Auftragsverarbeitung

Definition: Auftragsverarbeitung bezeichnet nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) die Konstellation, in der ein externer Dienstleister – der sogenannte Auftragsverarbeiter – personenbezogene Daten ausschließlich im Auftrag und nach den dokumentierten Weisungen eines Verantwortlichen verarbeitet. Der Auftragsverarbeiter handelt dabei nicht in eigener datenschutzrechtlicher Verantwortung für Zweck und Mittel der Verarbeitung, sondern führt lediglich technisch oder organisatorisch Aufgaben aus, die ihm der Verantwortliche überträgt. Die rechtliche Grundlage für dieses Verhältnis bildet zwingend ein schriftlicher Auftragsverarbeitungsvertrag (AVV), der die Rechte und Pflichten beider Parteien verbindlich regelt. Ohne einen gültigen AVV ist die Weitergabe personenbezogener Daten an externe Dienstleister nach DSGVO unzulässig und kann zu erheblichen Bußgeldern führen. Im Online Marketing betrifft dies nahezu jeden externen Tool-Einsatz: E-Mail-Marketing-Plattformen, Web-Analytics-Dienste, CRM-Systeme, Cloud-Hosting, Newsletter-Software, Social-Media-Management-Tools sowie Werbenetzwerke, die im Auftrag Daten verarbeiten. Der Verantwortliche bleibt trotz der Auslagerung stets für die Rechtmäßigkeit der Datenverarbeitung verantwortlich und muss sicherstellen, dass der Auftragsverarbeiter hinreichende Garantien zur Einhaltung der DSGVO bietet. Dies umfasst sowohl technische als auch organisatorische Maßnahmen (TOMs), die dem Risiko der Verarbeitung angemessen sein müssen.

Erläuterung

Das Konstrukt der Auftragsverarbeitung ist eines der zentralen Rechtsinstitute der DSGVO im unternehmerischen Alltag. Es löst das Problem, dass Unternehmen zur Erfüllung ihrer Geschäftszwecke regelmäßig Dritte einschalten müssen, die dabei zwangsläufig Kontakt mit personenbezogenen Daten haben. Klassische Beispiele im digitalen Marketing sind Dienstleister wie Mailchimp, HubSpot, Salesforce, Google Analytics, Meta (für Werbeanzeigen im Auftrag des Werbetreibenden), ActiveCampaign oder Hosting-Anbieter wie AWS und Hetzner.

Das entscheidende Abgrenzungskriterium zur gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) liegt darin, dass beim Auftragsverarbeiter keine eigenständige Entscheidung über Zweck und Mittel der Verarbeitung stattfindet. Sobald ein Dienstleister die verarbeiteten Daten auch für eigene Zwecke nutzt – etwa für die Produktoptimierung, Profiling oder Weitergabe an Dritte –, handelt es sich nicht mehr um eine reine Auftragsverarbeitung, sondern um eine eigenverantwortliche oder gemeinsame Verarbeitung. Dies hat weitreichende Konsequenzen für die datenschutzrechtliche Struktur der Zusammenarbeit.

Praktisch bedeutsam ist auch die Frage der Unterauftragsverarbeitung: Viele Dienstleister setzen ihrerseits Subunternehmer ein (z. B. verwendet eine E-Mail-Marketing-Plattform ihrerseits einen Cloud-Anbieter). Art. 28 Abs. 2 DSGVO verpflichtet den Auftragsverarbeiter, solche Unterauftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen einzusetzen. In der Praxis findet sich häufig eine Generalerlaubnis im AVV, die den Auftragsverarbeiter berechtigt, eine vorab genehmigte Liste von Subunternehmern zu nutzen. Änderungen an dieser Liste müssen dem Verantwortlichen rechtzeitig mitgeteilt werden, damit dieser widersprechen kann.

Die Pflicht zur Führung eines Verarbeitungsverzeichnisses gemäß Art. 30 DSGVO umfasst auch alle Auftragsverarbeitungsverhältnisse: Sowohl der Verantwortliche als auch der Auftragsverarbeiter müssen entsprechende Verzeichnisse führen und auf Anfrage der Aufsichtsbehörde vorlegen können.

Pflichtinhalte eines Auftragsverarbeitungsvertrags (AVV)

Gegenstand und Dauer der Verarbeitung: Art, Umfang und Zweck der verarbeiteten Daten sowie die Laufzeit des Vertrags müssen präzise definiert sein.
Art und Zweck der Verarbeitung: Welche Verarbeitungsvorgänge der Auftragsverarbeiter konkret durchführt (z. B. Speicherung, Übermittlung, Auswertung).
Art der personenbezogenen Daten: Kategorien der betroffenen Daten, z. B. Name, E-Mail-Adresse, IP-Adresse, Kaufhistorie.
Kategorien betroffener Personen: Kunden, Interessenten, Mitarbeiter, Webseitenbesucher etc.
Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen.
Vertraulichkeit: Alle zur Verarbeitung befugten Personen müssen zur Vertraulichkeit verpflichtet sein.
Technisch-organisatorische Maßnahmen (TOMs): Der AVV muss auf die konkreten Sicherheitsmaßnahmen nach Art. 32 DSGVO verweisen oder diese im Anhang konkretisieren.
Unterauftragsverarbeiter: Regelung zur Einbindung von Subunternehmern sowie deren Genehmigungsverfahren.
Unterstützungspflichten: Der Auftragsverarbeiter muss den Verantwortlichen bei der Erfüllung von Betroffenenrechten und Datenschutz-Folgenabschätzungen unterstützen.
Löschung und Rückgabe: Nach Beendigung der Leistung sind Daten zu löschen oder zurückzugeben.
Nachweispflichten und Audits: Der Auftragsverarbeiter muss Kontrollen durch den Verantwortlichen oder von ihm beauftragte Prüfer dulden.

Auftragsverarbeitung im Marketing-Alltag

E-Mail-Marketing: Plattformen wie Mailchimp, Brevo (ehemals Sendinblue) oder CleverReach verarbeiten Empfängerdaten im Auftrag – ein AVV ist Pflicht.
Web-Analytics: Google Analytics, Matomo oder Piwik Pro verarbeiten Nutzungsdaten der Webseitenbesucher im Auftrag des Website-Betreibers.
CRM-Systeme: Salesforce, HubSpot oder Pipedrive speichern und verwalten Kundendaten im Auftrag.
Hosting und Cloud: Jeder Server-Anbieter, auf dem personenbezogene Daten gespeichert werden, ist Auftragsverarbeiter.
Werbenetzwerke: Bei bestimmten Konstellationen – etwa wenn ein Anbieter lediglich technisch Werbemittel ausliefert – kann eine Auftragsverarbeitung vorliegen; bei eigenständiger Datennutzung (Google, Meta) handelt es sich hingegen meist um eigenverantwortliche Verarbeitung oder gemeinsame Verantwortlichkeit.
Zahlungsdienstleister: Bei reiner Zahlungsabwicklung im Auftrag des Händlers kann eine Auftragsverarbeitung gegeben sein.

Praxistipp: Lege eine strukturierte Liste aller im Unternehmen eingesetzten externen Dienstleister an und klassifiziere für jeden, ob eine Auftragsverarbeitung, eine gemeinsame Verantwortlichkeit oder eine eigenverantwortliche Verarbeitung vorliegt. Viele große Anbieter (Google, HubSpot, Mailchimp) stellen standardisierte AVV-Vorlagen bereit, die direkt in den Account-Einstellungen akzeptiert werden können – prüfe diese dennoch auf Vollständigkeit nach Art. 28 DSGVO. Vergiss nicht, auch die Unterauftragsverarbeiter-Listen regelmäßig zu überprüfen, da Dienstleister neue Subunternehmer einsetzen können, und halte alle geschlossenen AVV archiviert und für eine mögliche Behördenprüfung zugänglich bereit.