Verantwortlicher und Auftragsverarbeiter
Die DSGVO unterscheidet zwei Rollen. Der Verantwortliche entscheidet über Zwecke und Mittel einer Datenverarbeitung, in der Regel das Unternehmen, das eine Software einsetzt (Art. 4 Nr. 7 DSGVO). Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Art. 4 Nr. 8 DSGVO), zum Beispiel ein Hosting-Anbieter oder eine Cloud-Plattform. Der Verantwortliche bleibt auch dann für die Daten verantwortlich, wenn ein Dienstleister sie verarbeitet.
Was Art. 28 DSGVO verlangt
- Auswahl: Der Verantwortliche darf nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Abs. 1).
- Unterauftragsverarbeiter: Weitere Dienstleister darf der Auftragsverarbeiter nur mit vorheriger Genehmigung des Verantwortlichen einbinden (Abs. 2).
- Vertrag: Ein Vertrag regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen (Abs. 3).
- Pflichten: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe der Daten nach Vertragsende und Nachweise gegenüber dem Verantwortlichen (Abs. 3).
- Form: Der Vertrag ist schriftlich abzuschließen, was auch in elektronischer Form möglich ist (Abs. 9).
Beispiel: Videoproduktion mit Mitarbeiterdaten
Ein erfundenes Beispiel: Die HR-Abteilung eines Maschinenbauers lädt für einen Onboarding-Film Fotos von Kolleginnen und Kollegen, deren Namen und eine Sprachaufnahme der Ausbildungsleiterin auf eine Videoplattform. Damit verarbeitet der Anbieter personenbezogene Daten im Auftrag des Unternehmens. Vor dem Start sollte ein AVV vorliegen. Sinnvolle Fragen an den Anbieter: Wo werden die Daten gespeichert? Welche Unterauftragsverarbeiter sind beteiligt? Werden die Daten für das Training von KI-Modellen genutzt? Für veröffentlichte KI-Inhalte stellt sich außerdem die Frage der KI-Kennzeichnung.
Auftragsverarbeitung bei mint
mint schließt einen AVV. Einzelheiten findest du auf der Seite Sicherheit und Datenschutz.
Wichtig: Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Ob und wie Auftragsverarbeitung im Einzelfall vorliegt, klärst du mit deinem Datenschutzbeauftragten oder deiner Rechtsabteilung.