Wer ist wer — und wann ein Vertrag nötig ist

Verantwortlicher ist, wer über Zwecke und Mittel entscheidet. Auftragsverarbeiter ist, wer im Auftrag verarbeitet — nicht für eigene Zwecke. Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet, braucht es einen Vertrag.

Warum das wichtig ist

Die Rollenfrage wird im Alltag oft am Geldfluss oder an der Unternehmensgröße entschieden — beides ist falsch. Entscheidend ist allein, wer über Zweck und Mittel bestimmt. Ein großer Anbieter kann Auftragsverarbeiter eines kleinen Betriebs sein.

Betroffen sind mehr Fälle als gedacht: der Lohndienstleister, die Wartungsfirma mit Fernzugriff, der Anbieter der Terminverwaltung, die Agentur mit Zugang zum Postfach — und auch der Entsorger, denn auch das Vernichten ist nach Art. 4 Nr. 2 eine Verarbeitung.

Keine Auftragsverarbeitung ist dagegen die Beauftragung eines Steuerberaters, eines Rechtsanwalts oder eines Arztes in ihrer je eigenen Berufsausübung — dort entscheiden diese selbst über Zweck und Mittel.

Was das Gesetz sagt

Art. 4 Nr. 7 DSGVO: „die natürliche oder juristische Person … die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet"
Art. 4 Nr. 8 DSGVO: „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet"
Art. 28 Abs. 3 S. 1 DSGVO: „Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments"

So macht man es richtig

Vor jeder Beauftragung fragen: Entscheidet die andere Seite mit, wozu die Daten verwendet werden?
Eine Liste aller Dienstleister führen, die Daten für Sie verarbeiten — meistens sind es mehr als erwartet.
Den Vertrag abschließen, bevor der erste Datensatz fließt. Nachreichen heilt die Zeit davor nicht.

Was bei Missachtung droht

Art. 83 Abs. 4 lit. a DSGVO: bis zu 10 Millionen Euro oder 2 Prozent für Verstöße gegen Art. 28. Fehlt der Vertrag ganz, fehlt der Verarbeitung die Grundlage — dann greift der höhere Rahmen des Art. 83 Abs. 5 lit. a mit bis zu 20 Millionen Euro oder 4 Prozent.

Im Video: Dieser Lernblock dauert 6:10 und ist Teil des Kurses Auftragsverarbeitung und Dienstleister.

Stand: 11.10.2026