Menü
header-image

Rechtsgebiete/Datenschutz - DSGVO/Beispiele Auftragsverarbeitung

Die Beauftragung Dritter nach der DSGVO

Wie ist die Beauftragung und Einbeziehung weiterer Verarbeiter von personenbezogenen Daten nach der DSGVO rechtlich hinsichtlich der Figur des Auftragsverarbeiters einzustufen und welche objektiven Kriterien können für eine eindeutige und klare Abgrenzung herangezogen werden. Eine aktuelle Übersicht zur Abgrenzung von Auftragsverarbeitung zur Datenübermittlung an Dritte.

Ausgangslage

Auftragsverarbeiter ist nach Artikel 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Dabei bleibt der Verantwortliche alleiniger Verantwortlicher der Verarbeitung.

Nach der gesetzlichen Definition gilt:

Auftragsverarbeiter ist nach Artikel 4 Nr. 8. DSGVO und Artikel 29 DSGVO derjenige, der personenbezogene Daten in funktioneller und tatsächlicher Hinsicht im Auftrag und nach Weisung des Verantwortlichen verarbeitet.

Diese Definition erscheint in der Praxis jedoch vielfach zu unscharf.

Voraussetzung für das Vorliegen eines Auftragsverarbeitungsverhältnisses soll daher nach Auffassung der DSK sein, ob der Verantwortliche im Verhältnis zum Beauftragten in funktionaler Hinsicht allein über die Mittel und Zwecke der Verarbeitung personenbezogener Daten entscheidet.[1]

Beauftragter in diesem Sinne ist dabei nur derjenige, der nicht der unmittelbaren und direkten Weisungsbefugnis des Verantwortlichen untersteht, wie zum Beispiel ein Mitarbeiter oder Beschäftigter.

Allerdings oder besser andererseits sollen gewisse eigenverantwortliche Entscheidungsspielräume eines Beauftragten bezüglich der Mittel der Verarbeitung, also bezüglich technisch-organisatorischer Fragen, das Vorliegen einer Auftragsverarbeitung nicht ausschließen.

Eine Auftragsverarbeitung soll damit allerdings dann nicht mehr anzunehmen sein, wenn eine Inanspruchnahme fremder Fachleistungen bei einem eigenständig tätigen Verantwortlichen vorliegt, in deren Rahmen dem Beauftragten personenbezogene Daten übermittelt werden.[2]

Es ist den Ausführungen der DSK an dieser Stelle zunächst nicht so eindeutig zu entnehmen, was mit dem Kriterium „Inanspruchnahme fremder Fachleistungen“ gemeint sein soll. Die Inanspruchnahme fremder Fachleistungen wird nämlich in vielen oder den meisten der Fälle der Beauftragung eines Dritten gegeben sein. Dieses Kriterium ist jedoch nach Auffassung des LDA Bayern so zu verstehen, dass keine Auftragsverarbeitung vorliegt, wenn die Inanspruchnahme fremder Fachleistungen im Vordergrund steht und die damit einhergehende Datenverarbeitung eher nebensächlich und nicht die Kerntätigkeit der Beauftragung darstellt.

„Auftragsverarbeitung im datenschutzrechtlichen Sinne liegt nur in Fällen vor, in denen eine Stelle von einer anderen Stelle im Schwerpunkt mit der Verarbeitung personenbezogener Daten beauftragt wird.

Die Beauftragung mit fachlichen Dienstleistungen anderer Art, d. h., mit Dienstleistungen, bei denen nicht die Datenverarbeitung im Vordergrund steht bzw. bei denen die Datenverarbeitung nicht zumindest einen wichtigen (Kern-)Bestandteil ausmacht, stellt keine Auftragsverarbeitung im datenschutzrechtlichen Sinne dar.“ [3]

Zur Abgrenzung bzw. zur Beurteilung, ob eine Auftragsverarbeitung vorliegt, können damit insgesamt nachfolgende (erweiterte) Kriterien herangezogen werden, wobei die Kriterien nicht kumulativ zutreffen müssen:

  • Entscheidung über die Zwecke und wesentlichen Mittel der Verarbeitung
  • Erbringung einer fremden Fachleistung steht im Vordergrund
  • Datenverarbeitung ist nur untergeordneter Nebenzweck der Beauftragung
  • Im Kern zielt der Auftrag auf eine andere Tätigkeit als die Verarbeitung der Daten
  • Die Datenverarbeitung stellt keinen wichtigen Bestandteil der Beauftragung dar.
  • Keine Datennutzung zu anderweitigen Zwecken
  • Keine Verknüpfung mit anderen Daten
  • Kein eigenständiges Auftreten des Beauftragten nach außen hin
  • Keine vertragliche Beziehung zwischen Beauftragtem und Betroffenen

 

Die Kriterien sind dabei wie folgt zu bewerten:

Kriterium; spricht für …

Auftragsverarbeitung

eigene Verantwortlichkeit des Beauftragten

Entscheidung über die Zwecke und wesentlichen Mittel der Verarbeitung liegt bei dem …

Auftraggeber.

Beauftragten.

Erbringung einer fremden Fachleistung steht …

nicht im Vordergrund.

im Vordergrund.

Datenverarbeitung ist …

kein untergeordneter Nebenzweck der Beauftragung.

nur untergeordneter Nebenzweck der Beauftragung.

Kern der beauftragten Tätigkeit zielt auf eine …

Verarbeitung personenbezogener Daten.

andere Tätigkeit als die Verarbeitung personenbezogener Daten.

Die Datenverarbeitung stellt einen …

wichtigen Bestandteil der Beauftragung dar.

nicht wichtigen Bestandteil der Beauftragung dar.

Eine Datenverarbeitung zu auch anderen (eigenen) Zwecken des Beauftragten …

 

erfolgt nicht.

erfolgt.

Eine Verknüpfung der personenbezogenen Daten durch den Beauftragten mit Daten aus anderen Quellen …

findet nicht statt.

findet statt.

Ein eigenständiges Auftreten des Beauftragten nach Außen hin …

findet nicht statt.

findet statt.

Eine direkte vertragliche Beziehung zwischen dem Beauftragten und dem Betroffenen …

besteht nicht.

besteht.

 

Konkrete Beispiele

Wartung und Fernzugriffe bei IT-Anlagen mit Datenzugriff

Besteht im Rahmen eines solchen Wartungsvertrages die Möglichkeit oder Notwendigkeit, dass der Beauftragte Zugriff auf die auf den IT-Anlagen befindlichen Daten hat, dann soll nach Auffassung der DSK eine Auftragsverarbeitung vorliegen.[4] Denn aufgrund der umfassenden Definition des Verarbeitungsbegriffes (z.B. Auslesen, Einschränken, Verändern, Vernichten, Löschen) nach Artikel 4 Nr. 2 DSGVO handele es sich in diesem Fall um eine Form oder Teiltätigkeit einer Auftragsverarbeitung. Das sei auch dann der Fall, wenn ein Zugriff des Beauftragten auf personenbezogene Daten nicht ausgeschlossen werden könne.[5] Ob eine Inanspruchnahme einer fremden Fachleistung insofern eine entscheidungserhebliche Rolle spielt, wird von der DSK nicht thematisiert.

Wartung und Fernzugriff ohne Datenzugriff

Bei einer rein technischen Wartung von Anlagen oder Geräten (z.B. an der Stromzufuhr, Heizung, Kühlung) soll keine Auftragsverarbeitung vorliegen (DSK-KP 13, Anhang B).

Lohn- und Gehaltsabrechnungen, Finanzbuchhaltung

Bei DV-technische Arbeiten für die Lohn- und Gehaltsabrechnungen oder die Finanzbuchhaltung durch Rechenzentren soll es sich um Auftragsverarbeitungen handeln (DSK-KP 13, Anhang A). Dies gilt auch für die Erbringung solcher Leistungen durch externe Dienstleister, die nicht Steuerberater sind (LDA Bayern, Handreichungen für KMU; LDA Bayern, FAQ-Liste zur DS-GVO vom 20.07.2018).

Personalverwaltung durch Steuerberater

Kümmert sich der Steuerberater komplett um die Personalverwaltung soll es sich nicht um eine Auftragsverarbeitung handeln (LDA Bayern, Handreichungen für KMU).

Steuerberatung durch Steuerberater

Bei Dienstleistungen eines Steuerberaters soll in der Regel wegen der Inanspruchnahme fremder Fachleistungen keine Auftragsverarbeitung vorliegen, sondern eine Datenübermittlung an einen Dritten (DSK-KP 13, Anhang B).

Buchhaltung durch Steuerberater

Bei der Durchführung der Finanzbuchhaltung und der Lohnbuchhaltung durch einen Steuerberater soll es sich im Verhältnis zum Steuerpflichtigen nicht um eine Auftragsverarbeitung handeln (LDA Bayern, Handreichungen für KMU).

Buchungen durch Buchhaltungsbüro  

Bei Dienstleistungen eines Buchhaltungsbüros (Lohnbuchhaltung bzw. Finanzbuchhaltung) soll eine Auftragsverarbeitung vorliegen. Ob es sich bei dieser Dienstleistung um fremde Fachleistungen handelt, wird nicht weiter vertieft (LDA Bayern, Handreichungen für KMU). Meines Erachtens ist die Verarbeitung der Buchungs-Datensätze zwar ein wesentlicher Kern der Tätigkeit. Die dabei stattfindende Verarbeitung personenbezogener Daten stellt aber nur eine untergeordnete Tätigkeit dar. Im Wesentlichen geht es bei der Buchhaltung darum, Zahlungsvorgänge einer bestimmten Kategorie zuzuordnen sowie Steuern, Beiträge und Abgaben richtig zu berechnen. Die Einstufung als Auftragsverarbeitung erscheint daher im Ergebnis zweifelhaft.

Rechtsanwälte, externe Betriebsärzte und Wirtschaftsprüfer

Die Beauftragung dieses Personenkreises (Berufsgeheimnisträger) soll in der Regel nicht zu einem Auftragsverarbeitungsverhältnis führen, weil die Erbringung einer fremdem Fachleistung im Vordergrund steht (DSK-KP 13, Anhang B).

Externer Datenschutzbeauftragter

Externe Datenschutzbeauftragte sind nach der DSGVO und dem BDSG zur Verschwiegenheit verpflichtet. Ihnen steht auch ein Zeugnisverweigerungsrecht zu. Die Beauftragung eines externen Datenschutzbeauftragten stellt primär eine Inanspruchnahme fremder Fachleistungen dar. Insofern liegt kein Auftragsverarbeitungsverhältnis vor.

Insolvenzverwalter

Die Tätigkeit als Insolvenzverwalter ist keine Auftragsverarbeitung, sondern primär eine Inanspruchnahme fremder Fachleistungen bei eigener Verantwortlichkeit des Beauftragten (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Externer Betriebsarzt

Die Tätigkeit als externer Betriebsarzt ist gegenüber dem Arbeitgeber keine Auftragsverarbeitung, sondern primär eine Inanspruchnahme fremder Fachleistungen bei eigener Verantwortlichkeit des Beauftragten (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Personalvermittlung nach Auftrag

Personalvermittlung nach Auftrag von Stellensuchenden oder Arbeitgebern ist keine Auftragsverarbeitung, sondern eine Inanspruchnahme einer fremden Fachleistung bei einem eigenständig Verantwortlichen (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Cloud Computing

Die Verarbeitung von personenbezogenen Daten in einer Cloud, ohne dass ein inhaltlicher Datenzugriff des Cloudbetreibers erforderlich ist, stellt eine Auftragsverarbeitung dar (DSK-KP 13, Anhang A; LDA-Bayern, FAQ-Liste vom 20.07.2018).

TKG-Dienstleistungen

Reine TKG-Dienstleistungen stellen keine Auftragsverarbeitung dar, sondern eine Inanspruchnahme einer fremden Fachleistung (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Auslagerung von Datenverwaltungen

Die Auslagerung von Diensten zur Datenverwaltung (z.B. eMail-Adressbuch-Verwaltung, eMail-Archivierung, Betreuung von Kontaktformularen oder Beantwortung von Nutzeranfragen) stellt eine Auftragsverarbeitung dar (DSK-KP 13, Anhang A; LDA-Bayern, FAQ-Liste vom 20.07.2018).

Auslagerung von Dienstreisen-Services

Auch die Auslagerung der Planung von Dienstleistungen und die Erstellung von Reisekostenabrechnungen durch einen Beauftragten soll eine Auftragsdatenverarbeitung darstellen (DSK-KP 13, Anhang A).

Handwerkereinsätze, Reinigungsdienstleistungen

Der Einsatz von Handwerkern und Reinigungsdiensten im Unternehmen des Auftraggebers stellt keine Auftragsverarbeitung dar, weil der Auftrag im Kern nicht auf eine Datenverarbeitung gerichtet ist (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Inkassodienstleistungen mit Factoring

Der Forderungseinzug durch Inkassodienstleister mit (echtem) Forderungsübergang (Factoring) stellt keine Auftragsverarbeitung dar. Hier verliert der Auftraggeber mit dem Factoring allerdings wohl auch die Weisungsbefugnis (DSK-KP 13, Anhang B). Es liegt eine eigene Verantwortlichkeit vor.

Inkassodienstleistungen ohne Factoring

Im Umkehrschluss könnte bei einen Forderungseinzug durch Inkassobeauftragte ohne (echtes) Factoring eine Auftragsverarbeitung vorliegen. Ob die Ausführung fremder Fachleistungen bei der Beurteilung eine Rolle spielt, ist nicht ersichtlich. Zu beachten ist, dass im Rahmen eines Vollstreckungsverfahrens dem Gläubiger in aller Regel auch sensible personenbezogene Daten des Schuldners zum Vermögensstatus, Personenstand, u.a. bekannt werden.

Verrechnungstelle für Ärzte oder Zahnärzte

Bei einer Verarbeitung von personenbezogenen Daten durch eine Verrechnungsstelle liegt eine Auftragsverarbeitung vor (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Apothekenrechenzentrum

Die Tätigkeit eines Apothekenrechenzentrums nach § 300 SGV V stellt eine Auftragsverarbeitung dar (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Geldtransfer durch Banken oder Sparkassen

Bei einer Verarbeitung von personenbezogenen Daten durch ein Bankinstitut für den Geldtransfer (Überweisung, Lastschrift, u.a.) soll wegen der Inanspruchnahme fremder Fachleistungen keine Auftragsverarbeitung vorliegen (DSK-KP 13, Anhang B).

Zahlungsdienstleister, Zahlungsdienstleistungen

Die Erbringung von Dienstleistungen für elektronische Zahlungen (Transport von Zahlungsdaten, Geldwäsche- und Betrugsprüfung) stellt keine Auftragsverarbeitung dar, sondern eine fremde, eigenverantwortliche Fachleistung (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Verarbeitung von Werbeadressen in einem Lettershop

Das Verarbeiten von Adresslisten für die Adressierung und den Ausdruck von Werbeschreiben an Inserenten soll eine Auftragsverarbeitung sein (DSK-KP 13, Anhang A; LDA-Bayern, FAQ-Liste vom 20.07.2018).

Postdienste für den Brieftransport oder Paketdienste

Das (automatisierte) Verarbeiten von Adressen auf Postsendungen durch Postdienste für den Brieftransport soll keine Auftragsverarbeitung darstellen. Begründet wird dies damit, dass eine Inanspruchnahme fremder Fachleistungen vorliegt (DSK-KP 13, Anhang B).

Transport- oder Kurierdienste

Der Transport von Waren oder Unterlagen durch Kuriere, Speditionen, Zeitungsausträger u.a. stellt keine Auftragsverarbeitung dar.  Die Datenverarbeitung ist nur untergeordneter Nebenzweck, der Auftrag im Kern nicht auf Datenverarbeitung gerichtet. (LDA-Bayern, FAQ-Liste vom 20.07.2018)

Betriebskostenabrechnung, Heizkostenabrechnung

Bei der Erstellung von Betriebskostenabrechnungen oder Heizkostenabrechnungen durch externe Dienstleister handelt es sich um Auftragsverarbeitungen.

Ableseservice

Die Tätigkeit von Dienstleistern, die im Auftrag Messwerte in Mietwohnungen ablesen (Strom, Heizung, Wasser) ablesen und/oder erfassen bzw. verarbeiten, ist eine Auftragsverarbeitung (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Tätigkeit als WEG-Verwalter

Die Tätigkeit eines WEG-Verwalters stellt im Verhältnis zu der Eigentümergemeinschaft keine Auftragsverarbeitung dar. Es liegt eine eigene Verantwortlichkeit vor (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Handwerkerleistungen im Fremdauftrag

Die Erbringung von Handerkerleistungen bei Kunden oder Vertragspartnern des Auftraggebers stellt keine Auftragsverarbeitung dar, sondern eine im Kern nicht auf eine Datenverarbeitung gerichtete Tätigkeit dar (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Tätigkeit als Detektiv

Die Tätigkeit eines Detektives stellt keine Auftragsverarbeitung dar. Es liegt eine eigene Verantwortlichkeit vor (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Tätigkeit als Dolmetscher

Die Tätigkeit eines Übersetzers oder Dolmetschers stellt keine Auftragsverarbeitung dar. Die Datenverarbeitung ist nur eine untergeordnete Nebentätigkeit (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Schadensgutachten

Das Erstellen von Schadensgutachten durch Sachverständige stellt keine Auftragsverarbeitung dar, weil der Auftrag im Kern nicht auf eine Verarbeitung personenbezogener Daten gerichtet ist (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Datenerfassung, Datenkonvertierung

Das Erfassen von Daten (z.B. das Einscannen von Dokumenten) oder die Konvertierung von Datenbeständen durch einen Beauftragten stellt eine Auftragsverarbeitung dar (DSK-KP 13, Anhang A; LDA-Bayern, FAQ-Liste vom 20.07.2018).

Backup- oder Archivdienstleistungen

Das Auslagern von Backupdienstleistungen und -speichern ebenso wie Dienstleistungen im Bereich der Datenarchivierung an Beauftragte stellt eine Auftragsverarbeitung dar (DSK-KP 13, Anhang A; LDA-Bayern, FAQ-Liste vom 20.07.2018).

Entsorgungsleistungen

Das Entsorgen von Datenspeichern, Datenträgern oder Datensammlungen durch einen Beauftragten stellt eine Auftragsverarbeitung dar (DSK-KP 13, Anhang A; LDA-Bayern, FAQ-Liste vom 20.07.2018).

Entsorgungstransporte

Der Transport von bereits vernichteten Datenspeichern oder Datensammlungen durch einen Beauftragten stellt keine Auftragsverarbeitung dar. Im Kern zielt der Auftrag nicht auf eine Datenverarbeitung (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Entsorgungstransporte II

Der Transport von versiegelten Datenspeichern oder Datensammlungen durch einen Beauftragten könnte je nach den Umständen des Einzelfalles eine Auftragsverarbeitung darstellen. Entscheidend könnte sein, unter welchen Bedingungen ein Zugriff auf die Daten möglich wäre.

Callcenter ohne Entscheidungsbefugnis

Die Überlassung von Telefonlisten an ein Callcenter zur Durchführung von Anrufen mit genauen Anweisungen zur Art der Kontaktaufnahme stellt eine Auftragsverarbeitung dar (DSK-KP 13, Anhang A; LDA-Bayern, FAQ-Liste vom 20.07.2018).

Callcenter mit Entscheidungsbefugnis

Die Überlassung von Telefonlisten an ein Callcenter mit der Befugnis, diese Listen mit anderen Datenquellen oder Informationen abzugleichen und aufgrund dieser Erkenntnisse zu entscheiden, welche Telefonnummern angerufen werden, stellt somit im Umkehrschluss keine Auftragsverarbeitung dar.

Telekommunikations-Dienstleistungen

Die Erbringung von Telekommunikationsdienstleistungen unterfällt nicht den Bestimmungen der DSGVO, es liegt daher auch keine Auftragsverarbeitung im Sinne der DSGVO vor.

Hosting statischer Webseiten

Bei dem Hosten einer statischen Webseite, also von Internetseiten auf denen keine Interaktionen mit den Besuchern stattfindet (reine Infoseite) und auch abgesehen von der IP-Adresse keine weiteren personenbezogenen Daten erfasst werden, soll keine Auftragsverarbeitung vorliegen, denn der Webhoster erbringt in diesem Fall reine Telekommunikationsdienstleistungen (LDA Bayern, Handreichungen für KMU).

Hosting dynamischer Webseiten

Beim Hosting „dynamischer Webseiten“, wenn also Kontaktformulare oder andere Inhaltselemente Verwendung finden und von dem Hoster für den Betreiber der Internetseiten ausgewertet werden, liegt eine Auftragsverarbeitung vor (LDA Bayern, Handreichungen für KMU).

Auslagerung eMail-Verwaltung oder Datendienste

Auslagerung der eMail-Verwaltung oder sonstigen Datendiensten zu Webseiten (Dienstleistern) (z.B. Betreuung von Kontaktformularen oder Nutzeranfragen) (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Online Shop über Hostingpaket

Die Erbringung der Hosting-Dienstleistungen mit einem Shopsystem oder für ein Shopsystem stellt eine Auftragsverarbeitung dar (LDA Bayern, Handreichungen für KMU).

Betrieb einer Webseite für Zahlungsdienste

Bei dem Hosten einer Webseite für eine Bank oder einen sonstigen Dienstleister der Zahlungsdienste mit Kontoführungsfunktionen auf seiner Webseite anbietet, liegt eine Auftragsverarbeitung vor (LDA Bayern, Handreichungen für KMU).

Betrieb einer Internet-Kontaktplattform

Ein Internet-Plattformbetreiber, der zwischen Anbietern und Nachfragern, die sich auf der Plattform treffen können, vermittelt, ist kein Auftragsverarbeiter, weil primär eine Inanspruchnahme fremder Fachleistungen bei eigener Verantwortlichkeit des Betreibers vorliegt (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Betreuung von Webseiten

Bei der Betreuung von dynamischen Webseiten für Unternehmen durch einen Webseitenbetreuer handelt es sich um eine Auftragsverarbeitung (LDA Bayern, Handreichungen für KMU).

Einschaltung eines Zulieferers für Waren

Bei der Beauftragung eines Subunternehmers für die Zulieferung von Waren oder die Herstellung von Teillieferungen, handelt es sich nicht um eine Auftragsverarbeitung, wenn die Herstellung des zugelieferten Teils (Maschine, Anlage, Halbzeug) als fremde Fachleistung im Vordergrund steht und eine dabei stattfindende Datenverarbeitung nur eine untergeordnete Nebenleistung darstellt.

Medizintechnische individuelle Fertigung

Die Fertigung individueller medizinischer Hilfsmittel, Produkte und Prothesen für Patienten/Kunden im Auftrag von Ärzten, Zahnärzten, Apotheken, Sanitätshäusern, Krankenhäusern, etc. ist keine Auftragsverarbeitung, sondern eine fremde, eigenverantwortliche Fachleistung (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Untersuchung von Proben, Labordienstleistungen

Die Untersuchung von Materialproben durch technische oder medizintechnische Labore im Auftrag für Kunden eines Dritten, auch Patienten, ist keine Auftragsverarbeitung, sondern eine fremde, eigenverantwortliche Fachleistung (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Krankentransporte, Personenbeförderung

Krankentransporte oder Personenbeförderungen von Personen im Auftrag eines Dritten stellen keine für den Beförderer keine Auftragsverarbeitung dar, weil im Kern keine Datenverarbeitung mit dem Auftrag verbunden ist (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Direktlieferung an Endkunden

Eine Direkt-Lieferung von Waren an Endkunden eines Einzelhändlers durch den Hersteller oder einen Großhändler stellt keine Auftragsverarbeitung dar (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Bewachungsdienstleistungen

Bewachungsdienstleistungen stellen keine Auftragsverarbeitung dar (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Sicherheits- und Pförtnerdienstleistungen

Sicherheits- und Pförtnerdienste, bei denen die Daten von Besuchern oder Lieferanten erfasst werden, stellen eine Auftragsverarbeitung dar (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Versicherungs-/Finanzmakler oder -vermittler

Versicherungsvermittlung oder Finanzplanung im Rahmen eines Kundenauftrages ist keine Auftragsverarbeitung, sondern eine fremde, eigenverantwortliche Fachleistung (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Handelsvertreter

Die Beratung bei und Vermittlung von Handelsgeschäften ist keine Auftragsverarbeitung, sondern eine fremde, eigenverantwortliche Fachleistung (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Vermittlung von Reiseleistungen

Die Vermittlung von Leistungsanbietern an Kunden durch Reisebüros im Kundenauftrag (Hotels, Mietwagenfirmen, Fluggesellschaften, Busunternehmen, usw.) ist keine Auftragsverarbeitung, sondern eine fremde, eigenverantwortliche Fachleistung (LDA-Bayern, FAQ-Liste vom 20.07.2018).

Durchführung von Schulungen, Schulungs-Dienstleistungen

Die Nutzung der Daten von Schulungsteilnehmern durch den Dozenten, den Schulungsveranstalter oder das Schulungshotel zur Durchführung einer Schulung ist keine Auftragsverarbeitung, sondern eine fremde, eigenverantwortliche Fachleistung (LDA-Bayern, FAQ-Liste vom 20.07.2018).


[1] DSK-Kurzpapier Nr. 13, Seite 1    

[2] DSK-Kurzpapier Nr. 13, Anhang B

[3] LDA Bayern, FAQ-Liste zu DS-GVO vom 20.07.2018

[4] DSK-Kurzpapier Nr. 13, Seite 3

[5] DSK-Kurzpapier Nr. 13, Anhang A