Auftragsverarbeitung: Warum es nicht nur um den Vertrag geht

Ein Unternehmen mit 35 Mitarbeitern nutzt eine cloudbasierte Software für die Personalverwaltung. Ein externes IT-Unternehmen betreut die Arbeitsplätze und kann sich per Fernwartung aufschalten. Ein externes Lohnbüro übernimmt die Gehaltsabrechnung. Für den monatlichen Newsletter kommt ein weiterer Online-Dienst zum Einsatz. Dass hier mehrere externe Dienstleister mit personenbezogenen Daten in Berührung kommen, ist offensichtlich. Welche datenschutzrechtliche Rolle diese Unternehmen jeweils haben, ist es nicht.

Genau an dieser Frage entscheidet sich in der Praxis, ob Auftragsverarbeitung sinnvoll organisiert oder nur formal „abgehakt“ wird. Und die wichtigste Erkenntnis vorweg: Bei der Auftragsverarbeitung geht es nicht in erster Linie um einen Vertrag. Es geht zunächst um die tatsächliche Rollenverteilung. Erst wenn geklärt ist, dass ein Dienstleister tatsächlich Auftragsverarbeiter ist, stellt sich die Frage nach dem Vertrag gemäß Art. 28 DSGVO.

Was Auftragsverarbeitung eigentlich bedeutet

Der zentrale Begriff steht in Art. 4 Nr. 8 DSGVO: Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Auf den ersten Blick klingt das wenig hilfreich, schließlich arbeitet fast jeder Dienstleister irgendwie „im Auftrag“ seines Kunden. Entscheidend ist deshalb nicht der wirtschaftliche, sondern der datenschutzrechtliche Auftrag.

Der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO entscheidet über die Zwecke und Mittel der Verarbeitung – er legt fest, warum Daten verarbeitet werden und in welchem Rahmen. Der Auftragsverarbeiter verfolgt dagegen grundsätzlich keinen eigenen Zweck. Ein Beispiel macht das greifbar: Ein Unternehmen entscheidet, dass Personalunterlagen digital gespeichert werden, welche Unterlagen das sind und wer darauf zugreifen darf. Der Cloud-Anbieter entscheidet vielleicht selbst über Serverarchitektur oder Backup-Technologie – er darf die Unterlagen aber nicht plötzlich nutzen, um eigene Mitarbeiterprofile zu erstellen oder ein eigenes KI-Modell zu trainieren. Eine hilfreiche Faustformel lautet: Der Verantwortliche sagt, wofür die Daten verarbeitet werden. Der Auftragsverarbeiter hilft ihm dabei, diese Verarbeitung durchzuführen.

Praktisch beruhigend ist dabei ein oft übersehener Nebeneffekt: Wird ein echter Auftragsverarbeiter in eine bereits rechtmäßige Verarbeitung eingeschaltet, braucht der Verantwortliche dafür nicht zusätzlich eine eigene Rechtsgrundlage nach Art. 6 DSGVO. Die ursprüngliche Verarbeitung muss selbstverständlich zulässig sein – der Dienstleister erweitert diese Zulässigkeit aber nicht und untergräbt sie auch nicht.

Der Vertragstitel entscheidet nicht – die tatsächlichen Verhältnisse schon

Ein Anbieter wird nicht dadurch zum Auftragsverarbeiter, dass seine Vertragsbedingungen „Auftragsverarbeitungsvertrag“ heißen. Umgekehrt kann ein Dienstleister Auftragsverarbeiter sein, obwohl dieses Wort im Hauptvertrag nirgends auftaucht. Maßgeblich ist, was tatsächlich mit den Daten geschieht und wer darüber entscheidet.

In der Praxis lassen sich meist drei Rollen unterscheiden.

Der Auftragsverarbeiter handelt für die Zwecke und nach Weisung des Unternehmens. Verantwortung und Rechtsgrundlage bleiben beim Verantwortlichen.

Ein eigener Verantwortlicher entscheidet für seine Verarbeitung selbst über Zweck und Mittel – typische Beispiele sind Steuerberater, Rechtsanwälte, Banken oder Krankenkassen, die ihre fachliche Tätigkeit eigenverantwortlich ausüben.

Und bestimmen zwei Stellen gemeinsam Zweck und Mittel, liegt möglicherweise eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor, die eine eigene Vereinbarung erfordert.

Webhosting, Cloud-Speicher, SaaS-Plattformen, Lettershops oder ein weisungsgebundenes Lohnbüro sind regelmäßig Fälle von Auftragsverarbeitung. Steuerberater, Rechtsanwälte oder Banken bei der Zahlungsabwicklung sind dagegen meist eigene Verantwortliche – gerade weil sie ihre Leistung fachlich eigenständig erbringen. Und ein Unternehmen kann bei unterschiedlichen Verarbeitungen durchaus unterschiedliche Rollen einnehmen: Ein Cloud-Anbieter kann bei der Dokumentenspeicherung Auftragsverarbeiter sein und für seine eigene Abrechnung gleichzeitig eigener Verantwortlicher.

Auswahl und Kontrolle: risikobasiert statt pauschal

Art. 28 Abs. 1 DSGVO verlangt, dass nur Auftragsverarbeiter eingesetzt werden, die hinreichende Garantien für eine datenschutzkonforme Verarbeitung bieten. Ein heruntergeladener, unterschriebener und danach nie wieder angeschauter AV-Vertrag erfüllt diese Pflicht kaum. Wie tief die Prüfung ausfallen muss, hängt vom Risiko ab: Eine Druckerei, die für Visitenkarten geschäftliche Kontaktdaten von zwei Mitarbeitern erhält, verlangt eine deutlich schlankere Prüfung als ein Lohnbüro, das Gehalts-, Bank- und Gesundheitsdaten von 250 Beschäftigten verarbeitet.

Auch der Europäische Datenschutzausschuss hat das in seiner Stellungnahme 22/2024 bestätigt: Die Pflicht, ausreichende Garantien in der Auftragskette zu prüfen, besteht grundsätzlich unabhängig vom Risiko – wie tief und umfangreich die Prüfung sein muss, darf aber vom konkreten Risiko abhängen. Für kleinere Unternehmen bedeutet das: Auch der kleine Dienstleister wird nicht ungeprüft eingesetzt, die Prüfung darf dort aber wesentlich schlanker ausfallen. Eine ebenfalls verbreitete, aber falsche Vorstellung ist, jeder Auftragsverarbeiter müsse zwingend einmal jährlich kontrolliert werden. Eine solche starre Frist steht nicht in Art. 28 DSGVO – notwendig ist eine angemessene, am Risiko orientierte laufende Überwachung, die insbesondere bei wesentlichen Änderungen wie einem neuen Rechenzentrum oder einer neuen KI-Funktion erneut ansetzt.

Unterauftragsverarbeiter und Drittstaaten: zwei getrennte Prüfungen

Aus der einfachen Beziehung Unternehmen–Auftragsverarbeiter wird in der Praxis schnell eine Kette: Der Softwareanbieter nutzt einen Hyperscaler, für den E-Mail-Versand einen weiteren Dienst, für Support ein Ticketsystem. Art. 28 Abs. 2 DSGVO verlangt dafür grundsätzlich eine vorherige Genehmigung des Verantwortlichen, sei es speziell für jeden einzelnen Fall oder allgemein mit Widerspruchsmöglichkeit bei Änderungen. Der Verantwortliche sollte die beteiligten Unterauftragsverarbeiter kennen – ein Anbieter, der seine Subdienstleister „aus Sicherheitsgründen“ nicht nennen will, ist problematisch.

Häufig wird dabei ein Punkt übersehen: Ob ein Anbieter Auftragsverarbeiter ist, und ob Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden oder von dort zugänglich sein können, sind zwei völlig unterschiedliche Prüfungen. Ein vollkommen ordnungsgemäßer Auftragsverarbeitungsvertrag löst kein Drittlandproblem – dafür braucht es zusätzlich eine eigene Grundlage nach Art. 44 ff. DSGVO, etwa einen Angemessenheitsbeschluss oder Standarddatenschutzklauseln. Der Sitz des Vertragspartners in Deutschland reicht dafür nicht aus, wenn dieser selbst Unterauftragsverarbeiter in Drittländern einsetzt.

Wenn etwas schiefgeht: Meldung und Haftung

Ein besonders hartnäckiges Missverständnis betrifft Sicherheitsvorfälle. Die 72-Stunden-Frist aus Art. 33 Abs. 1 DSGVO richtet sich an den Verantwortlichen für die Meldung an die Aufsichtsbehörde. Der Auftragsverarbeiter selbst muss den Verantwortlichen dagegen gemäß Art. 33 Abs. 2 DSGVO unverzüglich informieren, nicht erst nach Ablauf von 72 Stunden – denn der Verantwortliche braucht die Information rechtzeitig, um seine eigene Frist einhalten zu können.

Zur Haftungsfrage hat der Europäische Gerichtshof am 5. Dezember 2023 in der Rechtssache C-683/21 klargestellt, dass ein Verantwortlicher grundsätzlich auch für eine rechtswidrige Verarbeitung sanktioniert werden kann, die sein Auftragsverarbeiter vorgenommen hat. Für vollkommen eigenmächtige Handlungen des Dienstleisters – etwa wenn dieser Daten für eigene Zwecke außerhalb des vorgegebenen Rahmens nutzt – muss der Verantwortliche dagegen nicht automatisch einstehen. In diesem Fall wird der Dienstleister für diese Verarbeitung selbst zum Verantwortlichen (Art. 28 Abs. 10 DSGVO). Auslagern beseitigt Verantwortung also nicht, macht den Verantwortlichen aber auch nicht zum grenzenlosen Versicherer für jede eigenmächtige Verarbeitung seines Dienstleisters. Verstöße gegen Art. 28 DSGVO sind zudem selbst bußgeldbewehrt, mit einem Rahmen von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.

Und nach Vertragsende?

Die Auftragsverarbeitung endet nicht automatisch mit der Kündigung. Art. 28 Abs. 3 lit. g) DSGVO verlangt eine Regelung, wonach der Auftragsverarbeiter nach Abschluss der Verarbeitung die Daten nach Wahl des Verantwortlichen löscht oder zurückgibt und vorhandene Kopien löscht. Praktisch bedeutet das: Man sollte wissen, was nach dem letzten Nutzungstag geschieht – ob es etwa noch eine Export-Frist gibt und wann Sicherungskopien tatsächlich überschrieben werden. Eine pauschale Klausel wie „alle Daten werden DSGVO-konform gelöscht“ ist deutlich weniger wert als ein nachvollziehbar beschriebenes Löschverfahren.

Zusammenfassung

Auftragsverarbeitung lässt sich in der Praxis auf drei Kernfragen reduzieren: Handelt es sich überhaupt um Auftragsverarbeitung, also bestimmt wirklich das Unternehmen Zweck und wesentliche Mittel? Können diesem Dienstleister die Daten anvertraut werden, gemessen am Risiko der konkreten Verarbeitung? Und ist die Beziehung organisatorisch beherrscht – mit passendem Vertrag, funktionierenden Betroffenenrechten, einem Ansprechpartner für Sicherheitsvorfälle und einer geklärten Löschung am Ende? Wer diese drei Fragen für seine Dienstleister beantworten kann, hat den wesentlichen Kern der Auftragsverarbeitung verstanden – unabhängig davon, wie viele Seiten der eigentliche Vertrag hat.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.