Die Abgrenzung zwischen Auftragsverarbeitung, gemeinsamer Verantwortlichkeit und eigenständiger Verantwortlichkeit bereitet in der Praxis häufig Schwierigkeiten. Nicht selten wird vorsorglich ein Auftragsverarbeitungsvertrag geschlossen, obwohl die tatsächliche Rollenverteilung eine andere ist. Maßgeblich ist nicht der Vertrag, sondern die tatsächliche Rollenverteilung im konkreten Verarbeitungsvorgang. Eine fehlerhafte Einordnung kann zu erheblichen rechtlichen und finanziellen Konsequenzen führen.

Ein AV-Vertrag ist schnell abgeschlossen – doch liegt tatsächlich auch eine Auftragsverarbeitung vor?

Viele der Fälle im Selbsttest AV-Vertrag finden Sie vermutlich schwieriger als erwartet. Das überrascht nicht. Ob Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder eigenständige Verantwortlichkeit vorliegt, lässt sich häufig nur anhand einer systematischen Prüfung beurteilen. Die folgende Prüfreihenfolge hat sich in der Praxis bewährt:

Spätestens seit dem Durchbruch generativer KI-Systeme wie Chatbots oder Bildgeneratoren stellt sich in vielen Unternehmen dieselbe Frage: Wer trägt eigentlich die datenschutzrechtliche Verantwortung? Reicht ein AV-Vertrag mit dem KI-Anbieter aus oder liegt – zumindest für einzelne Verarbeitungsschritte – eine eigene oder sogar gemeinsame Verantwortlichkeit vor?

Wie viele Fälle haben Sie richtig eingeordnet? Die Abgrenzung zwischen Auftragsverarbeitung, gemeinsamer Verantwortlichkeit und eigenständiger Verantwortlichkeit ist häufig anspruchsvoll. Die folgenden Erläuterungen zeigen die entscheidenden Abgrenzungskriterien.