Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 198

254

Kennzeichnend für eine Auftragsverarbeitung ist ferner, dass die datenverarbeitende Stelle „im Auftrag“ des Auftraggebers handelt und an dessen Weisungen gebunden ist. Die Tätigkeit als Auftragsverarbeiter ist demgemäß in erster Linie dadurch charakterisiert, dass der Auftragsverarbeiter Datenverarbeitungsverfahren im Auftrag durchführt, für die der Auftraggeber Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO ist. Vor diesem Hintergrund ist die Auftragsverarbeitung von einer Tätigkeit abzugrenzen, die der Auftragnehmer zwar im Auftrag des Verantwortlichen, jedoch nicht weisungsgebunden erbringt.

255

Anknüpfungspunkt für die Weisungsgebundenheit ist dabei die Verarbeitung der personenbezogenen Daten des Auftraggebers, nicht hingegen die Erbringung der vertragsgegenständlichen Leistung.503 Freilich wird sich dies in den meisten Fällen nicht trennscharf voneinander abgrenzen lassen. Insofern führt eine weisungsfrei zu erbringende, inhaltliche Leistung in aller Regel dazu, dass der Auftragnehmer bei der hierfür erforderlichen Verarbeitung der vom Auftraggeber zur Verfügung gestellten personenbezogenen Daten ebenfalls keinen Weisungen unterliegt.504 Insofern genügt es nicht, dass der Auftraggeber generell bestimmt, dass die jeweils betroffenen personenbezogenen Daten ausschließlich zur Erbringung der geschuldeten Leistungen verarbeitet werden dürfen, ohne anschließend jedoch wesentlichen Einfluss auf Verarbeitung durch den Auftragnehmer im Rahmen der Leistungserbringung zu nehmen bzw. nehmen zu können. Beispiel hierfür sind etwa Beratungsleistungen, zu deren Erbringung der Auftragnehmer personenbezogene Daten vom Auftraggeber erhält, etwa Rechtsanwälte, Unternehmensberater, Wirtschaftsprüfer, Steuerberater, Marktforschungsunternehmen, Softwareentwickler usw. Anderes Beispiel ist etwa das Outsourcing von Kundenservice-Dienstleistungen, sofern der Auftragnehmer die vertraglich geschuldeten Leistungen eigenständig und eigenverantwortlich durchführt.

256

Sofern der Auftragsverarbeiter weisungswidrig handelt, wird er für die von den Weisungen des Auftraggebers abweichenden Verarbeitungsvorgänge selbst zum Verantwortlichen und hat entsprechend weitergehende datenschutzrechtliche Verpflichtungen.505