Verantwortlicher oder Auftragsverarbeiter

Die konkrete Verarbeitung zuerst beschreiben

Erfassen Sie Daten, Aufgaben und beteiligte Stellen für einen bestimmten Vorgang. Ein Dienstleister kann in verschiedenen Leistungen unterschiedliche Rollen haben. Eine pauschale Einstufung für das gesamte Unternehmen wird dieser Situation nicht immer gerecht. Beschreiben Sie, wer Daten erhebt, welche Systeme genutzt werden und für welche Zwecke die Verarbeitung erfolgt. Die Prüfung soll sich auf diese Tatsachen stützen. Ein allgemeiner Hinweis auf digitale Zusammenarbeit oder den Zugriff auf Kundendaten beantwortet die Rollenfrage noch nicht vollständig.

Entscheidung über Zwecke und wesentliche Mittel prüfen

Verantwortlichkeit knüpft nach der DSGVO an die Bestimmung von Zwecken und Mitteln an. Prüfen Sie, wer die maßgeblichen Entscheidungen trifft. Technische Detailentscheidungen eines Dienstleisters müssen dabei im konkreten Rahmen eingeordnet werden. Nicht jede Auswahl von Software führt automatisch zu eigener Verantwortlichkeit. Umgekehrt kann ein vertraglich als Auftragsverarbeiter bezeichnetes Unternehmen eigene Zwecke verfolgen. Legen Sie Entscheidungsbefugnisse nachvollziehbar dar, damit die Zuordnung nicht allein aus Standardbegriffen oder der wirtschaftlichen Stellung eines Beteiligten abgeleitet wird.

Weisungsgebundene Verarbeitung von eigener Nutzung trennen

Ein Auftragsverarbeiter verarbeitet im Auftrag und nach dem einschlägigen Weisungsrahmen. Eigene Verwendung der übergebenen Daten kann zusätzliche Fragen aufwerfen. Lesen Sie Leistungsbeschreibung und tatsächliche Praxis gemeinsam. Bei einer entsprechenden Konstellation ist ein Vertrag nach Art. 28 DSGVO zu prüfen. Ein solcher Vertrag macht eine eigenständige Tätigkeit nicht automatisch zur Auftragsverarbeitung. Beschreiben Sie deshalb zulässige Zwecke und konkrete Grenzen. So wird erkennbar, ob der Anbieter nur eine fremde Aufgabe erfüllt oder daneben selbst über weitere Verarbeitungen entscheidet.

Gemeinsame Verantwortlichkeit nicht übersehen

Wenn mehrere Stellen Zwecke und Mittel gemeinsam bestimmen, kann Art. 26 DSGVO relevant sein. Eine bloße Zusammenarbeit oder derselbe Datenbestand genügt nicht für jede Einordnung. Die tatsächlichen Entscheidungen müssen untersucht werden. Bei gemeinsamer Verantwortlichkeit werden die jeweiligen Pflichten passend organisiert und Informationen abgestimmt. Diese Konstellation sollte nicht vorsorglich durch einen beliebigen Auftragsverarbeitungsvertrag ersetzt werden. Die Prüfung klärt deshalb, ob selbstständige, gemeinsame oder weisungsgebundene Verarbeitung vorliegt und welche Vereinbarung den tatsächlichen Ablauf abbildet.

Beispiel: Hosting und eigene Kundenauswertung

Ein Anbieter hostet im Auftrag eine Kundendatenbank. Zusätzlich möchte er deren Inhalte für eine eigene Marktanalyse nutzen. Die Prüfung trennt Hostingaufgabe und geplanten eigenen Zweck. Der vorhandene Auftragsvertrag beantwortet die zusätzliche Nutzung nicht automatisch. Rolle, Grundlage und mögliche Anpassungen werden dafür gesondert bewertet. Das Beispiel zeigt, weshalb derselbe Datenzugriff rechtlich unterschiedlich einzuordnen sein kann und eine etablierte Dienstleisterbeziehung keine unbeschränkte Erlaubnis für spätere eigene Verarbeitungsziele schafft.

Rollenentscheidung und Vereinbarung zusammen dokumentieren

Fassen Sie Aufgaben, Entscheidungsbefugnisse und die begründete Zuordnung schriftlich zusammen. Wählen Sie anschließend passende Verträge und Informationsabläufe. Änderungen der Leistungen werden erneut geprüft. Ergebnis ist eine klare Rollenübersicht für den konkreten Vorgang. Sie erleichtert den Umgang mit Betroffenenanfragen und Vorfällen, weil Aufgaben richtig verteilt werden können. Eine unterzeichnete Standardvereinbarung ersetzt dabei nicht den Tatsachenabgleich. Die Dokumentation sollte vielmehr zeigen, weshalb ihre Regelungen zu den tatsächlich vorgesehenen Entscheidungen und Verarbeitungen passen.

Checkliste für Ihre Vorbereitung

• Beschreibung der konkreten Verarbeitung
• Leistungsumfang und Entscheidungsbefugnisse
• Weisungen und geplante eigene Datenverwendungen
• Verträge und begründete Rollenübersicht

Ordnen Sie Dokumente nach Datum. Unklare Angaben werden als offen markiert; Originale und vollständige Anlagen helfen bei der konkreten Prüfung.

Häufige Fragen

Fachliche Einordnung

Grundlagen: Art. 4 DSGVO; Art. 26 DSGVO; Art. 28 DSGVO; EDSA: Verantwortlicher oder Auftragsverarbeiter. Die allgemeinen Informationen ersetzen keine Prüfung Ihrer Unterlagen. Zuständigkeit und erforderliche Fristen werden im konkreten Auftrag geklärt.

• Art. 4 DSGVO – Art. 4 DSGVO
• Art. 26 DSGVO – Art. 26 DSGVO
• Art. 28 DSGVO – Art. 28 DSGVO
• EDSA: Verantwortlicher oder Auftragsverarbeiter – EDSA: Verantwortlicher oder Auftragsverarbeiter