Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Unternehmens verarbeitet, ohne selbst über Zwecke und Mittel zu entscheiden (Art. 28 DSGVO). Typische Fälle sind Hosting, Cloud-Speicher, Newsletter-Dienste, Lohnverrechnung durch externe Anbieter und serverseitige Signatur- oder Analysewerkzeuge.
Voraussetzung ist ein schriftlicher Auftragsverarbeitungsvertrag, der unter anderem Gegenstand und Dauer der Verarbeitung, Weisungsbindung, Vertraulichkeit, technische Schutzmaßnahmen und den Umgang mit Subunternehmern regelt. Seriöse Anbieter stellen diesen Vertrag als fertiges Dokument bereit; er ist Pflicht, keine Kür — fehlt er, verstoßen beide Seiten gegen die DSGVO.
Die Verantwortung wandert dabei nicht mit: Gegenüber Betroffenen und Datenschutzbehörde haftet weiterhin das beauftragende Unternehmen, das seine Dienstleister sorgfältig auswählen muss. Praktisch gehört zu jeder neuen Software-Einführung deshalb die Frage, wo die Daten verarbeitet werden und ob ein Vertrag nach Art. 28 vorliegt.