Dienstleister, Partner oder eigener Verantwortlicher?

Wenn ein anderes Haus mit Ihren Daten arbeitet, gibt es drei Möglichkeiten — und drei verschiedene Papiere. Das Unterscheidungsmerkmal steht im Gesetz: wer über Zwecke und Mittel entscheidet.

Warum das wichtig ist

Arbeitet die andere Seite für Sie, nach Weisung und nicht für eigene Zwecke, ist sie Auftragsverarbeiter — dann braucht es den Vertrag nach Art. 28. Entscheidet sie mit, sind Sie nach Art. 26 gemeinsam verantwortlich — dann braucht es eine Vereinbarung darüber, wer welche Pflicht übernimmt. Verarbeitet sie für eigene Zwecke, ist sie allein verantwortlich, und es liegt eine Übermittlung vor.

Der typische Fehler: Es wird ein Auftragsverarbeitungsvertrag geschlossen, obwohl beide Seiten gemeinsam entscheiden. Dann liegt ein Papier vor, das nicht zum Sachverhalt passt. Und das Papier entscheidet die Rolle nicht — sie richtet sich nach der tatsächlichen Zusammenarbeit.

Welcher Fall bei Ihnen vorliegt, kann dieser Kurs nicht sagen. Was er geben kann, ist die Frage: Entscheidet die andere Seite mit, wozu die Daten verwendet werden?

Was das Gesetz sagt

Art. 26 Abs. 1 S. 1 DSGVO

„Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche."

Art. 28 Abs. 3 S. 1 DSGVO

„Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments"

So macht man es richtig

1. Vor jeder Weitergabe die Rolle des Empfängers klären — drei Möglichkeiten, drei Papiere.
2. Nicht die Vertragsüberschrift entscheiden lassen, sondern die tatsächliche Zusammenarbeit.
3. Ein Erkennungszeichen nutzen: Wer eigene Auswertungen macht oder die Daten für sein eigenes Angebot nutzt, ist kein reiner Dienstleister.

Stand: 11.10.2026