Artikel 29 DSGVO: Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters
Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.
Ein Satz mit Folgen für jeden Dienstleister
Wer Zugang zu personenbezogenen Daten hat und dem Verantwortlichen oder Auftragsverarbeiter untersteht, darf sie ausschließlich auf dessen Weisung verarbeiten. Verlässt ein Auftragsverarbeiter diesen Rahmen und entscheidet selbst über Zwecke und Mittel, wird er nach Artikel 28 Absatz 10 zum eigenen Verantwortlichen – mit allen Pflichten und aller Haftung. Für die Praxis heißt das: Die Weisungsbefugnis muss im Vertrag beschrieben sein und in der Zusammenarbeit tatsächlich ausgeübt werden. Ein Dienstleister, der frei schaltet, ist kein Auftragsverarbeiter mehr.
Erwägungsgrund 81 verlangt, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien bieten, und die Verarbeitung vertraglich zu regeln.