Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Vorschrift der DSGVO, die das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter regelt. Sie verpflichtet zur sorgfältigen Auswahl, schreibt einen Vertrag mit festem Mindestinhalt vor und bestimmt, wann ein Dienstleister selbst zum Verantwortlichen wird.
Abs. 1 verlangt, nur Auftragsverarbeiter einzusetzen, die hinreichende Garantien bieten. Abs. 2 und 4 regeln Unterauftragsverarbeiter. Abs. 3 enthält die Pflichtinhalte des Vertrags. Abs. 9 verlangt Schriftform einschließlich der elektronischen Form. Abs. 10 bestimmt, dass ein Auftragsverarbeiter, der eigene Zwecke oder Mittel festlegt, für diese Verarbeitung selbst Verantwortlicher ist.
Art. 28 setzt Weisungsgebundenheit voraus. Legen beide Seiten Zwecke oder Mittel gemeinsam fest, liegt gemeinsame Verantwortlichkeit nach Art. 26 vor und es wird eine andere Vereinbarung geschlossen. Der Gerichtshof hat diese Abgrenzung in den Entscheidungen C-210/16 und C-40/17 konkretisiert.
Ein Dienstleister, der Kundendaten zur Verbesserung eigener Produkte auswertet, verlässt damit die Auftragsverarbeitung, unabhängig davon, was der Vertrag sagt. Er braucht dann eine eigene Rechtsgrundlage.
Art. 28 setzt Weisungsgebundenheit voraus. Bei gemeinsamer Festlegung von Zwecken oder Mitteln greift Art. 26.
Nach Abs. 10 wird er für diese Verarbeitung selbst Verantwortlicher und braucht eine eigene Rechtsgrundlage, unabhängig vom Vertragstext.
.svg){kind=icon}