Читать книгу DS-GVO/BDSG - David Klein - Страница 144

171

Als „Auftragsverarbeiter“ definiert Art. 4 Nr. 8 eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Wie sich unmittelbar aus der Definition ergibt, setzt die Stellung des Auftragsverarbeiters voraus, dass es schon einen oder ggf. mehrere Verantwortliche gibt. Die Vorschrift dient, so wie auch die Definitionen anderer an der Verarbeitung von personenbezogener Daten beteiligter Akteure, der Festlegung von Verantwortlichkeiten im Anwendungsbereich der DS-GVO. Die Begriffsbestimmung muss im Zusammenhang mit den Definitionen der Begriffe „Verantwortlicher“ und „Dritter“ gesehen werden.[424] Im systematischen Kontext der Definition des Art. 4 Nr. 8 finden sich der Verantwortliche (Nr. 7), der Empfänger (Nr. 9) und der Dritte (Nr. 10). Die weiteren Rollen bei der Begriffsbestimmung wie der Vertreter (Nr. 17) oder die Aufsichtsbehörde (Nr. 21) finden sich wenig systematisch aufgelistet im Art. 4. Aus der Systematik in der Auflistung der Begriffsbestimmungen ergeben sich daher keine besonderen Hinweise oder Ansatzpunkte für die Auslegung.[425]

172

Die Begriffsbestimmung des Auftragsverarbeiters in der DS-GVO ist identisch mit der Vorgabe in Art. 2 lit. e DSRL. Insoweit kann bei der Auslegung im Rahmen der DS-GVO auf die bisherigen Auslegungen zurückgegriffen werden. Indem Art. 4 Nr. 8 die Definition aus der DSRL übernimmt, ist nunmehr auch klargestellt, dass Auftragsverarbeiter auch außerhalb der EU, d.h. in Drittstaaten, angesiedelt sein können. Die unter alter Rechtslage deutsche Besonderheit des § 3 Abs. 8 S. 2 BDSG a.F., die dies nicht vorsah, ist hinfällig.[426]

173

Nicht zulässig ist es, mittels eines nationalen Gesetzes zu bestimmen, wer bzw. wer kein Auftragsverarbeiter in diesem Sinne ist. Mangels Öffnungsklausel hinsichtlich der Begriffsdefinition des Auftragsverarbeiters bzw. der gegenläufigen gemeinsamen Verantwortlichkeit steht es dem nationalen Gesetzgeber nicht frei, abweichend von der Definition des Art. 4 Nr. 8 bzw. Nr. 7 Regelungen zu erlassen.[427]

174

Aus der Qualifikation als Auftragsverarbeiter nach Art. 4 Nr. 8 folgt zunächst die Pflicht, mit dem Verantwortlichen die Voraussetzungen für eine Auftragsverarbeitung nach Art. 28 zu schaffen.[428] Zusätzlich gibt es in der DS-GVO eine Vielzahl von Normen mit eigenen Rechtspflichten und Rechtsfolgen für den Auftragsverarbeiter. Dies sind insbesondere die Art. 27, 29, 30 Abs. 2, 31, 32, 33 Abs. 2, 35 Abs. 8.[429] Hinzu treten die verschiedenen Rechtsfolgen. Hier ist insbesondere daran zu denken, dass der Auftragsverarbeiter nach Art. 58 Adressat behördlicher Anordnungen werden kann.[430] Weiter muss es nach Art. 79 wirksame Beschwerdemöglichkeiten gegen den Auftragsverarbeiter geben.[431] Zusätzlich haftet dieser bei materiellen und immateriellen Schäden gegenüber dem Betroffenen nach Art. 82[432] und er kann selbst Adressat von Bußgeldern nach Art. 83 Abs. 4 lit. a[433] sein.