Auftragsverarbeitung
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und auf Weisung des Verantwortlichen (Art. 4 Nr. 8 DSGVO). Dafür ist ein Vertrag mit den Inhalten des Art. 28 Abs. 3 DSGVO Pflicht: Gegenstand, Dauer, Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Subunternehmer, Unterstützung bei Betroffenenrechten, Löschung nach Ende, Kontrollrechte. Unterauftragsverarbeiter brauchen die Genehmigung des Verantwortlichen (Art. 28 Abs. 2 und 4).
Für Deinen KI-Server
- Der Hoster ist immer Auftragsverarbeiter, weil er physischen Zugriff auf den Server hat.
- Ein IT-Dienstleister mit Fernzugriff ebenfalls, auch konzernintern.
- Verarbeitest Du Daten im Auftrag Deiner Kunden, bist Du selbst Auftragsverarbeiter und führst ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.
Rechtsgrundlagen
- Art. 28 DSGVO
- Art. 4 Nr. 8 DSGVO
- Art. 30 Abs. 2 DSGVO
Quellen
- Art. 28 DSGVO Auftragsverarbeiter: dsgvo-gesetz.de, eur-lex.europa.eu
- Art. 4 DSGVO Begriffsbestimmungen: dsgvo-gesetz.de, eur-lex.europa.eu
- Art. 30 DSGVO Verzeichnis von Verarbeitungstätigkeiten: dsgvo-gesetz.de, eur-lex.europa.eu
- DSK Kurzpapier Nr. 13 Auftragsverarbeitung, Art. 28 DSGVO: www.datenschutzkonferenz-online.de, www.datenschutzkonferenz-online.de
- EDSA Leitlinien 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter: www.edpb.europa.eu