Auftragsverarbeitung, Joint Controlling oder doch Funtionsübertragung?
Nicht nur nach meiner EInschätzung ist die klassische Auftrags(-daten)verarbeitung (Art. 28 DSGVO) von anderen Konstellationen wie die gemeinsame Verantwortlichkeit (Art. 26 DSGVO) oder eben Controlling-Controlling abgelöst worden. Die letzte Konstellation ergibt sich wohl aus Art. 6 DSGVO mit all ihren Varianten (z.B. zur Vertragserfüllung oder aufgrund überwiegender berechtigter Interessen).
Um dies bewerten und das Ergebnis entsprechend dokumentieren (Art. 5 DSGVO) zu können, habe ich folgenden Check entwickelt. Auftragsverarbeitung_JC_DÜ_Checkv02
| Ziffer | Fragen | Antwort | Erklärung |
| 1. | Liegt Auftragsverarbeitung vor? | ||
| Handelt es sich bei der Tätigkeit um keine Dienstleistung eines Berufgeheimnisträgers (z.B. Steuerberater, Rechtsanwalt)? | Bei der Beauftragung von Berufgeheimnisträgern handelt es sich unabhängig des Service um Art. 28 DSGVO | ||
| Was ist die Hauptdienstleistung? | |||
| Was sind ggf. Nebendienstleistungen? (z.B. Support oder Speichern von Daten, weil diese in der Software gespeichert werden, oder Wartung von IT-Systemen ) | |||
| Der Dienstleister verarbeitet die Daten nur, weil er sie zur Durchführung der Hauptdienstleistung benötigt? | Z.B. ja, wenn man dem Versender die Adressdaten des Empfängers übergibt, da er sonst nicht versenden kann | ||
| Wenn in beiden Fällen „ja“ angekreuzt wurde, liegt keine Auftragsverarbeitung iSd Art. 28 DSGVO vor | |||
| Wenn Ziffer 1. = keine Auftragsverarbeitung, NUR dann weiter zu 2. | |||
| 2. | Liegt Joint Controlling vor? Wichtigste Voraussetzung: Beide Parteien brauchen die Daten für ihre gemeinsamen Zwecke = keine Verarbeitung zu eigenen Zwecken | ||
| Gibt es gemeinsame Zwecke zur Datenverarbeitung zwischen beiden Parteien? | Z.B. gemeinsame Konzern-Werbemaßnahmen, Sicherstellung des Hausrechts von gemeinsam genutzten Räumlichkeiten, Analyse von IP-Adressen, Betreiben einer Fanpage bei facebook | ||
| Wenn ja, welche? | |||
| Gibt es gemeinsame Mittel (Datenverarbeitung) zwischen beiden Parteien? | Z.B. (analog zu den Zwecken oben) gemeinsame Nutzung einer Konzern-Kundendatenbank, gemeinsame Videoüberwachung, Speicherung der IP-Adressen für beide Parteien, gemeinsame Nutzung der Daten auf der Facebook-Seite | ||
| Wenn ja, welche? | |||
| Wenn in beiden Fällen „nein“ angekreuzt wurde, liegt kein Joint Controlling iSd Art. 26 DSGVO vor | |||
| 3. | Wenn Ziffer 1. und 2. nicht vorliegen, dann liegt Funktionsübertragung vor Þ Kein Vertrag notwendig | ||
| Legal Statement: | |||
| Datum: | Name/Funktion: | ||
Stephanie Iraschko-Luscher
MGDS – Ihr Partner für Datenschutz in Hamburg
