Auftragsverarbeitungsvertrag
data processing agreement für die nach der Verordnung erforderliche Vereinbarung zwischen Verantwortlichem und Auftragsverarbeiter. Bestimmt der Dienstleister Zwecke und Mittel selbst, wird er zum Verantwortlichen. Im Zweifel entscheidet, wer über Zweck und Mittel der Verarbeitung bestimmt.
Die Verordnung verlangt keinen bestimmten Dokumententyp, sondern einen Vertrag oder ein anderes Rechtsinstrument mit festgelegtem Mindestinhalt. Entscheidend ist die tatsächliche Rollenverteilung, nicht die Bezeichnung im Papier: Wer über Zweck und Mittel mitbestimmt, ist Verantwortlicher, auch wenn der Vertrag ihn Auftragsverarbeiter nennt. Weitere Dienstleister darf der Auftragsverarbeiter nur mit Genehmigung einschalten, und die Kette ist bis zum letzten Glied durchzureichen.
Maßgeblich ist die tatsächliche Rollenverteilung, nicht die Bezeichnung im Vertrag.
Bestimmt der Dienstleister Zwecke und Mittel selbst, wird er zum Verantwortlichen.
Weitere Dienstleister dürfen nur mit Genehmigung eingeschaltet werden, die Kette ist durchzureichen.
Die Verordnung verlangt kein bestimmtes Dokument, sondern einen Vertrag oder ein anderes Rechtsinstrument.
Beauftragt ein Unternehmen einen Cloud-Anbieter, entscheidet die Rollenverteilung über die Pflichten. Steht nur service agreement, fehlt der datenschutzrechtliche Mindestinhalt. Für eine Beschaffungsübersicht nachrangig; bei einer Prüfung fehlt eine erforderliche Vereinbarung.
Auftragsverarbeitungsvertrag trifft eine Maschine mit data processing agreement, was der Praxis entspricht; der Fehler entsteht bei der Rolle. Aus Auftragsverarbeiter wird contractor oder service provider, und die datenschutzrechtliche Zuordnung verschwindet hinter einer Vertragsbezeichnung. Wo Zweck und Mittel genannt sind, klärt es sich; in einer Lieferantenliste fehlt eine Pflicht.
Der Begriffsraum erklärt Sprache, nicht den Einzelfall. Er ersetzt keine Rechtsberatung. Bei rechtlich verbindlichen Dokumenten sollte die Übersetzung fachkundig geprüft werden.