Was ist Unterauftragsverarbeiter?

Kurz-Fakten

• Einsatz nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung, Art. 28 Abs. 2 DSGVO
• Bei allgemeiner Genehmigung ist über beabsichtigte Änderungen zu informieren; der Verantwortliche kann Einspruch erheben
• Dieselben Pflichten sind vertraglich weiterzureichen, Art. 28 Abs. 4 DSGVO
• Sitzt der Unterauftragsverarbeiter in einem Drittland, kommen die Vorschriften des Kapitels V hinzu
• Eine Kategorienangabe wie „Dienstleister innerhalb und außerhalb der EU“ ist keine Benennung

Bedeutung in der Praxis

Der häufigste Fehler ist nicht der fehlende Vertrag, sondern die nicht zu Ende gedachte Kette. Eine Agentur verarbeitet Daten ihres Kunden im Auftrag und setzt dabei einen KI-Dienst ein. Damit ist dieser KI-Dienst Unterauftragsverarbeiter des Kunden – und der Kunde muss ihn kennen und genehmigen können. Genehmigen lässt sich nur, was benannt ist: Firma, Sitz, Verarbeitungsort und Aufgabe.

Bei KI-Angeboten fehlt regelmäßig genau eine Zeile in der Liste: die vorgeschaltete Schnittstelle eines anderen Modellanbieters. Ein Modell auf eigener Hardware ist eine Datei und kein Dienstleister. Ein Modell, das über die Schnittstelle eines Dritten angesprochen wird, ist einer – und gehört in die Liste, auch wenn die Weboberfläche in Europa steht.

Verwandte Begriffe

• Auftragsverarbeitung Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten…
• DSGVO Die Datenschutz-Grundverordnung ist eine EU-Verordnung, die seit dem 25. Mai 2018…
• Drittlandtransfer Ein Drittlandtransfer ist die Übermittlung personenbezogener Daten an einen Empfänger…
• Serverstandort Der Serverstandort ist der Ort, an dem die Maschinen stehen, auf denen eine Verarbeitung…
• Verarbeitungsverzeichnis Das Verzeichnis von Verarbeitungstätigkeiten ist eine nach Art. 30 DSGVO vorgeschriebene…