Was ist Auftragsverarbeitung?
Auftragsverarbeitung liegt vor, wenn jemand für dich personenbezogene Daten verarbeitet, ohne selbst über Zweck und Mittel zu entscheiden. Der Hoster, der Newsletter-Versender, das Analysewerkzeug, die Terminbuchung: alle bekommen Daten deiner Kunden und dürfen damit nur das tun, was du sagst. Verantwortlich bleibst du. Genau deshalb verlangt Art. 28 Abs. 3 DSGVO einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegt, dazu die Kategorien der Betroffenen und die Pflichten des Auftragsverarbeiters.
Der Vertrag ist in der Praxis selten ein eigenes Dokument. Bei den großen Anbietern liegt er als Klausel in den Nutzungsbedingungen bereit und muss im Konto einmal aktiv angenommen werden. Das ist der häufigste Fehler: Das Werkzeug läuft seit zwei Jahren, der Haken wurde nie gesetzt. Abgrenzen musst du gegen zwei Nachbarn. Wer selbst über die Zwecke entscheidet, ist kein Auftragsverarbeiter, sondern eigener Verantwortlicher, etwa eine Werbeplattform, die deine Daten auch für eigene Modelle nutzt. Und wer gemeinsam mit dir entscheidet, ist gemeinsam Verantwortlicher nach Art. 26 DSGVO, was ein anderer Vertragstyp ist.
Die praktische Arbeit ist eine Liste, keine juristische Würdigung. Du öffnest deine Website mit offener Netzwerkanalyse, notierst jede fremde Domain, und hältst die Liste gegen deine Verträge. Jede Zeile ohne Vertrag ist entweder ein fehlender Haken oder ein Dienst, den niemand mehr braucht. Der zweite Fall ist der bessere: Ein gelöschtes Werkzeug spart gleichzeitig eine Einwilligung, einen Vertrag, eine Zeile in der Datenschutzerklärung und ein wenig Ladezeit.
Warum ist Auftragsverarbeitung wichtig?
Die Liste fällt fast immer kürzer aus als befürchtet und länger als erinnert. Über 90 Prozent aller Seiten binden laut HTTP Archive mindestens einen fremden Dienst ein, im Median sind es 79 Anfragen an fremde Hosts auf dem Handy. Anfragen sind dabei nicht Anbieter: hinter 79 Anfragen stecken oft nur fünf bis fünfzehn Firmen. Genau diese Zahl, nicht die Zahl der Anfragen, ist deine Vertragsliste, und sie lässt sich an einem Vormittag abarbeiten.
Auftragsverarbeitung in der Praxis
- 01Ein Betrieb nutzt seit drei Jahren ein Newsletter-Werkzeug, hat aber den bereitliegenden Vertrag im Konto nie angenommen. Die Verarbeitung läuft seitdem ohne Rechtsgrundlage, obwohl technisch nichts falsch ist.
- 02Ein Kartendienst wurde für die Anfahrtsseite eingebaut und lädt seither auf jeder Unterseite mit. Statt einen Vertrag zu suchen, wird er durch ein statisches Bild mit Link ersetzt: ein Dienst weniger auf allen drei Listen.
- 03Eine Agentur pflegt die Website des Kunden über einen eigenen Zugang. Auch das ist Auftragsverarbeitung und braucht einen Vertrag, obwohl niemand Daten exportiert.
