Was ist Auftragsverarbeitung?

Was regelt Art. 28 DSGVO?

Wer einen Dienstleister personenbezogene Daten für sich verarbeiten lässt, bleibt verantwortlich. Deshalb darf er nach Art. 28 Abs. 1 DSGVO nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Grundlage ist ein Vertrag zur Auftragsverarbeitung (AVV). Er legt nach Art. 28 Abs. 3 DSGVO unter anderem fest: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen. Außerdem verpflichtet er den Dienstleister, nur auf dokumentierte Weisung zu handeln, Vertraulichkeit zu sichern, die Sicherheitsmaßnahmen nach Art. 32 DSGVO umzusetzen, bei Betroffenenrechten zu unterstützen, Daten nach Vertragsende zu löschen oder zurückzugeben und Kontrollen zu ermöglichen. Weitere Unterauftragsverarbeiter – etwa ein Rechenzentrum – darf er nur mit vorheriger Genehmigung des Verantwortlichen einsetzen (Art. 28 Abs. 2 DSGVO).

Im Marketing entstehen schnell Ketten: Kampagnenplattform, Hosting, E-Mail- und SMS-Versand, Lettershop. Jedes Glied braucht eine klare vertragliche Einordnung. Finanzunternehmen prüfen solche Dienstleister zusätzlich nach der Verordnung (EU) 2022/2554 (DORA) als IKT-Drittdienstleister.