Verantwortlicher oder Auftragsverarbeiter: der Unterschied

Die Rollenfrage klingt nach Juristendeutsch, hängt aber an einer Alltagsentscheidung: Darf der Dienstleister mit den Daten machen, was er will, oder nur, was Sie ihm auftragen? Art. 4 DSGVO nennt 26 Begriffsbestimmungen, und zwei davon legen die Antwort fest: Nummer 7 für den Verantwortlichen, Nummer 8 für den Auftragsverarbeiter. Dieser Beitrag zitiert beide am Wortlaut, zeigt die Abgrenzung an typischen Fällen und sagt, was die Zuordnung für Vertrag, Anfragen und Datenpannen bedeutet.

Die beiden Definitionen am Wortlaut

Art. 4 DSGVO ist die Begriffsbestimmungsliste der Verordnung. Für die Rollenfrage zählen zwei Einträge. Nummer 7 definiert den Verantwortlichen wörtlich: „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Die Formulierung ist weit: Es muss nicht eine einzige Stelle allein bestimmen, gemeinsam mit anderen entscheiden genügt.

Nummer 8 definiert den Auftragsverarbeiter: „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“. Drei Worte tragen die Abgrenzung: im Auftrag. Wer verarbeitet, ohne von einem Auftrag des Verantwortlichen getragen zu sein, ist kein Auftragsverarbeiter.

Der zweite Satz der Nummer 7 hat eine eigene Bedeutung für Behörden und öffentliche Stellen: Sind Zwecke und Mittel der Verarbeitung durch Unionsrecht oder Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die Kriterien seiner Benennung nach diesem Recht vorgesehen werden.

Wie Sie die Rolle im Einzelfall zuordnen

Der Wortlaut macht die Entscheidung an der Zweckbestimmung fest, nicht am Namen im Vertrag. Überschreiben zwei Parteien eine Vereinbarung „Auftragsverarbeitung“, ändert das nichts daran, wenn der Dienst im Hintergrund eigene Zwecke verfolgt. Umgekehrt fehlt es nicht an der Auftragsverarbeitung, weil niemand das Wort benutzt, sondern weil kein Auftrag vorliegt.

• Wer legt den Zweck fest? Bestimmt Ihr Unternehmen, wofür Kunden- oder Beschäftigtendaten verarbeitet werden, sind Sie Verantwortlicher.
• Was steht im Auftrag? Erbringt ein Dienst genau die Leistung, die Sie beauftragt haben, und nichts darüber hinaus, spricht das für Auftragsverarbeitung.
• Gibt es eigene Zwecke des Dienstes? Nutzt der Dienst die Daten zusätzlich für eigene Analysen oder eigene Werbung, prüfen Sie im Einzelfall, ob es bei der Auftragsverarbeitung bleibt.
• Wer beantwortet die Betroffenenanfrage? Die Antwortpflicht trägt der Verantwortliche, auch wenn die Daten beim Auftragsverarbeiter liegen.

Keine Zeile dieser Tabelle ersetzt die Einzelfallprüfung. Maßgeblich ist, was der Dienst tatsächlich tut, und das steht im Vertrag und in den technischen Bedingungen, nicht in der Produktbezeichnung.

Was die Rolle im Alltag bedeutet: Vertrag, Anfragen, Pannen

Aus der Zuordnung folgen Pflichten, und die bleiben auch nach der Zuordnung getrennt. Verarbeitet ein Dienst im Auftrag, muss ein Vertrag nach Art. 28 DSGVO die Rahmenbedingungen festlegen: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen. Welche vierzehn Angaben dazu gehören und wo Verträge typischerweise lückenhaft sind, steht im Beitrag Auftragsverarbeitungsvertrag: die Pflichtangaben des Art. 28 DSGVO.

An einer Stelle laufen die Kreise zusammen: beim Auskunftsantrag. Liegen die Daten beim Auftragsverarbeiter, muss der Verantwortliche trotzdem innerhalb eines Monats antworten. Ohne die Zusage der Unterstützung nach Art. 28 Abs. 3 Satz 2 Buchstabe e DSGVO hat er dafür keinen vertraglichen Anspruch, während die Daten bei dem Dienst liegen. Umgekehrt bleibt die Meldung einer Datenpanne an die Aufsichtsbehörde immer beim Verantwortlichen, auch wenn der Fehler beim Dienstleister lag.

Fristen, die an der Rollenfrage hängen

Mit der Rollenzuordnung kommen Pflichten, und mehrere davon laufen gegen die Uhr. Drei Fristen prägen den Alltag:

Bei einer Datenpanne gilt die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO ab Kenntnis des Verantwortlichen, nicht ab dem technischen Ereignis. Die Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO besteht auch dann, wenn gar nicht gemeldet wird. Was genau dokumentiert werden muss, wenn ein Dienstleister beteiligt ist, steht im Beitrag Datenpanne: die 72-Stunden-Meldung an die Aufsicht.

Bewährt hat sich, jeden neuen Dienst vor dem Einsatz zuzuordnen: Verantwortlicher oder Auftragsverarbeiter, Vertrag ja oder nein, Kategorien betroffener Personen notiert. Wer das vorab erledigt, muss bei der ersten Anfrage nicht mehr suchen.

Praxisbeispiel: kleiner Online-Shop mit drei Dienstleistern

Ein Inhaber betreibt einen Online-Shop und beauftragt drei Dienste: das Hosting des Servers, den Versand des Newsletters und die Lohnabrechnung über einen externen Dienstleister. Nach dem Wortlaut des Art. 4 Nr. 7 DSGVO ist der Inhaber Verantwortlicher: Er entscheidet, dass Kundendaten für Bestellungen und Beschäftigtendaten für die Gehaltspflege verarbeitet werden. Alle drei Dienste verarbeiten im Auftrag, für jeden gehört ein Vertrag nach Art. 28 DSGVO in die Akte.

Beim Anlegen der Verträge stellt der Inhaber fest, dass zwei davon die Kategorien betroffener Personen nicht benennen: Kundinnen und Kunden beim Hosting, Beschäftigte bei der Lohnabrechnung. In der Praxis ist das die am häufigsten fehlende der sechs Rahmenangaben, weil sie sich nicht aus der Leistungsbeschreibung ergibt. Als eine Kundin eine Auskunft nach Art. 15 DSGVO anfordert, läuft die Monatsfrist: Die Antwort schuldet der Inhaber, die Daten liefert der Hoster.

BetroffenenRecht24 hält genau diese Strecke zusammen: das Verzeichnis der Auftragsverarbeiter mit je einer Belegung der vierzehn Pflichtangaben des Art. 28 Abs. 3 DSGVO, daneben die Fristenbox, die jede eingehende Anfrage mit der Ein-Monats-Ampel führt. Die Prüfung, ob ein Dienst überhaupt Auftragsverarbeiter ist, bleibt eine Einzelfallentscheidung: Das Werkzeug erzeugt keinen Vertragstext und prüft keinen fremden Vertrag rechtlich.

Häufige Fragen

Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter?

Der Verantwortliche entscheidet nach Art. 4 Nr. 7 DSGVO über die Zwecke und Mittel der Verarbeitung, der Auftragsverarbeiter verarbeitet nach Art. 4 Nr. 8 DSGVO nur im Auftrag des Verantwortlichen. An diesen beiden Formulierungen hängt die gesamte Rollenlogik der DSGVO: Vertragspflicht, Antwort auf Anfragen und Meldewege bei Datenpannen.

Kann ein Unternehmen Verantwortlicher und Auftragsverarbeiter zugleich sein?

Ja, je nach Verarbeitung. Für die eigenen Kundendaten ist ein Unternehmen Verantwortlicher; verarbeitet es Daten für einen anderen im Auftrag, etwa als Dienstleister, nimmt es dort die Rolle des Auftragsverarbeiters ein. Die Rolle folgt dem jeweiligen Auftrag, nicht dem Unternehmen als solchem.

Reicht es, wenn im Vertrag „Auftragsverarbeitung“ steht?

Nein. Entscheidend ist die tatsächliche Verarbeitung, nicht die Bezeichnung im Vertrag. Verfolgt der Dienst eigene Zwecke mit den Daten, liegt keine Auftragsverarbeitung vor, auch wenn die Vereinbarung so überschrieben ist. Prüfen Sie deshalb, was der Dienst technisch tut und was die Bedingungen regeln.

Wer muss eine Datenpanne beim Dienstleister melden?

Der Verantwortliche meldet an die Aufsichtsbehörde, binnen 72 Stunden nach Kenntnis, sofern ein wahrscheinliches Risiko besteht (Art. 33 Abs. 1 DSGVO). Der Auftragsverarbeiter informiert den Verantwortlichen und unterstützt ihn; die Meldung selbst trägt der Verantwortliche.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.