Auftragsdatenverarbeitung – ja oder nein?

Gemäß Art. 4 Nr. 8 DSGVO liegt eine Auftragsverarbeitung vor, wenn eine Stelle personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Das beauftragte Unternehmen muss hier schwerpunktmäßig weisungsgebunden personenbezogene Daten für ein anderes Unternehmen verarbeiten. Ist daher lediglich eine Beauftragung fachfremder Dienstleistungen anderer Art gegeben, bei der es zu einer Übermittlung personenbezogener Daten kommt, bedarf es keines Abschlusses eines solchen Vertrages.

See also §62 BDSG (para. 5):

„Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments zu erfolgen, der oder das den Auftragsverarbeiter an den Verantwortlichen bindet und der oder das den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Rechte und Pflichten des Verantwortlichen festlegt. Der Vertrag oder das andere Rechtsinstrument haben insbesondere vorzusehen, dass der Auftragsverarbeiter nur auf dokumentierte Weisung des Verantwortlichen handelt; ist der Auftragsverarbeiter der Auffassung, dass eine Weisung rechtswidrig ist, hat er den Verantwortlichen unverzüglich zu informieren;“