Diensten außerhalb der EU ist zusätzlich der Drittlandtransfer zu betrachten — etwa über Angemessenheitsbeschlüsse oder Standardvertragsklauseln.
Abzugrenzen ist die Auftragsverarbeitung von der gemeinsamen Verantwortlichkeit: Bestimmen beide Parteien gemeinsam über Zwecke und Mittel — wie es etwa bei manchen Social-Media-Funktionen diskutiert wird — gelten andere Regeln (Art. 26 DSGVO). Auch reine Fachleistungen ohne Weisungsbindung, etwa eine Steuerberatung selbst, sind keine Auftragsverarbeitung.