Die DSGVO definiert „Auftragsverarbeiter“ als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Dabei ist ausschlaggebend, dass der Auftragsdatenverarbeiter weisungsabhängig handelt.
Beispiele für Auftragsdatenverarbeitung sind:
- Datenträgervernichtung
- Externes Rechenzentrum
- Externes Archiv
- Externe Lohn- und Gehaltsbuchhaltung
Eine Auftragsdatenverarbeitung liegt nicht vor, wenn es bei der Verarbeitung personenbezogener Daten nur um eine Werkvertragserfüllung handelt. So stellen Rechts- und Steuerberatung keine Auftragsdatenverarbeitung dar.
Art. 28 Abs. 3 DSGVO regelt die Vertragspflicht mit dem Auftragsdatenverarbeiter.
Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind.
Die weiteren Regelungen zum Auftragsdatenverarbeitungsvertrag finden sich im Absatz 3 unter den Buchstaben a bis h.
1 Kommentar