Datenverarbeiter (Auftragsverarbeiter)

Definition: Ein Datenverarbeiter oder Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Das wesentliche Merkmal des Auftragsverarbeiters ist, dass er keinerlei eigene Entscheidungsgewalt über Zweck und Mittel der Verarbeitung hat: Er handelt ausschließlich nach den Weisungen des Verantwortlichen und darf die ihm anvertrauten Daten nicht für eigene Zwecke nutzen. Gemäß Art. 28 DSGVO muss jeder Auftragsverarbeiter durch einen schriftlichen Vertrag – den Auftragsverarbeitungsvertrag (AVV) – gebunden werden, der unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Kategorien der verarbeiteten Daten, die Pflichten und Rechte des Verantwortlichen sowie die vom Auftragsverarbeiter zu implementierenden technischen und organisatorischen Maßnahmen festschreibt. Im Online-Marketing sind zahlreiche externe Dienstleister als Auftragsverarbeiter einzustufen, was den Abschluss entsprechender AVV zur rechtlichen Pflicht macht.

Erläuterung

Die korrekte Einordnung von Marketing-Dienstleistern als Auftragsverarbeiter, als eigenverantwortlicher Verantwortlicher oder als gemeinsam Verantwortlicher ist eine der zentralen und gleichzeitig schwierigsten Aufgaben im Marketing-Datenschutz. Die Unterscheidung hat erhebliche rechtliche Konsequenzen: Beim Auftragsverarbeiter genügt ein AVV; beim eigenverantwortlichen Verantwortlichen muss der Betroffene gesondert informiert werden und es besteht keine Weisungsgebundenheit; bei gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO ist eine transparente Vereinbarung über die Aufgabenverteilung erforderlich, die Betroffenen offenzulegen ist.

Ein Dienstleister ist als Auftragsverarbeiter einzustufen, wenn er personenbezogene Daten des Unternehmens nach dessen Weisung verarbeitet, ohne selbst Herr über Zweck und Mittel der Verarbeitung zu sein. Ein Hosting-Anbieter, der Server-Ressourcen bereitstellt, aber keinen Einfluss auf die gespeicherten Daten hat, ist ein klassischer Auftragsverarbeiter. Ein E-Mail-Marketing-Dienst, der E-Mails ausschließlich auf Anweisung des Unternehmens an dessen Abonnenten versendet und keine eigene Nutzungsrechte an den Daten ableitet, ist ebenfalls als Auftragsverarbeiter einzustufen.

Komplizierter wird es bei Unternehmen wie Google und Meta: Diese agieren bei bestimmten Diensten (z. B. Google Analytics, Google Ads, Meta Pixel) nicht als reine Auftragsverarbeiter, sondern verarbeiten die übermittelten Daten auch für eigene Zwecke (z. B. zur Verbesserung eigener Produkte, zur Messung der Anzeigenwirksamkeit in eigenen Systemen). In solchen Fällen liegt entweder eine eigenverantwortliche Verarbeitung oder eine gemeinsame Verantwortlichkeit vor. Der EuGH hat im Fall der Facebook-Fanpages (C-210/16) und in späteren Entscheidungen die gemeinsame Verantwortlichkeit von Website-Betreibern und Meta für die über Pixel übertragenen Daten bejaht. Meta hat daraufhin einen Page Controller Addendum eingeführt, der die Verantwortlichkeiten zwischen Meta und dem Seitenbetreiber regelt.

Besondere Sorgfalt ist bei der Weitergabe von Kundendaten an Marketing-Plattformen für Targeting-Zwecke geboten: Das Hochladen von Custom-Audience-Listen (gehashte E-Mail-Adressen) bei Meta oder Google stellt grundsätzlich eine Datenübermittlung an eigenverantwortliche Dritte dar, für die eine eigene Rechtsgrundlage – typischerweise Einwilligung – erforderlich ist. Der AVV mit dem E-Mail-Marketing-Anbieter deckt diese Nutzung nicht ab, da sie über den ursprünglichen Auftragsverarbeitungszweck hinausgeht.

Typische Auftragsverarbeiter im Online-Marketing

E-Mail-Marketing-Anbieter: Mailchimp, CleverReach, HubSpot, Brevo (Sendinblue), Klaviyo – sofern sie E-Mails ausschließlich nach Weisung des Unternehmens versenden und keine eigenen Datenrechte ableiten; AVV obligatorisch.
CRM-Systeme: Salesforce, HubSpot CRM, Pipedrive, Zoho – als Datenspeicher für Kundendaten, die vom Unternehmen befüllt und verwaltet werden; AVV erforderlich.
Hosting- und Cloud-Anbieter: IONOS, Hetzner, AWS, Microsoft Azure, Google Cloud – stellen Infrastruktur bereit, verarbeiten aber keine Inhalte eigenverantwortlich; AVV erforderlich.
Analytics-Dienste: Matomo (selbst gehostet), Plausible Analytics – bei solchen DSGVO-konformen Alternativen kann oft eine vollständige Auftragsverarbeitung vereinbart werden.
Marketing-Agenturen: Agenturen, die im Auftrag eines Unternehmens auf dessen CRM, E-Mail-Listen oder Werbekonten zugreifen, sind als Auftragsverarbeiter einzustufen; AVV zwingend.

Anforderungen an den Auftragsverarbeitungsvertrag (AVV)

Pflichtinhalt: Gegenstand, Dauer, Art und Zweck der Verarbeitung; Kategorien der personenbezogenen Daten; betroffene Personengruppen; Pflichten und Rechte des Verantwortlichen.
TOM-Beschreibung: Der AVV muss die vom Auftragsverarbeiter implementierten technischen und organisatorischen Schutzmaßnahmen beschreiben oder auf eine Anlage verweisen.
Sub-Auftragsverarbeiter: Der Auftragsverarbeiter darf Sub-Auftragsverarbeiter nur mit Genehmigung des Verantwortlichen einsetzen; die Liste der Sub-Auftragsverarbeiter muss bekannt und zugänglich sein.
Weisungsrecht: Der Verantwortliche hat das Recht, dem Auftragsverarbeiter Weisungen zu erteilen; der Auftragsverarbeiter muss bei rechtswidrigen Weisungen den Verantwortlichen informieren.
Löschung oder Rückgabe: Nach Beendigung des Auftrags müssen alle verarbeiteten Daten zurückgegeben oder gelöscht werden.

Praxistipp: Erstellen Sie eine vollständige Liste aller eingesetzten Marketing-Dienstleister und klassifizieren Sie jeden als Auftragsverarbeiter, eigenverantwortlichen Verantwortlichen oder gemeinsam Verantwortlichen. Für alle Auftragsverarbeiter muss ein aktueller, DSGVO-konformer AVV vorliegen – viele SaaS-Anbieter bieten diesen online an, aber prüfen Sie, ob er Ihre spezifischen Anforderungen erfüllt. Überprüfen Sie die Liste der Sub-Auftragsverarbeiter Ihrer kritischen Marketing-Dienstleister, da dort häufig weitere US-amerikanische Drittanbieter aufgeführt sind, die eigene Drittlandtransfer-Überlegungen auslösen.