Der Verantwortliche entscheidet allein oder gemeinsam mit anderen \u00fcber die Zwecke und Mittel der Verarbeitung personenbezogener Daten; der Auftragsverarbeiter verarbeitet die Daten in seinem Auftrag. Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, arbeitet dieser nach Art. 28 Abs. 1 nur mit Auftragsverarbeitern<\/strong>, die hinreichend Garantien f\u00fcr geeignete technische und organisatorische Ma\u00dfnahmen bieten. Der Auftragsverarbeiter und jede ihm unterstellte Person mit Zugang zu personenbezogenen Daten d\u00fcrfen diese Daten nur auf Weisung des Verantwortlichen verarbeiten, es sei denn, das Unionsrecht oder das Recht der Mitgliedstaaten verpflichtet sie zur Verarbeitung. Die Verarbeitung durch den Auftragsverarbeiter wird nach Auffassung der Datenschutzkonferenz grunds\u00e4tzlich dem Verantwortlichen zugerechnet.<\/p>\n L\u00e4sst ein Versicherer personenbezogene Daten durch einen externen Dienstleister in seinem Auftrag verarbeiten, ist Grundlage der Auftragsverarbeitung ein Vertrag oder ein anderes Rechtsinstrument, das Pflichten und Rechte des Verantwortlichen festlegt. Dieser Vertrag oder dieses Rechtsinstrument<\/strong> ist nach Art. 28 Abs. 9 schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. Zum Inhalt geh\u00f6ren nach Art. 28 Abs. 3 unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen.<\/p>\n Der Auftragsverarbeiter handelt nach Art. 28 Abs. 3 auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die \u00dcbermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. Der Vertrag sieht nach Art. 28 Abs. 3 unter anderem vor, dass der Auftragsverarbeiter alle nach Art. 32 erforderlichen Ma\u00dfnahmen ergreift und dem Verantwortlichen alle erforderlichen Informationen<\/strong> zum Nachweis der Einhaltung der in Art. 28 niedergelegten Pflichten zur Verf\u00fcgung stellt; \u00dcberpr\u00fcfungen einschlie\u00dflich Inspektionen, die der Verantwortliche oder ein von ihm beauftragter Pr\u00fcfer durchf\u00fchrt, erm\u00f6glicht er und tr\u00e4gt dazu bei.<\/p>\n Einen weiteren Auftragsverarbeiter nimmt er nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen in Anspruch. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er diese unverz\u00fcglich<\/strong> dem Verantwortlichen; die Meldung an die Aufsichtsbeh\u00f6rde obliegt nach Art. 33 Abs. 1 dem Verantwortlichen. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der erste Auftragsverarbeiter gegen\u00fcber dem Verantwortlichen f\u00fcr die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,406,405],"class_list":["post-33742","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-dsgvo-datenschutz","glossary_intl_topic-datenschutz-datensicherheit"],"acf":{"card_description":"Auftragsverarbeitung: Verarbeitung personenbezogener Daten durch eine Stelle im Auftrag des Verantwortlichen.","nav_theme":"Datenschutz & Datensicherheit","nav_subtheme":"DSGVO & Datenschutz","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Auftragsverarbeitung bezeichnet die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen durch eine nat\u00fcrliche oder juristische Person, Beh\u00f6rde, Einrichtung oder andere Stelle, den Auftragsverarbeiter, auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments.","at_a_glance":[{"bullet":"Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern nicht das Recht der Union oder der Mitgliedstaaten ihn zur Verarbeitung verpflichtet."},{"bullet":"Einen weiteren Auftragsverarbeiter nimmt er nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen in Anspruch."},{"bullet":"Bestimmt ein Auftragsverarbeiter unter Versto\u00df gegen die Verordnung Zwecke und Mittel der Verarbeitung, gilt er in Bezug auf diese Verarbeitung als Verantwortlicher."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Unternehmen lagert die E-Mail-Verwaltung aus; der Dienstleister verarbeitet die Daten im Auftrag und auf dokumentierte Weisung des Unternehmens, das als Verantwortlicher auftritt."},{"example":"Beginnt ein Auftragsverarbeiter, \u00fcber die Weisungen des Verantwortlichen hinaus eigene Zwecke und Mittel festzulegen, verst\u00f6\u00dft er gegen die DSGVO und gilt in Bezug auf diese Verarbeitung als Verantwortlicher."},{"example":"Setzt ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter ein, braucht er daf\u00fcr die vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen."},{"example":"Ein Versicherer l\u00e4sst personenbezogene Daten durch einen externen Dienstleister verarbeiten; Grundlage ist ein Vertrag oder ein anderes Rechtsinstrument, das den Dienstleister an den Versicherer bindet."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33741,33847],"pillar_link":null,"sources":[{"publisher":"","name":"Verordnung (EU) 2016\/679 (Datenschutz-Grundverordnung)","url":"https:\/\/publications.europa.eu\/resource\/cellar\/3e485e15-11bd-11e6-ba9a-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO","url":"https:\/\/www.datenschutzkonferenz-online.de\/media\/kp\/dsk_kpnr_13.pdf","doc_type":"2018","group":"used"},{"publisher":"","name":"Leitlinien 07\/2020 zu den Begriffen \u201eVerantwortlicher\u201c und \u201eAuftragsverarbeiter\u201c in der DSGVO","url":"https:\/\/www.edpb.europa.eu\/system\/files\/documents\/2023-10\/edpb_guidelines_202007_controllerprocessor_final_de.pdf","doc_type":"2021","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-22"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie l\u00e4uft eine Auftragsverarbeitung ab?<\/h2>\n
Woran erkenne ich eine Auftragsverarbeitung?<\/h2>\n
\n\n
\n \nMerkmal<\/th>\n Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n \n Verarbeitung im Auftrag<\/td>\n Eine Stelle verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Art. 4 Nr. 8).<\/td>\n<\/tr>\n \n Eigenst\u00e4ndige Einheit<\/td>\n Nach den Leitlinien des EDPB muss der Auftragsverarbeiter gegen\u00fcber dem Verantwortlichen eine eigenst\u00e4ndige Einheit bilden.<\/td>\n<\/tr>\n \n Weisungsbindung<\/td>\n Die Daten werden nur auf dokumentierte Weisung des Verantwortlichen verarbeitet, sofern der Auftragsverarbeiter nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist (Art. 28 Abs. 3).<\/td>\n<\/tr>\n \n Keine Festlegung \u00fcber die Weisungen hinaus<\/td>\n Bestimmt der Auftragsverarbeiter unter Versto\u00df gegen die Verordnung Zwecke und Mittel der Verarbeitung, gilt er in Bezug auf diese Verarbeitung als Verantwortlicher (Art. 28).<\/td>\n<\/tr>\n \n Beispiel<\/td>\n Das DSK-Kurzpapier 13 nennt unter seinen Beispielen die Auslagerung der E-Mail-Verwaltung.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Welche Pflichten gelten bei der Auftragsverarbeitung?<\/h2>\n
Vorbeugen<\/h3>\n
\n