Die GDD veröffentlicht Praxishinweise für Auftragsverarbeiter nach Art. 28 DS-GVO.
Art. 28 DS-GVO stellt die zentrale Norm für die Auftragsverarbeitung dar. Beteiligte einer Auftragsverarbeitung sind der Verantwortliche und der Auftragsverarbeiter. „Verantwortlicher“ ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Art. 4 Abs. 7 DS-GVO). „Auftragsverarbeiter“ ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Abs. 8 DS-GVO). Gem. Art. 4 Abs. 10 DS-GVO ist die Auftragsverarbeitung weiterhin dergestalt privilegiert, dass der Auftragsverarbeiter kein Dritter ist. Eine Beschränkung der Privilegierung auf den EWR-Raum erfolgt nicht. Auftragsverarbeiter im Drittland sind damit ebenfalls keine „Dritten“ für den Verantwortlichen. Während die Norm teilweise bekannte Vorgaben an die Dienstleisterauswahl und die vertragliche Gestaltung stellt, enthält die DS-GVO an verschiedenen Stellen eigene Rechtspflichten für Auftragsverarbeiter.
Diese Praxishinweise der GDD möchten Hilfestellungen für Auftragsverarbeiter geben, wie die gesetzlichen Vorgaben umgesetzt werden können.
Praxishinweise für Auftragsverarbeiter nach Art. 28,
(Version 1.0, Stand Februar 2018)