Neues zur Auftragsverarbeitung

31/03/2025

Ob und wann ein Auftragsverarbeitungsvertrag (AVV) erforderlich ist, beschäftigt viele Unternehmen nahezu täglich. In der DSGVO wird zwischen Verantwortlichen, gemeinsam Verantwortlichen und Auftragsverarbeitern unterschieden.

Eine zentrale Frage dabei ist, wer letztendlich über die Zwecke und Mittel der Datenverarbeitung entscheidet. Und das ist von entscheidender Bedeutung: Wenn ein Dienstleister die Entscheidungsgewalt über die Verarbeitung hat, gilt er als Verantwortlicher; bleibt diese Macht jedoch beim Auftraggeber, handelt es sich in der Regel um eine Auftragsverarbeitung.

Die gesetzlichen Vorgaben sind jedoch oft schwer auf konkrete Situationen anzuwenden. Um hier Klarheit zu schaffen, hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) eine aktualisierte Abgrenzungshilfe herausgebracht. Diese verzichtet auf lange Listen von Einzelfällen und konzentriert sich stattdessen stärker auf allgemeine Kriterien.

So wird deutlich, dass eine Auftragsverarbeitung vorliegt, wenn die Datenverarbeitung zum Kern der Dienstleistung gehört oder ein Dienstleister systematisch auf personenbezogene Daten zugreift. Selbst wenn die Datenverarbeitung nur als „nebensächlich“ erscheint, kann es trotzdem eine Auftragsverarbeitung sein, wenn der Dienstleister die Anweisungen des Auftraggebers umsetzt.

Die neue Abgrenzungshilfe orientiert sich eng an den Vorgaben des Europäischen Datenschutzausschusses (EDSA) und bietet praxisnahe Beispiele, etwa im Bereich von Cloud-Diensten, IT-Support oder Call-Center-Tätigkeiten. Hier wird klar, dass auch der bloße technische oder administrative Zugang zu Daten ein relevantes Kriterium darstellt.

Für die Beschäftigten ist es besonders wichtig, sich bewusst zu machen, unter welchen Umständen ein AVV abgeschlossen werden muss. Ein Missverständnis kann nicht nur zu rechtlichen Unsicherheiten führen, sondern auch zu empfindlichen Bußgeldern.

Wer unsicher ist, sollte den Rat des Datenschutzbeauftragten oder die Hinweise des BayLDA in Anspruch nehmen, um die Zusammenarbeit mit Dienstleistern datenschutzkonform zu gestalten. So bleibt die Verarbeitung personenbezogener Daten sowohl rechtlich als auch praktisch korrekt.

Die Hinweise des BayLDA finden Sie unter: www.lda.bayern.de/media/veroeffentlichungen/Abgrenzungshilfe_Auftragsverarbeitung.pdf

Alle Artikel anzeigen