Welche Pflichten hat ein Auftragsverarbeiter nach Art. 28 DSGVO?
Erklärung
Zu den zentralen Pflichten eines Auftragsverarbeiters zählen: die Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, die Sicherstellung der Vertraulichkeit beim eingesetzten Personal, die Umsetzung angemessener technischer und organisatorischer Maßnahmen, die Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten sowie die unverzügliche Meldung erkannter Datenschutzverletzungen an den Verantwortlichen.
Zudem darf ein Auftragsverarbeiter weitere Subunternehmer nur mit vorheriger Genehmigung des Verantwortlichen einbinden und muss diese vertraglich an dieselben Pflichten binden, die er selbst gegenüber dem Verantwortlichen eingegangen ist. Nach Abschluss der Verarbeitung müssen die Daten je nach Vereinbarung gelöscht oder zurückgegeben werden.
Praxisrelevanz für Unternehmen
Für Unternehmen, die selbst als Auftragsverarbeiter für ihre Kunden tätig sind – etwa Software- oder Hosting-Anbieter – sind diese Pflichten Teil des eigenen Leistungsversprechens: Kunden erwarten zunehmend detaillierte Nachweise, etwa zu eingesetzten Subunternehmern und technischen Maßnahmen.
Verantwortliche wiederum sollten bei der Auswahl eines Auftragsverarbeiters prüfen, ob dieser die Pflichten aus Art. 28 DSGVO tatsächlich glaubhaft erfüllen kann – etwa durch Zertifizierungen, Referenzen oder ein nachvollziehbares Subunternehmerverzeichnis –, da der Verantwortliche für die sorgfältige Auswahl mitverantwortlich bleibt.
Verwandte Begriffe & Leistungen
Häufige Fragen zu „Welche Pflichten hat ein Auftragsverarbeiter nach Art. 28 DSGVO?“
Darf ein Auftragsverarbeiter eigenständig entscheiden, wie er Daten nutzt?
Nein, ein Auftragsverarbeiter darf ausschließlich nach dokumentierten Weisungen des Verantwortlichen handeln – eigene Zweckänderungen sind unzulässig.
Muss jeder Subunternehmer eines Auftragsverarbeiters genehmigt werden?
Ja, der Einsatz weiterer Auftragsverarbeiter bedarf grundsätzlich der vorherigen Genehmigung – allgemein oder spezifisch – durch den Verantwortlichen.
Was passiert, wenn ein Auftragsverarbeiter gegen seine Pflichten verstößt?
Er kann selbst haftbar gemacht werden und wird bei eigenmächtiger Zweckbestimmung datenschutzrechtlich wie ein Verantwortlicher behandelt.
Fragen zu Welche Pflichten hat ein Auftragsverarbeiter nach Art. 28 DSGVO??
Wir prüfen unverbindlich, was das für Ihr Unternehmen konkret bedeutet – und wie DSGVO.tech Sie dabei entlasten kann.