Wenn Ihr Unternehmen personenbezogene Daten im Auftrag eines anderen Unternehmens verarbeitet, sind Sie Auftragsverarbeiter im Sinne der DSGVO. Als Auftragsverarbeiter haben Sie eine eigenständige Pflicht: Sie müssen ein eigenes Verzeichnis von Verarbeitungstätigkeiten (VVT) führen. Art. 30 Abs. 2 DSGVO regelt diese Pflicht explizit und unabhängig von der Pflicht des Verantwortlichen.
Unter einem Verzeichnis von Verarbeitungstätigkeiten (VVT) für Auftragsverarbeiter versteht man eine detaillierte Dokumentation aller Kategorien von Verarbeitungstätigkeiten, die ein Auftragsverarbeiter im Auftrag eines Verantwortlichen durchführt, gemäß den Anforderungen von Art. 30 Abs. 2 DSGVO.
Den vollständigen Überblick über das VVT — inklusive aller Pflichtfelder und Ausnahmen — finden Sie in unserem Hauptartikel: VVT DSGVO — vollständige Übersicht. Zu Sonderfällen beim Betriebsrat lesen Sie: VVT und Betriebsrat.
Wer ist Auftragsverarbeiter nach DSGVO?
Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Typische Beispiele:
- IT-Dienstleister — Server-Hosting, Cloud-Services, Software as a Service
- Steuerberater und Lohnbuchhaltungs-Dienstleister — die Mitarbeiterdaten des Mandanten verarbeiten
- Callcenter — die im Auftrag des Auftraggebers Kundenanfragen bearbeiten
- Marketingagenturen — die Kundenlisten für Newsletter-Versand nutzen
- Rechenzentren und Colocation-Anbieter — die physische Infrastruktur bereitstellen, auf der personenbezogene Daten gespeichert werden
Entscheidend ist: Der Auftragsverarbeiter handelt nach Weisung des Verantwortlichen. Er bestimmt weder Zwecke noch wesentliche Mittel der Verarbeitung eigenständig — das ist Sache des Verantwortlichen.
Inhalt des VVT für Auftragsverarbeiter nach Art. 30 Abs. 2 DSGVO
Gemäß Art. 30 Abs. 2 DSGVO muss das Verzeichnis des Auftragsverarbeiters folgende Angaben enthalten:
Pflichtfeld 1: Name und Kontaktdaten
Name und Kontaktdaten des Auftragsverarbeiters sowie aller Verantwortlichen, in deren Auftrag der Auftragsverarbeiter tätig ist, und — soweit vorhanden — des Datenschutzbeauftragten des Auftragsverarbeiters (Art. 30 Abs. 2 lit. a DSGVO).
Pflichtfeld 2: Kategorien der Verarbeitungen
Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden (Art. 30 Abs. 2 lit. b DSGVO). Hier reicht eine kategoriale Beschreibung: z. B. „Verarbeitung von Mitarbeiterstammdaten (Name, Adresse, Bankverbindung) zur Lohnabrechnung“ oder „Speicherung und Verarbeitung von Kundendaten (Name, E-Mail, Bestellhistorie) im Auftrag von Online-Shops“.
Pflichtfeld 3: Übermittlungen in Drittländer
Wenn der Auftragsverarbeiter Daten in Drittländer (außerhalb EU/EWR) übermittelt oder übermitteln lässt, muss dies im VVT dokumentiert werden, einschließlich der eingesetzten Garantien nach Art. 46 DSGVO oder Art. 47 DSGVO (Art. 30 Abs. 2 lit. c DSGVO).
Pflichtfeld 4: Technische und organisatorische Maßnahmen
Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO (Art. 30 Abs. 2 lit. d DSGVO). Auch hier reicht eine Kurzdarstellung; die vollständige TOM-Dokumentation erfolgt separat.
Unterschied zum VVT des Verantwortlichen
Das VVT des Auftragsverarbeiters ist schlanker als das des Verantwortlichen. Es enthält keine Pflichtfelder zu:
- Zwecken der Verarbeitung (die bestimmt der Verantwortliche)
- Kategorien betroffener Personen (der Verantwortliche entscheidet, wessen Daten verarbeitet werden)
- Löschfristen (die gibt der Verantwortliche vor)
Der Auftragsverarbeiter dokumentiert, was er tut — nicht warum oder für wen (jenseits der Identifikation des Verantwortlichen).
Praxishinweis: Ein VVT für alle Auftraggeber
Als Auftragsverarbeiter arbeiten Sie typischerweise für mehrere Verantwortliche. Das Gesetz erlaubt ein einziges Verzeichnis, das für alle Verarbeitungen strukturiert ist. Empfohlen wird eine Struktur nach Verantwortlichem: Pro Auftraggeber eine Sektion, pro Verarbeitungskategorie einen Eintrag.
Das Oberverwaltungsgericht Hamburg hat in einem Urteil (Az. 3 Bf 156/17, 2019) festgestellt, dass Auftragsverarbeiter keine eigenständige Pflicht haben, die Rechtmäßigkeit der Verarbeitungszwecke des Verantwortlichen zu prüfen. Die Pflicht des Auftragsverarbeiters beschränkt sich auf das „Wie“ der Verarbeitung — die Rechtsgrundlage (das „Ob“ und „Warum“) verantwortet der Auftraggeber. Dennoch: Wenn ein Auftragsverarbeiter offensichtlich rechtswidrige Weisungen erhält, darf er nicht einfach handeln.
Ausnahme für kleine Auftragsverarbeiter
Art. 30 Abs. 5 DSGVO gilt auch für Auftragsverarbeiter: Unternehmen mit weniger als 250 Beschäftigten können von der VVT-Pflicht ausgenommen sein. Die Bedingungen sind jedoch dieselben wie für Verantwortliche — und greifen in der Praxis ebenfalls selten, da die meisten Auftragsverarbeiter entweder regelmäßig oder mit einem gewissen Risiko für betroffene Personen verarbeiten.
Fazit: Auftragsverarbeiter brauchen ein eigenes VVT
Als Auftragsverarbeiter führen Sie zwei Dokumentationslinien: den Auftragsverarbeitungsvertrag (AVV) mit dem Verantwortlichen — und das eigene VVT nach Art. 30 Abs. 2 DSGVO. Beides ist Pflicht, und beides wird von Aufsichtsbehörden geprüft. PLANIT PRIMA unterstützt Sie beim Aufbau beider Dokumente. Mehr erfahren.
Häufig gestellte Fragen
Was ist ein VVT und wer muss es erstellen?
Ein VVT ist ein Verzeichnis von Verarbeitungstätigkeiten. Gemäß Art. 30 Abs. 2 DSGVO muss jeder Auftragsverarbeiter ein solches Verzeichnis über alle Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten führen. Es dient der Dokumentation und Nachvollziehbarkeit der Datenverarbeitung.
Muss ein Auftragsverarbeiter nach DSGVO ein eigenes VVT führen?
Ja. Art. 30 Abs. 2 DSGVO verpflichtet Auftragsverarbeiter explizit zur Führung eines eigenen Verzeichnisses aller Kategorien von Verarbeitungstätigkeiten, die sie im Auftrag durchführen.
Welche Informationen muss das VVT eines Auftragsverarbeiters enthalten?
Es muss Name und Kontaktdaten, Kategorien der Verarbeitungen, Übermittlungen in Drittländer und eine Beschreibung der TOMs enthalten (Art. 30 Abs. 2 DSGVO).
Gibt es Ausnahmen von der VVT-Pflicht für kleine Auftragsverarbeiter?
Ja, für Unternehmen mit weniger als 250 Mitarbeitern, es sei denn, die Verarbeitung birgt Risiken oder ist nicht nur gelegentlich (Art. 30 Abs. 5 DSGVO).
Was passiert, wenn ein Auftragsverarbeiter kein VVT führt?
Ein fehlendes VVT kann zu erheblichen Geldbußen führen, da es einen Verstoß gegen die Rechenschaftspflicht darstellt (Art. 83 Abs. 4 lit. a DSGVO, Art. 5 Abs. 2 DSGVO).
Darf ein Auftragsverarbeiter ein einziges VVT für mehrere Auftraggeber führen?
Ja, das Gesetz erlaubt ein einziges Verzeichnis, das alle Verarbeitungen für verschiedene Verantwortliche strukturiert dokumentiert.
Weitere Informationen finden Sie hier: Art. 30 DSGVO auf dsgvo-gesetz.de, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI), EUR-Lex: Verordnung (EU) 2016/679 (DSGVO).
Welche Informationen muss das VVT eines Auftragsverarbeiters enthalten?
Das VVT eines Auftragsverarbeiters muss gemäß Art. 30 Abs. 2 DSGVO unter anderem den Namen und die Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er handelt, die Kategorien von Verarbeitungen, die Übermittlung von Daten an Drittländer und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen enthalten.
Warum ist die Erstellung eines VVT für Auftragsverarbeiter so wichtig?
Die Erstellung eines VVT ist für Auftragsverarbeiter von entscheidender Bedeutung, da sie eine gesetzliche Pflicht nach Art. 30 Abs. 2 DSGVO darstellt. Zudem dient es der Erfüllung der Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO, indem es die Einhaltung der Datenschutzgrundsätze dokumentiert und bei Anfragen von Aufsichtsbehörden vorgelegt werden kann.
Welche Konsequenzen drohen bei einem fehlenden oder unvollständigen VVT?
Ein fehlendes oder unvollständiges VVT kann schwerwiegende Konsequenzen nach sich ziehen. Gemäß Art. 83 Abs. 4 lit. a DSGVO können bei Verstößen gegen die Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten Geldbußen von bis zu 10 Millionen Euro oder im Falle eines Unternehmens von bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden.
Muss das VVT des Auftragsverarbeiters dem Verantwortlichen zur Verfügung gestellt werden?
Ja, der Auftragsverarbeiter ist gemäß Art. 30 Abs. 2 DSGVO verpflichtet, das Verzeichnis auf Anfrage der Aufsichtsbehörde zur Verfügung zu stellen. Auch wenn es nicht explizit in Art. 30 Abs. 2 DSGVO steht, ist es im Rahmen der Zusammenarbeit und der Rechenschaftspflicht des Verantwortlichen (Art. 5 Abs. 2 DSGVO) üblich und ratsam, dem Verantwortlichen Einblick in das VVT zu gewähren.
