Dienstleister, Subdienstleister, AVV: Wer trägt welche Verantwortung?

Cloud-Dienste, Hostinganbieter, Support-Tools oder Newsletter-Systeme arbeiten häufig nicht allein. Sie greifen ihrerseits auf weitere Dienstleister zurück. Schnell entsteht eine ganze Verarbeitungskette: Verantwortlicher → Auftragsverarbeiter → Unterauftragsverarbeiter.

Doch wer muss dabei eigentlich wen wann prüfen?

Der Verantwortliche bleibt in der Verantwortung

Beauftragt ein Unternehmen einen Dienstleister mit der Verarbeitung personenbezogener Daten, darf es nach Art. 28 Abs. 1 DSGVO nur solche Auftragsverarbeiter einsetzen, die hinreichende Garantien für eine datenschutzkonforme Verarbeitung bieten. Zwischen Verantwortlichem und Auftragsverarbeiter ist grundsätzlich ein entsprechender Auftragsverarbeitungsvertrag erforderlich.

Setzt dieser Dienstleister wiederum weitere Unternehmen ein, spricht man von Unterauftragsverarbeitern oder Subprozessoren.

Der Verantwortliche muss mit diesen Subdienstleistern jedoch nicht jeweils selbst einen eigenen AVV abschließen. Die vertragliche Einbindung erfolgt über die sogenannte Art.-28-Kette: Der Auftragsverarbeiter muss seinem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegen, die auch ihm selbst gegenüber dem Verantwortlichen obliegen.

Subdienstleister sind trotzdem keine „Blackbox“

Das bedeutet allerdings nicht, dass sich der Verantwortliche mit den weiteren Dienstleistern überhaupt nicht beschäftigen muss.

Nach Art. 28 Abs. 2 DSGVO darf ein Auftragsverarbeiter weitere Auftragsverarbeiter nur mit vorheriger spezifischer oder allgemeiner schriftlicher Genehmigung des Verantwortlichen einsetzen. Bei einer allgemeinen Genehmigung muss der Verantwortliche außerdem über Änderungen informiert werden und die Möglichkeit erhalten, diesen Änderungen zu widersprechen.

Der Europäische Datenschutzausschuss stellt zudem klar, dass der Verantwortliche grundsätzlich wissen können muss, welche Auftrags- und Unterauftragsverarbeiter eingesetzt werden. Auch die Frage, ob ausreichende Garantien bestehen, bleibt Teil seiner Verantwortlichkeit. Dabei darf er sich grundsätzlich auf die Informationen und Prüfungen seines direkten Auftragsverarbeiters stützen. Je nach Risiko der Verarbeitung können jedoch weitergehende Nachweise erforderlich sein.

Was sollte in der Praxis geprüft werden?

Für Verantwortliche bedeutet das nicht, jeden Subdienstleister mit derselben Intensität wie den direkten Vertragspartner einzeln zu auditieren. Entscheidend ist vielmehr, dass die Verarbeitungskette nachvollziehbar bleibt.

Insbesondere sollte geklärt sein:

Welche Unterauftragsverarbeiter werden eingesetzt und wofür?
Ist deren Einsatz im AVV genehmigt und wie wird über Änderungen informiert?
Werden die Anforderungen aus Art. 28 DSGVO vertraglich an die Subdienstleister weitergegeben?
Wo findet die Verarbeitung statt?
Gibt es Übermittlungen in Drittländer und sind hierfür die Voraussetzungen nach Kapitel V DSGVO erfüllt?
Sind die technischen und organisatorischen Maßnahmen sowie weitere Garantien nachvollziehbar und ausreichend?

Gerade bei internationalen Anbieterketten ist außerdem relevant, an welchen Standorten Daten verarbeitet werden. Der EDSA nennt Informationen zu Subprozessoren, deren Tätigkeit, Verarbeitungsorten und bestehenden Garantien ausdrücklich als wichtige Grundlage für die Entscheidung des Verantwortlichen.

Fazit: Prüfen ja – aber entlang der Verantwortungskette

Die Verantwortung ist nicht vollständig an den Auftragsverarbeiter weiterzureichen. Der Verantwortliche muss seinen unmittelbaren Dienstleister sorgfältig auswählen und die eingesetzte Subdienstleisterstruktur nachvollziehen können.

Der entscheidende Unterschied: Er muss nicht mit jedem Subdienstleister selbst einen AVV schließen oder jede Prüfung vollständig selbst durchführen. Der direkte Auftragsverarbeiter übernimmt die vertragliche Einbindung und einen wesentlichen Teil der Prüfung seiner Subdienstleister. Der Verantwortliche muss jedoch sicherstellen können, dass diese Kette funktioniert und ausreichende Garantien bestehen.

So bleibt auch bei komplexen Dienstleisterketten klar, wer welche Aufgabe übernimmt, ohne dass jeder Beteiligte jeden anderen Vertragspartner unmittelbar prüfen und vertraglich anbinden muss.