Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 429

8

Dem Wortlaut nach ist Adressat der Regelung allein der Verantwortliche. Der Auftragsverarbeiter ist hier, anders als im Rahmen anderer Artikel der DSGVO, nicht explizit erwähnt. Da die ratio dieser Regelung jedoch grundsätzlich auch für Auftragsverarbeiter zutrifft, sofern diese eigene Pflichten treffen, könnte eine analoge Anwendung der Regelung auf Auftragsverarbeiter in Betracht kommen.8

9

Dies würde jedoch verkennen, dass der Auftragsverarbeiter, bedingt durch seine Stellung, allein personenbezogene Daten gemäß dem jeweiligen Auftrag und nach Weisung des Auftraggebers verarbeiten kann. Der Verantwortliche ist allein für die Einhaltung und Beantwortung von Betroffenenrechten und -anfragen zuständig. Eine über den Auftrag hinausgehende Verarbeitung von Daten durch den Auftragsverarbeiter, um beispielsweise Betroffenenrechte zu erfüllen oder angeblichen Dokumentationspflichten nachzukommen, ist dem Auftragsverarbeiter aufgrund seiner Stellung bereits versagt und auch rechtlich nicht gefordert.

10

Folglich kann der Auftragsverarbeiter bereits aufgrund des Auftragsverhältnisses nicht einseitig bestimmen, mehr personenbezogene Daten zu verarbeiten als vom Auftragsverhältnis vorgesehen. Verarbeitet er auftragswidrig personenbezogene Daten, schwingt er sich gem. Art. 28 Abs. 10 DSGVO zum Verantwortlichen auf, sodass in diesem Fall auch die Regelung des Art. 11 DSGVO für ihn greifen würde. Dementsprechend fehlt es an der Notwendigkeit einer Erstreckung dieser Regelung auf den Auftragsverarbeiter. Eine analoge Anwendung der Vorschrift auf den Auftragsverarbeiter ist daher abzulehnen.