Auftragsverarbeitung

Was die Prüfung erwartet

Die IHK prüft, ob du erkennst, wann dein Sicherheitsunternehmen selbst zum Auftragsverarbeiter wird — etwa wenn es Videoaufnahmen im Auftrag des Hausrechtsinhabers auswertet. Der DIHK-Rahmenplan verlangt die Vertraulichkeit ausdrücklich auch bei der Auftragsverarbeitung. Typische Prüfungsszenarien:

• Welche Vertragsform verlangt die Verordnung für die Beauftragung?
• Wer bleibt gegenüber der betroffenen Person verantwortlich?

So funktioniert es

Art. 28 DS-GVO regelt, unter welchen Bedingungen ein Verantwortlicher personenbezogene Daten von einem Dritten verarbeiten lassen darf. Er darf nur mit Auftragsverarbeitern zusammenarbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und muss die Verarbeitung auf Grundlage eines Vertrags oder vergleichbaren Rechtsinstruments regeln, das den Auftragsverarbeiter ihm gegenüber bindet.

Dieser Vertrag ist zwingend schriftlich abzufassen, ein elektronisches Format reicht aus. Erfüllt dein Sicherheitsunternehmen für einen Auftraggeber Aufgaben wie Videoauswertung oder Zutrittsdatenerfassung ausschließlich nach dessen Weisung, ist es Auftragsverarbeiter und braucht diesen Vertrag, bevor die Verarbeitung beginnt.

Beispiel aus dem Dienst

Ein Einzelhandelsunternehmen beauftragt deinen Sicherheitsdienst, die Videoüberwachung im Kassenbereich zu betreiben und verdächtige Szenen auszuwerten. Bevor die Kameras aktiv geschaltet werden, muss zwischen dem Einzelhandelsunternehmen als Verantwortlichem und deinem Arbeitgeber als Auftragsverarbeiter ein schriftlicher Vertrag vorliegen, der die Verarbeitung bindend regelt. Wertest du die Aufnahmen aus, obwohl dieser Vertrag noch fehlt, fehlt der Verarbeitung die vertragliche Grundlage, die die Verordnung verlangt — unabhängig davon, wie sorgfältig du sonst mit den Daten umgehst.

Nicht zu verwechseln mit …

BDSG füllt nur die nationalen Öffnungsklauseln der DS-GVO aus, etwa den Beschäftigtendatenschutz; die Pflicht zum schriftlichen Vertrag zwischen Verantwortlichem und Auftragsverarbeiter ergibt sich dagegen unmittelbar aus der europäischen Verordnung selbst.

Typischer Fehler in der Prüfung

Ein Auftragsverarbeitungsvertrag wird oft mit einer Einwilligung der betroffenen Personen verwechselt — beide regeln jedoch unterschiedliche Fragen: Einwilligung erlaubt die Verarbeitung gegenüber der betroffenen Person, der Vertrag bindet den Auftragsverarbeiter gegenüber dem Verantwortlichen. Auch ein bloßes Datenschutzaudit oder eine Geheimhaltungsvereinbarung ersetzt den schriftlichen Vertrag nicht.

Quellen

• Art. 28 DS-GVO – Auftragsverarbeitung · abgerufen 2026-09-04
• DIHK-Rahmenplan Bewachungsgewerbe · abgerufen 2026-09-04