Stand: 31. August 2026 — Eine deutsche Gesellschaft beauftragt eine Marketingagentur und einen Cloudanbieter. Beide verarbeiten personenbezogene Daten, doch daraus folgt nicht dieselbe Datenschutzrolle. Die EU-Kommission stellt darauf ab, wer Zwecke und wesentliche Mittel der Verarbeitung bestimmt und wer lediglich im Auftrag handelt. Dieser Vergleich hilft Geschäftsführern, Einkauf und Datenschutzverantwortlichen, den richtigen Vertragstyp zu identifizieren. Er ersetzt keine Prüfung des konkreten Verarbeitungsvorgangs; besonders die tatsächliche Nutzung der Daten muss mit der Vertragsbeschreibung übereinstimmen.
Nicht die Unternehmensbezeichnung entscheidet
Ein Verantwortlicher entscheidet über das Warum und Wie einer Verarbeitung. Ein Auftragsverarbeiter verarbeitet Daten für einen Verantwortlichen nach dessen Vorgaben. Wenn Beteiligte Zwecke und Mittel gemeinsam festlegen, kann gemeinsame Verantwortlichkeit vorliegen. Dieselbe Organisation kann bei verschiedenen Vorgängen unterschiedliche Rollen haben. Die pauschale Einordnung „unser Dienstleister ist immer Auftragsverarbeiter“ reicht deshalb nicht.
Die Vertragsüberschrift ist ebenfalls nicht ausschlaggebend. Eine Agentur, die lediglich eine vorgegebene Empfängerliste nach Weisung technisch bearbeitet, wirft andere Fragen auf als ein Partner, der eigene Nutzungszwecke bestimmt. Dieses Beispiel beschreibt Prüffragen, keine automatische rechtliche Zuordnung. Welche Entscheidungen tatsächlich gemeinsam getroffen werden, muss anhand des Projekts festgestellt werden.
Drei Unterschiede beeinflussen Aufwand und Verantwortung
Bei Auftragsverarbeitung müssen die erforderlichen vertraglichen Regelungen insbesondere Weisungen, Vertraulichkeit, Sicherheit und Unterstützung abbilden. Weitere Auftragsverarbeiter können zusätzliche Genehmigungs- und Informationsfragen auslösen. Der Einkauf sollte deshalb nicht nur den direkten Anbieter, sondern auch die vorgesehene Unterauftragnehmerstruktur erfassen.
Bei gemeinsamer Verantwortung benötigen die Beteiligten eine nachvollziehbare Verteilung ihrer Datenschutzaufgaben. Das ist nicht mit einem gewöhnlichen Dienstleistungsauftrag erledigt. Betroffenenrechte, Informationspflichten und Ansprechpartner müssen zur tatsächlichen Zusammenarbeit passen. Die interne Aufteilung beseitigt nicht automatisch sämtliche Verantwortung gegenüber betroffenen Personen.
Ein dritter Punkt betrifft internationale Übermittlungen. Ein Vertrag zur Auftragsverarbeitung allein beantwortet nicht jede Frage eines Zugriffs aus einem Drittland. Die Kommission unterscheidet entsprechende Vertragsinstrumente. Für eine ausländisch geführte deutsche Gesellschaft ist daher relevant, ob die Konzernzentrale personenbezogene Daten erhält oder darauf zugreifen kann, nicht nur wo die Server stehen.
Die Kosten entstehen durch falsche Annahmen häufig erst spät: Vertragsnachträge, geänderte Zugänge, neue Informationsprozesse oder ein verzögerter Kampagnenstart. Eine kurze Rollenprüfung vor der Beschaffung kann diese nachträgliche Umstellung vermeiden.
Fünf Schritte vor der Unterschrift
Erstens beschreibt die Projektleitung jeden Datenvorgang in einem Satz: welche Personen, welche Daten, welcher Zweck und welche Empfänger. Unterschiedliche Zwecke werden getrennt aufgeführt.
Zweitens fragt der Datenschutzverantwortliche, wer Zweck, Nutzung, Speicherdauer und wesentliche Entscheidungen tatsächlich festlegt. Antworten werden mit Leistungsbeschreibung und Systemfunktionen abgeglichen.
Drittens erklärt der Anbieter eigene Datenverwendungen, Unterauftragnehmer und mögliche Zugriffe aus anderen Ländern. Allgemeine Aussagen wie „europäische Cloud“ werden durch konkrete Angaben ergänzt.
Viertens wird der passende rechtliche Rahmen ausgewählt und auf den Ablauf abgestimmt. Eine vorhandene Vertragsvorlage wird nicht allein deshalb benutzt, weil sie bereits unterschriftsbereit ist.
Fünftens testet das Unternehmen ein praktisches Ereignis: Auskunftsanfrage, Löschung, Sicherheitsvorfall oder Vertragsende. Es prüft, wer informiert wird, welche Unterstützung geschuldet ist und welche Daten tatsächlich exportiert oder gelöscht werden können. Zuständigkeiten ohne erreichbare Ansprechpartner sind operativ wenig wert.
Welche Entscheidung jetzt sinnvoll ist
Sind Rollen und Zwecke eindeutig, kann der Einkauf die fehlenden Regelungen gezielt ergänzen. Sind eigene Nutzungen des Anbieters unklar, sollte die Gesellschaft diese zuerst klären, bevor sie echte Kundendaten übermittelt. Eine fehlende Unterschrift ist nicht das einzige Risiko; ein unterschriebener, sachlich falscher Vertrag kann ebenso problematisch sein.
Dieser Vergleich ist allgemeine Organisationsinformation. Rechtsgrundlage, Transparenz, Datensicherheit und internationale Übermittlung bleiben eigenständige Prüffelder. Bei Änderungen der Funktionen oder einer neuen Datennutzung sollte nur der betroffene Ablauf neu bewertet werden, nicht ohne Anlass das gesamte Vertragsportfolio.
