Auftragsverarbeitung oder gemeinsame Verantwortung? Abgrenzung

Arbeiten zwei Unternehmen bei der Verarbeitung personenbezogener Daten zusammen, muss geklärt werden, in welcher Rolle sie handeln. Die DSGVO kennt drei Konstellationen: Auftragsverarbeitung, gemeinsame Verantwortlichkeit und die Übermittlung an einen eigenständigen Verantwortlichen. Die Einordnung entscheidet darüber, welcher Vertrag nötig ist, wer haftet und wer den Betroffenen Auskunft geben muss. In der Praxis wird sie oft falsch vorgenommen, und dann wird der falsche Vertrag unterschrieben.

Die Leitfrage: Wer entscheidet über Zwecke und Mittel?

Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Der Auftragsverarbeiter verarbeitet dagegen im Auftrag und nach Weisung (Art. 4 Nr. 8 DSGVO). Entscheidend sind nicht die Bezeichnungen im Vertrag, sondern die tatsächlichen Verhältnisse.

Auftragsverarbeitung

Typisch sind „Hilfsfunktionen“: Hosting, Cloud-Speicher, Newsletter-Versand, Lohnabrechnung nach Vorgaben, Aktenvernichtung, IT-Support. Der Dienstleister verfolgt keine eigenen Zwecke mit den Daten und darf sie nicht für sich nutzen. Erforderlich ist ein Vertrag nach Art. 28 DSGVO. Einzelheiten haben wir in unserem Beitrag zum Auftragsverarbeitungsvertrag zusammengestellt.

Gemeinsame Verantwortlichkeit

Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel fest, sind sie gemeinsam verantwortlich (Art. 26 DSGVO). Der EuGH hat den Begriff weit ausgelegt. So ist nach seiner Rechtsprechung der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für bestimmte Verarbeitungen verantwortlich; wir hatten über diese Entscheidung berichtet. Auch die Einbindung von Social-Media-Plugins auf einer Website kann eine gemeinsame Verantwortlichkeit für die Erhebung und Übermittlung der Daten begründen. Weitere Beispiele: gemeinsame Marketingaktionen mehrerer Unternehmen, gemeinsam betriebene Plattformen oder Konzernstrukturen mit zentraler Kundendatenbank.

Gemeinsam Verantwortliche müssen in einer Vereinbarung festlegen, wer welche Pflichten erfüllt, insbesondere gegenüber den Betroffenen. Das Wesentliche der Vereinbarung ist den Betroffenen zur Verfügung zu stellen. Unabhängig von der internen Aufteilung können Betroffene ihre Rechte gegenüber jedem der Verantwortlichen geltend machen.

Eigenständige Verantwortliche

Viele Dienstleister handeln eigenverantwortlich, etwa Steuerberater bei der fachlichen Beratung, Rechtsanwälte, Banken, Versandunternehmen oder Inkassounternehmen bei Forderungsübernahme. Hier ist weder ein Auftragsverarbeitungsvertrag noch eine Vereinbarung nach Art. 26 DSGVO erforderlich. Für die Übermittlung braucht der abgebende Verantwortliche aber eine Rechtsgrundlage nach Art. 6 DSGVO.

Prüfschema für die Praxis

1. Verfolgt der Partner mit den Daten eigene Zwecke? Wenn nein, spricht viel für Auftragsverarbeitung.
2. Darf der Partner über wesentliche Aspekte (welche Daten, wie lange, an wen) selbst entscheiden? Dann ist er Verantwortlicher.
3. Werden Zwecke und Mittel gemeinsam festgelegt oder greifen die Entscheidungen ineinander? Dann liegt gemeinsame Verantwortlichkeit vor.
4. Das Ergebnis wird dokumentiert und im Verzeichnis von Verarbeitungstätigkeiten festgehalten.

Bevor ein Standardvertrag unterschrieben wird, der nicht zur Konstellation passt, lohnt sich eine kurze Prüfung der tatsächlichen Entscheidungsbefugnisse. Wir klären mit Ihnen, welche Vereinbarung Sie mit Ihrem Partner brauchen. Kontaktieren Sie uns oder buchen Sie einen Termin.