Читать книгу DS-GVO/BDSG - David Klein - Страница 147

177

Wesentliches Tatbestandsmerkmal zur Bestimmung des Auftragsdatenverarbeiters ist nach Art. 4 Nr. 8 die Datenverarbeitung „im Auftrag“. Es muss hierfür eine nachvollziehbare Beauftragung durch den Verantwortlichen erfolgt sein. Inhaltliche Regelungen bezogen auf diese Beauftragung finden sich in Art. 28.[439] Das zentrale Element der Auftragsverarbeitung ist die Weisungsgebundenheit des Auftragsverarbeiters. In der Regel erfolgt ein Auftrag durch den Verantwortlichen auf Grundlage eines Auftragsverarbeitungsvertrags. Aus diesem Vertrag ergibt sich das Weisungsverhältnis zwischen Verantwortlichem und Auftragsverarbeiter.[440]

178

Diese Weisungsgebundenheit des Auftragnehmers ist auch das entscheidende Kriterium bei der Abgrenzung der Auftragsverarbeitung von der Rechtsfigur der gemeinsamen Verantwortlichkeit.[441] Soweit bei gemeinsam Verantwortlichen jeder Beteiligte selber Verantwortlicher ist und einen steuernden und kontrollierenden Einfluss auf die Zwecke oder wesentlichen Mittel der Verarbeitung nimmt, unterwirft sich der Auftragsverarbeiter insofern den Weisungen des Verantwortlichen und wird lediglich als dessen „verlängerter Arm“ tätig.[442] Expertise und überlegenes Wissen allein führen nicht zur gemeinsamen Verantwortlichkeit, solange und soweit die Entscheidung über die Zwecke und Mittel der Verarbeitung beim Auftraggeber verbleiben. Einer Auftragsverarbeitung steht auch nicht entgegen, dass das Konzept einer Datenverarbeitung inklusive der Zwecke und wesentlichen Mittel der Verarbeitung von einem Dienstleister entwickelt wurde, solange der Auftraggeber das Konzept akzeptiert und der Dienstleister im Folgenden nur weisungsgebunden handelt.[443] Indiz für eine Auftragsverarbeitung kann sein, wenn ein Akteur über den Verarbeitungsprozess hinaus keine eigenen Interessen an den Daten hat oder an dem Ergebnis, welches aus der Verarbeitung resultiert.[444]

179

Umstritten ist die Abgrenzung zu anderen Dienstleistungen, die durch einen Auftragnehmer erbracht werden, jedoch keine Auftragsverarbeitung darstellen. Insbesondere hat sich dieser Streit an der Einordnung verschiedener freier Berufe entbrannt.

180

Im deutschen Datenschutzrecht wurde bisher der Begriff der Funktionsübertragung als Gegenbegriff zur weisungsgebundenen Auftragsverarbeitung gebraucht. Eine Funktionsübertragung wurde angenommen, wenn der Dritte über eine eigene Entscheidungsbefugnis hinsichtlich des „wie“ der Datenverarbeitung und diesbezüglich auch die Auswahlbefugnis hat, ihm damit die Aufgabe der Verarbeitung obliegt und er insoweit für die Datenverarbeitung verantwortlich ist und über die Daten verfügen kann.[445] Der Dritte hat in diesem Fall ein eigenes Interesse an den Daten. In Bezug auf freiberufliche Tätigkeiten, wie die eines Steuerberaters oder Wirtschaftsprüfers, wird man davon ausgehen müssen, dass eine Auftragsdatenverarbeitung regelmäßig nicht in Betracht kommt. Freiberufliche Tätigkeiten werden unabhängig, selbstständig und eigenverantwortlich durchgeführt. Diese Merkmale widersprechen grundlegend einer Weisungsgebundenheit, wie sie für die Auftragsverarbeitung elementar ist. So erläutert die Art.-29-Datenschutzgruppe auch bezogen auf den Rechtsanwalt, dass solche Berufsstände als unabhängige „für die Verarbeitung Verantwortliche“ anzusehen sind, wenn sie im Rahmen der rechtlichen Vertretung ihrer Klienten Daten verarbeiten.[446]

181

Der Begriff der Funktionsübertragung ist der DS-GVO fremd. Um sachgerechte Abgrenzungen vorzunehmen wird aber am Konstrukt der Funktionsübertragung festzuhalten sein. Es ist auch weiterhin davon auszugehen, dass Rechtsanwälte, Steuerberater und andere freie Berufsträger und Dienstleister, die eine eigenverantwortliche und weisungsfreie Aufgabe übernehmen, selbst Verantwortliche und eben keine Auftragsverarbeiter sind. Sie bedürfen damit einer eigenen Legitimation zur Datenverarbeitung und haben die weiteren Pflichten eines Verantwortlichen zu erfüllen.[447]

182

Inhalt der Beauftragung muss eine Verarbeitung personenbezogener Daten sein. Der Begriff des Verarbeitens ist auch im Anwendungsbereich des Art. 4 Nr. 8 weit zu verstehen, so dass jeder Verarbeitungsschritt erfasst wird. Ausreichend ist bereits die Auslagerung der Datenerhebung auf den Auftragsverarbeiter, z.B. im Rahmen von Call-Centern.[448]