Der Auftragsverarbeiter ist die natürliche oder juristische Person, die personenbezogene Daten im Auftrag und mit Ermächtigung des Verantwortlichen verarbeitet, wie Artikel 3 des türkischen KVKK sie definiert. Typische Beispiele sind Hosting-Anbieter, E-Mail-Marketing-Dienste und Cloud-Analysetools. Der Begriff entspricht dem Auftragsverarbeiter in Artikel 4 Nr. 8 DSGVO; Artikel 28 DSGVO verlangt einen schriftlichen Auftragsverarbeitungsvertrag.
Artikel 3 des KVKK definiert den Auftragsverarbeiter als die natürliche oder juristische Person, die personenbezogene Daten im Auftrag und mit Ermächtigung des Verantwortlichen verarbeitet. Die Abgrenzung ist eindeutig: Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung, der Auftragsverarbeiter führt die technische Verarbeitung innerhalb der Weisungen aus, ohne diese Entscheidungen selbst zu treffen. Die Definition in Artikel 4 Nr. 8 DSGVO folgt derselben Logik. Dasselbe Unternehmen kann in einer Verarbeitung Verantwortlicher und in einer anderen Auftragsverarbeiter sein; maßgeblich ist die konkrete Tätigkeit.
Für eine Website sind Hosting-Anbieter, Content Delivery Networks, Analysedienste, E-Mail-Versandinfrastruktur und Consent-Management-Plattformen typische Auftragsverarbeiter. Artikel 28 DSGVO verlangt, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien bieten, und einen schriftlichen Auftragsverarbeitungsvertrag zu schließen: Gegenstand und Dauer der Verarbeitung, Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Genehmigung von Unterauftragsverarbeitern und Prüfrechte gehören zu den Mindestinhalten. Der praktische Weg: alle Dienstleister mit Datenzugriff auflisten, die Rolle jedes Einzelnen bestimmen, Verträge mit den Auftragsverarbeitern abschließen und das Inventar aktuell halten.
Häufig gestellte Fragen
Was ist der Unterschied zwischen Auftragsverarbeiter und Verantwortlichem?
Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten; Kernpflichten wie Registrierung und Information der Betroffenen liegen bei ihm. Der Auftragsverarbeiter trifft diese Entscheidungen nicht und führt die Verarbeitung weisungsgebunden im Auftrag aus. Maßgeblich sind die tatsächlichen Verhältnisse, nicht die Vertragsbezeichnung: Ein Dienstleister, der selbst über Zwecke entscheidet, wird zum Verantwortlichen.
Ist ein Vertrag mit dem Auftragsverarbeiter Pflicht?
Unter der DSGVO ja: Artikel 28 verlangt ausdrücklich einen schriftlichen Auftragsverarbeitungsvertrag mit festgelegtem Inhalt. Nach dem KVKK sind Verantwortlicher und Auftragsverarbeiter für die Datensicherheitsmaßnahmen gemeinsam verantwortlich; ein schriftlicher Vertrag ist der etablierte Weg, die Grenzen dieser Verantwortung festzulegen. Für Websites, die beiden Gesetzen unterliegen, ist ein einziger umfassender Vertrag die praktische Lösung.
Dieser Inhalt dient nur zur Information und stellt keine Rechtsberatung dar.