DSGVO: Wann liegt eine Auftragsdatenverarbeitung im Onlinehandel vor?

Auch über ein halbes Jahr nach Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) sind noch nicht alle Fragen (gerichtlich) geklärt.

Aus diesem Grund veröffentlichen Landesdatenschutzbehörden Kurzmitteilungen, in denen sie eine (politische) Orientierung bei der Beantwortung dringender Fragen geben. So auch das bayerische Landesamt für Datenschutzaufsicht zu der Frage, wann eine Auftragsverarbeitung vorliegt.

Was ist eine Auftrags(daten)verarbeitung?

Die Regelung des Art. 28 DSGVO wirft besonders im Onlinehandel die entscheidende Frage auf, wann eine Auftragsverarbeitung vorliegt und wann nicht. Von Bedeutung ist diese Vorschrift für die Verantwortlichkeit und Haftung bei Datenschutzverstößen, weil gerade im Onlinehandel eine Vielzahl von personenbezogenen Daten erhoben und verarbeitet wird. 

Voraussetzung für eine Auftragsverarbeitung ist grundsätzlich ein entsprechender Vertrag zwischen dem Verantwortlichen und Auftragsverarbeiter, vgl. Art. 28 Abs. 3 DSGVO. Das bayerische Landesamt für Datenschutzaufsicht hat sich nunmehr dazu geäußert, wann ein solcher Vertrag – wenn auch nicht ausdrücklich geschlossen – vorliegt.

Zunächst stellt das bayerische Landesamt klar, dass eine Auftragsverarbeitung im Sinne der DSGVO vorliegt, wenn ein Vertragspartner dem anderen im Schwerpunkt mit der Verarbeitung personenbezogener Daten beauftragt. Dies ist im Umkehrschluss bei Dienstleistungen dann nicht der Fall, bei denen die Datenverarbeitung nicht einen wichtigen (Kern-)Bestandteil ausmacht.

Dies ist keine Auftrags(daten)verarbeitung

Das vorausgeschickt, nimmt das bayerische Landesamt an, dass keine Auftragsverarbeitung im Sinne von Art. 4 Nr. 8 DSGVO bei Postdiensten für den Brief- und Pakettransport vorliegt. Eine Verantwortlichkeit der Onlinehändler besteht daher nicht.

Und auch bei der beauftragten Warenzusendung liegt keine Auftragsverarbeitung vor. Der Onlinehändler selbst liefert die bestellte Ware nämlich nicht aus, sondern ein von ihm beauftragter Dritter. Konkret geht es nach Ansicht des bayerischen Landesamts um Hersteller und Großhändler, die vom Einzelhändler zum Zwecke der Vertragserfüllung (Direktlieferung an den Kunden) die Endkundenadressen erhalten. Als praktisches Beispiel kann man hier die Onlineplattform Amazon anführen.

Hier werden Daten im Auftrag verarbeitet

Im Alltag treffen wir besonders beim Outsourcing von Arbeitsprozessen auf eine Auftragsverarbeitung gemäß Art. 28 DSGVO. Beispiele für Auftragsverarbeiter sind etwa ein externes Lohnbuchhaltungsbüro und Callcenter zur Kundenbetreuung.

Gerade im Online-Marketing fällt hierunter auch Google Analytics zur Auswertung und Analyse von Webseiten und die Benutzung von MailChimp zum Versenden von Newslettern. Keine Auftragsverarbeitung liegt dagegen bei E-Mail-Providern vor, die nur die E-Mail-Übermittlung sicherstellen und selbst keine weiteren Funktionen, die der Datenverarbeitung bedürfen, anbieten.

Genaue Differenzierung ist gefragt

Schwierig und noch umstritten ist die Beurteilung der Frage nach einer Auftragsdatenverarbeitung bei Dienstleistern, die lediglich Wartungsarbeiten an einem Programm durchführen und dabei den Zugriff auf personenbezogene Daten des Auftraggebers an sich gar nicht benötigen. Während die Befürworter darauf abstellen, dass der Dienstleister schon die Möglichkeit erhält, auf personenbezogene Daten zuzugreifen, verneinen die Gegner eine Auftragsverarbeitung nach Art. 28 DSGVO. Zur Begründung wird der Wortlaut des Art. 4 Nr. 2 DSGVO angeführt. Letztendlich ist es nur konsequent, sich wie die letztgenannte Ansicht, auf die Vorschriften der DSGVO zu stützen, denn mit der Wartung automatisierter Verfahren oder Datenverarbeitungsanlagen zielt der Dienstleister gerade nicht auf eine Datenverarbeitung ab. Die Möglichkeit der Kenntnisnahme der Daten reicht schon dem Wortlaut nach nicht aus. 

Zur Beantwortung der Frage, ob nun eine Auftragsdatenverarbeitung vorliegt oder nicht, ist bei der konkreten Dienstleistung stets zu prüfen, ob eine Inanspruchnahme von fremden Fachleistungen vorliegt. Im Zweifel sollten Sie sich jedoch absichern und einen entsprechenden Vertrag mit dem Vertragspartner und Leistungserbringer abschließen.