Unterauftragnehmer und der Alltag

Ein Auftragsverarbeiter darf keinen weiteren Dienstleister einsetzen ohne Ihre Genehmigung — und muss ihm dieselben Pflichten auferlegen. Im Alltag heißt das vor allem: Weisungen kommen von Ihrem Betrieb, nicht aus einer Mail.

Warum das wichtig ist

Die Kette ist der am häufigsten übersehene Punkt. Ein Anbieter nutzt ein Rechenzentrum, dieses einen Wartungsdienst — ohne Art. 28 Abs. 2 und 4 würde die Kette im Dunkeln verlaufen. Der Wortlaut verlangt die Genehmigung und dieselben Pflichten auf jeder Stufe.

Für den Arbeitsalltag ist Art. 29 der wichtigere Satz: Verarbeitung ausschließlich auf Weisung. Eine Bitte, die per Mail oder Telefon kommt und behauptet, von Ihrem Betrieb zu stammen, ist keine Weisung. Genau diese Lücke nutzen Angreifer.

Und ein letzter Punkt, der leicht vergessen wird: Auch Sie selbst sind „unterstellte Person" im Sinne von Art. 32 Abs. 4 — Ihr Zugriff auf Daten erfolgt auf Anweisung, nicht nach eigenem Ermessen.

Was das Gesetz sagt

Art. 28 Abs. 2 DSGVO

„Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch."

Art. 28 Abs. 4 DSGVO

„so werden diesem anderen Auftragsverarbeiter im Wege eines Vertrags … dieselben Datenschutzpflichten auferlegt"

Art. 32 Abs. 4 DSGVO

„Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten"

So macht man es richtig

1. Im Vertrag regeln, ob und wie Unterauftragnehmer eingesetzt werden dürfen — und sich Änderungen melden lassen.
2. Weisungen nur über den vereinbarten Weg annehmen, nicht über eine eingehende Mail.
3. Bei einer ungewöhnlichen Bitte eines Dienstleisters zurückrufen — über die hinterlegte Nummer.
4. Den eigenen Zugriff als Weisung verstehen: nicht alles, was technisch möglich ist, ist auch angewiesen.

Stand: 11.10.2026