ADV vs. Funktionsübertragung

Auftragsdatenverarbeitung oder Funktionsübertragung

Zunächst muss entschieden werden, ob tatsächlich ein Fall der Auftragsdatenverarbeitung vorliegt. Die Auftragsdatenverarbeitung ist abzugrenzen von der Funktionsübertragung.

Kriterien für die Annahme einer Funktionsübertragung

Eine Funktionsübertragung liegt vor, wenn eine ganze Funktion zur eigenverantwortlichen Wahrnehmung dem Dienstleister übertragen wird. Der Dienstleister wird dann selbst zur verantwortlichen Stelle. Die Datenweitergabe an den Dienstleister stellt in diesem Fall eine Übermittlung dar, sodass dieser Vorgang von einer Rechtsgrundlage abgedeckt sein muss. Eine Funktionsübertragung liegt in der Regel bei folgenden Kriterien vor:

  • eigenverantwortliche Durchführung der Aufgabe
  • keine Weisungsgebundenheit des Dienstleisters
  • der Dienstleister bestimmt selbst über Umfang der Datenverarbeitung.

Kriterien für Annahme einer Auftragsdatenverarbeitung

Die Auftragsdatenverarbeitung liegt vor, wenn dem Dienstleister konkrete Weisungen erteilt werden und er die Daten nur nach der Weisung des Auftraggebers verarbeiten darf. Der Dienstleister muss die Datensicherheit gewährleisten und kann nicht selbst darüber entscheiden, in welchem Umfang die Daten verarbeitet werden.

Abgrenzung

Ob im Einzelfall eine Auftragsdatenverarbeitung oder aber eine Funktionsübertragung vorliegt, ist häufig schwierig zu entscheiden. Die verantwortliche Stelle verfügt regelmäßig über einen entsprechenden Gestaltungsspielraum, ob eine Funktionsübertragung oder aber eine Auftragsdatenverarbeitung gewählt wird.

Ein Beispiel zur Illustration:

Innerhalb eines Konzerns wird die Verarbeitung von Personaldaten zentralisiert. Erfolgt hier nur die rein buchhalterische Berechnung der zu zahlenden Vergütung, kann diese Auslagerung als Auftragsdatenverarbeitung ausgestaltet werden.

Erhält diese Organisationseinheit die Befugnis zu Personalentscheidungen und übernimmt auch die ganze Personalplanung und -entwicklung, liegt nach Ansicht der Aufsichtsbehörden für den Datenschutz eine Funktionsübertragung vor. In diesem Fall würde der Dienstleister über die Verwendungszwecke der Daten bestimmen.

Advertisements