Eine Auftragsverarbeitung gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO) bezieht sich auf das Verhältnis zwischen einem Verantwortlichen und einem Auftragsverarbeiter.

Ein Verantwortlicher ist die Person oder Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Ein Auftragsverarbeiter ist die Person oder Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Im Kontext der DSGVO bedeutet die Auftragsverarbeitung, dass ein Unternehmen oder eine Organisation einen externen Dienstleister beauftragt, bestimmte Aufgaben in Bezug auf die Verarbeitung personenbezogener Daten zu übernehmen. Diese Aufgaben können zum Beispiel IT-Dienstleistungen, die Personalverwaltung, die Kundenverwaltung, das Marketing, das Hosting von Webseiten oder die Cloud-Speicherung umfassen.

Es ist wichtig zu beachten, dass der Auftragsverarbeiter keine Autonomie bezüglich der Zwecke und Mittel der Datenverarbeitung hat und ausschließlich nach den Weisungen des Verantwortlichen handeln muss. Zudem sind beide Parteien verpflichtet, einen schriftlichen Vertrag oder eine andere rechtliche Vereinbarung abzuschließen, die die Pflichten des Auftragsverarbeiters und den Umfang, den Zweck, die Dauer und die Art der Datenverarbeitung festlegt.

Der Auftragsverarbeiter ist auch verpflichtet, angemessene Sicherheitsmaßnahmen zu ergreifen, um die personenbezogenen Daten zu schützen, und muss den Verantwortlichen bei der Einhaltung seiner Pflichten nach der DSGVO unterstützen. Darüber hinaus gelten für den Auftragsverarbeiter bestimmte Pflichten in Bezug auf die Benennung eines Datenschutzbeauftragten und die Meldung von Datenpannen.