Unterauftragsverarbeiter (Sub-Auftragsverarbeiter)
Ein Unterauftragsverarbeiter ist ein Dienstleister, den ein Auftragsverarbeiter seinerseits beauftragt, um personenbezogene Daten im Auftrag des Verantwortlichen zu verarbeiten. Der Einsatz erfordert nach Art. 28 Abs. 2 DSGVO die vorherige schriftliche Genehmigung des ursprünglich Verantwortlichen.
Ausführliche Erklärung
In der Praxis beauftragen Auftragsverarbeiter häufig weitere Dienstleister, um ihre vertraglichen Pflichten zu erfüllen. Wenn ein Cloud-Anbieter beispielsweise ein externes Rechenzentrum nutzt oder ein Buchhaltungsdienstleister Teile der Datenverarbeitung an einen spezialisierten Technologiepartner auslagert, entstehen solche mehrstufigen Auftragsverhältnisse. Diese sogenannten Unterauftragsverarbeitungen sind datenschutzrechtlich zulässig, unterliegen jedoch strengen Vorgaben.
Die Datenschutz-Grundverordnung verlangt für den Einsatz von Unterauftragsverarbeitern zwingend eine vorherige Genehmigung durch den Verantwortlichen. Diese kann entweder gesondert für jeden einzelnen Unterauftragsverarbeiter erteilt werden oder als allgemeine Genehmigung erfolgen. Bei der allgemeinen Genehmigung muss der Auftragsverarbeiter den Verantwortlichen jedoch über jede beabsichtigte Änderung – etwa die Hinzuziehung eines neuen Subunternehmers – informieren und diesem ein Einspruchsrecht gewähren. Entscheidend ist, dass der Auftragsverarbeiter dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt, die ihm selbst vom Verantwortlichen auferlegt wurden.
Eine zentrale Regelung betrifft die Haftung: Der ursprüngliche Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen uneingeschränkt haftbar, auch wenn die Pflichtverletzung tatsächlich beim Unterauftragsverarbeiter liegt. Diese durchgängige Haftungskette soll sicherstellen, dass der Verantwortliche nicht die Kontrolle über die Verarbeitung verliert und seine Rechenschaftspflichten erfüllen kann. In der Vertragspraxis bedeutet dies, dass Auftragsverarbeitungsverträge üblicherweise eine Liste der eingesetzten Unterauftragsverarbeiter enthalten oder zumindest auf einen Ort verweisen, wo diese Liste eingesehen werden kann.
Für KMU ist beim Abschluss von Auftragsverarbeitungsverträgen besonders wichtig zu prüfen, welche Unterauftragsverarbeiter eingesetzt werden, wo diese ansässig sind und ob die datenschutzrechtlichen Garantien auch auf dieser Ebene eingehalten werden. Nicht jeder Dienstleister, den ein Auftragsverarbeiter einsetzt, ist automatisch ein Unterauftragsverarbeiter im rechtlichen Sinne – allgemeine Dienste wie Post oder Telekommunikation, bei denen der Auftragsverarbeiter selbst Zwecke und Mittel festlegt, fallen in der Regel nicht darunter.
Praxisbeispiel
Eine österreichische Steuerberatungskanzlei mit 12 Mitarbeitenden nutzt eine cloudbasierte Buchhaltungssoftware eines deutschen Anbieters als Auftragsverarbeiter. Dieser Anbieter lagert das Hosting der Server wiederum an einen spezialisierten Rechenzentrumsdienstleister aus. Der Rechenzentrumsdienstleister ist in diesem Fall Unterauftragsverarbeiter. Die Kanzlei muss im Auftragsverarbeitungsvertrag prüfen, ob dieser Unterauftragsverarbeiter genannt ist, ob sie dessen Einsatz genehmigt hat und ob dieser denselben Datenschutzstandards unterliegt wie der Hauptdienstleister.
Quellen
Diese Definition verlinken
Sie dürfen diese Definition gern zitieren oder verlinken — mit Quellenangabe.
„Unterauftragsverarbeiter (Sub-Auftragsverarbeiter)“ — Definition im Strukturaflow IT Glossar: https://begriffe.strukturaflow.com/begriff/unterauftragsverarbeiter <a href="https://begriffe.strukturaflow.com/begriff/unterauftragsverarbeiter">Unterauftragsverarbeiter (Sub-Auftragsverarbeiter)</a> — Definition im Strukturaflow IT Glossar