Ein „Auftragsverarbeiter“ ist eine natürliche oder eine juristische Person (also ein Unternehmen), eine Behörde, eine Einrichtung oder eine andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Im alten BDSG kannten wir den „Auftragsverarbeiter“ noch als „Auftragsdatenverarbeiter“. Die Auftragsdatenverarbeitung hat es also in die DSGVO geschafft und lebt unter neuem Namen und leicht verändert dort fort.

Im Kern ist die Auftragsverarbeitung unverändert geblieben. Die Anforderungen an den Auftragsverarbieter sind etwas höher geworden. Er haftet jetzt auch als Gesamtschuldner mit dem Verantwortlichen für Schäden, die im Rahmen der Auftragsverarbeitung entstehen.

Auch die inhaltlichen Anforderungen an den zu schließenden Vertrag sind etwas höher als bisher (vgl. Artikel 28 Absatz 3 DSGVO).

Dafür kann der Auftragsverarbeitungsvertrag (AVV) künftig auch in Textform geschlossen werden, also per E-Mail, PDF oder einfach per Klick.

Schwierig ist zurzeit die genaue Abgrenzung zwischen der Auftragsverarbeitung und der gemeinsamen Verantwortlichkeit (Joint Controllership) nach Artikel 26 DSGVO.

Nachdem der EuGH die Voraussetzungen für eine gemeinsame Verantwortlichkeit in seiner Facebook-Fanpages-Entscheidung recht niedrig angesetzt hat, könnten viele bislang als Auftragsverarbeitung eingestufte Datenverarbeitungen mehrerer eher als gemeinsame Verantwortlichkeit anzusehen sein. 

Bei der gemeinsamen Verantwortlichkeit aber muss ein ganz anderer Vertrag geschlossen werden. Es muss also vorab geprüft werden, welche Art der Datenverarbeitung genau vorliegt und wie sie dann vertragliche gestaltet werden muss. Das ist eine typische Aufgabe des Datenschutzanwalts.

Timo Schutt
Datenschutzberater
Fachanwalt für IT-Recht
DSGVO-Man