Auftragsverarbeitung

Eine Auftragsverarbeitung liegt vor, wenn ein Unternehmen personenbezogene Daten im Auftrag eines anderen Unternehmens verarbeitet. Der Auftragnehmer verarbeitet die Daten dabei ausschließlich nach den Weisungen des Auftraggebers. Die rechtliche Grundlage hierfür ist Art. 28 DSGVO.

Verantwortlicher: Bestimmt Zweck und Mittel der Verarbeitung personenbezogener Daten. Auftragsverarbeiter: Verarbeitet personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen.

• Externer Cloud-Anbieter speichert Kundendaten. • Externes Rechenzentrum hostet Unternehmensserver. • Lohnabrechnung wird durch einen externen Dienstleister durchgeführt. • Backup-Dienst speichert Unternehmensdaten.

Zwischen Verantwortlichem und Auftragsverarbeiter muss ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden. Der Vertrag regelt: • Gegenstand und Dauer der Verarbeitung • Art und Zweck der Verarbeitung • Kategorien personenbezogener Daten • Rechte und Pflichten des Verantwortlichen • Technische und organisatorische Maßnahmen (TOMs) • Kontrollrechte des Verantwortlichen

• Verarbeitung nur nach dokumentierter Weisung • Wahrung der Vertraulichkeit • Umsetzung geeigneter Sicherheitsmaßnahmen • Unterstützung bei Betroffenenanfragen • Meldung von Datenschutzverletzungen • Löschung oder Rückgabe der Daten nach Vertragsende

• Auswahl eines geeigneten Auftragsverarbeiters • Abschluss eines AV-Vertrags • Kontrolle der Einhaltung der Datenschutzvorgaben • Dokumentation der Verarbeitung

TOMs dienen dem Schutz personenbezogener Daten. Beispiele: • Zugriffskontrollen • Verschlüsselung • Backup-Konzepte • Rollen- und Berechtigungskonzepte • Protokollierung von Zugriffen

Bei einer Auftragsverarbeitung handelt der Auftragsverarbeiter ausschließlich nach Weisung. Bei einer gemeinsamen Verantwortlichkeit bestimmen mehrere Parteien gemeinsam Zweck und Mittel der Datenverarbeitung.

Frage: Wann liegt eine Auftragsverarbeitung vor? Antwort: Eine Auftragsverarbeitung liegt vor, wenn ein Unternehmen personenbezogene Daten im Auftrag eines anderen Unternehmens verarbeitet und dabei an dessen Weisungen gebunden ist.

Bei einer Auftragsverarbeitung verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.