Auftragsverarbeiter (DSGVO)
Ein Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde oder andere Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet (Art 4 Z 8 DSGVO).
Das Abgrenzungskriterium zum Verantwortlichen ist die Entscheidungsmacht: Wer über Zwecke und Mittel der Verarbeitung bestimmt, ist Verantwortlicher, wer bloß nach Weisung tätig wird, Auftragsverarbeiter. Typische Beispiele sind Cloud- und Hosting-Anbieter, Lohnverrechnungsdienstleister, IT-Wartungsunternehmen und Callcenter.
Die Beauftragung erfordert einen Vertrag mit gesetzlich vorgegebenem Mindestinhalt, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenkategorien, die Weisungsbindung, die Vertraulichkeit, die technischen und organisatorischen Maßnahmen sowie die Rückgabe oder Löschung der Daten nach Vertragsende regelt (Art 28 DSGVO). Weitere Auftragsverarbeiter dürfen nur mit Genehmigung des Verantwortlichen beigezogen werden, wobei die Pflichten weiterzugeben sind.
Der Auftragsverarbeiter trifft eigene Pflichten. Er führt ein Verzeichnis seiner Verarbeitungstätigkeiten, meldet Datenschutzverletzungen unverzüglich an den Verantwortlichen und haftet gegenüber Betroffenen, wenn er seinen spezifischen Pflichten nicht nachgekommen ist oder weisungswidrig gehandelt hat (Art 30, 33, 82 DSGVO). Verarbeitet er Daten über den Auftrag hinaus zu eigenen Zwecken, wird er insoweit selbst zum Verantwortlichen.