Auftragsverarbeitung und Dreiecksverhältnis

Frage des GDD-Erfa-Kreises Würzburg zur Auftragsverarbeitung:
Im vorliegenden Fall beauftragt ein Unternehmen einen Dienstleister damit, personenbezogene Daten zu verarbeiten. In diesem Verhältnis besteht also der Leistungsvertrag. Die jeweiligen personenbezogenen Daten erhält der Auftragnehmer jedoch direkt von einem dritten Unternehmen. Es besteht also ein Dreiecksverhältnis, in dem der kaufmännische Auftraggeber ein anderer ist als der „datenschutzrechtliche Auftraggeber“, der die personenbezogenen Daten übermittelt.
Der kaufmännische Auftraggeber, mit dem der Leistungsvertrag besteht und der daher letztlich die Weisung erteilt, weigert sich, einen Vertrag über Auftragsverarbeitung zu zeichnen mit der Begründung, dass das Unternehmen die personenbezogenen Daten gar nicht übermittelt, sondern diese direkt von einem anderen Unternehmen stammen (Beispiel Werbeagentur beauftragt eine Druckerei, einen Prospekt zu drucken. Die personenbezogenen Daten hierfür erhält aber die Druckerei direkt vom Tennisverband, der ansonsten keinerlei Vertragsverhältnis zur Druckerei hat. Dieses besteht nur zwischen der Werbeagentur und der Druckerei. Dies ist nur ein Beispiel, das Dreiecksverhältnis kann noch mit anderen Auftragsverarbeitungen stattfinden).
Unterstellt, es handelt sich um eine Auftragsverarbeitung i.S.d. § 28 DS-GVO, wie müsste hier vorgegangen werden?
Zwischen welchen Parteien müsste der Vertrag über Auftragsverarbeitung geschlossen werden?
Antwort BayLDA:
Wir bitten um Verständnis, dass wir nur allgemein antworten können, da es immer auf die konkreten Umstände des Einzelfalls ankommt.
Grundsätzlich gilt, dass der Auftragsverarbeitungsvertrag zwischen dem „Verantwortlichen“ und dem „Auftragsverarbeiter“ abgeschlossen werden muss. Das heißt, es muss anhand der gesetzlichen Definitionen geprüft werden, wer hier Verantwortlicher ist. Nach der Definition in Art. 4 Nr. 7 DS-GVO ist Verantwortlicher derjenige, der über die Zwecke und Mittel der Datenverarbeitung entscheidet. Ohne dass die Sachverhaltsbeschreibung ausreichend klar ist, könnte es aber durchaus sein, dass im vorliegenden Fall der hier so genannte kaufmännische Auftraggeber als Verantwortlicher einzuordnen ist (also nicht derjenige, von dem die Daten physisch an den Dienstleister fließen).
Verantwortlicher kann jedenfalls – so der Europäische Gerichtshof mehrfach – auch jemand sein, der selbst nicht notwendigerweise physisch Zugriff auf die Daten hat; erforderlich ist aber, dass er über die Zwecke (und die wesentlichen Mittel) der Verarbeitung entscheidet. In dem vorgetragenen Beispiel könnte somit durchaus die Werbeagentur als Verantwortlicher anzusehen sein, jedenfalls sofern sie diejenige ist, die entscheidet, dass der Prospekt gedruckt werden soll.
Es fragt sich freilich, ob die Werbeagentur diese Verantwortung übernehmen möchte angesichts der Tatsache, dass sie die Daten augenscheinlich physisch gar nicht besitzt. Möglich wäre es aber unseres Erachtens durchaus, jedenfalls wenn es tatsächlich gewollt ist, dass die Weisungen gegenüber der Druckerei nicht durch den Tennisverband, sondern durch die Werbeagentur erteilt werden.
Letztes Update:05.02.19
Das könnte Sie auch interessieren
-
Datenschutzkonformes Terminmanagement durch externe Dienstleister
Die Datenschutzkonferenz (DSK) hat in einem aktuellen Positionspapier klargestellt, unter welchen Voraussetzungen medizinische Praxen datenschutzkonform externe Dienstleister zur Terminvergabe einsetzen dürfen. Solche Anbieter verarbeiten im Regelfall personenbezogene Daten – teilweise auch Gesundheitsdaten – im Auftrag der Praxis. Dies ist laut DSK grundsätzlich zulässig, sofern die Beauftragung auf Grundlage eines wirksamen Vertrags zur Auftragsverarbeitung nach Art. 28
Mehr erfahren -
DSK veröffentlicht Orientierungshilfe für datenschutzkonformen KI‑Einsatz
Die Datenschutzkonferenz (DSK) hat im Mai 2025 die erste innerhalb der DSK abgestimmte Orientierungshilfe zum Einsatz künstlicher Intelligenz im Einklang mit der DS-GVO vorgestellt. Sie dient Verantwortlichen in Behörden und Unternehmen als Checkliste entlang der drei Phasen: Konzeption und Auswahl, Implementierung sowie Nutzung von KI-Systemen. Zentral ist dabei die Analyse von Risiken für Betroffenenrechte, insbesondere
Mehr erfahren -
TeleTrusT aktualisiert „Stand der Technik in der IT‑Sicherheit“
Der Bundesverband IT-Sicherheit e. V. (TeleTrusT) hat am 17. Juni 2025 eine vollständig aktualisierte Fassung seiner bewährten Orientierungshilfe „Stand der Technik in der IT-Sicherheit“ veröffentlicht. Die überarbeitete Ausgabe reflektiert aktuelle Entwicklungen in der Bedrohungslage, neue regulatorische Anforderungen sowie praktische Herausforderungen bei der Umsetzung technischer und organisatorischer Maßnahmen. Die Publikation versteht sich als praxisnahe Handreichung für Verantwortliche
Mehr erfahren