Frage: Wir haben nur Geschäftskunden. In der Logistik kam es kürzlich zu einer Panne. Es wurden in vier Pakete die falschen Lieferscheine gepackt. Auf diesen sind bei Lieferanweisungen auch personenbezogene […]

Wie viele Fälle haben Sie richtig eingeordnet? Die Abgrenzung zwischen Auftragsverarbeitung, gemeinsamer Verantwortlichkeit und eigenständiger Verantwortlichkeit ist häufig anspruchsvoll. Die folgenden Erläuterungen zeigen die entscheidenden Abgrenzungskriterien.

Spätestens seit dem Durchbruch generativer KI-Systeme wie Chatbots oder Bildgeneratoren stellt sich in vielen Unternehmen dieselbe Frage: Wer trägt eigentlich die datenschutzrechtliche Verantwortung? Reicht ein AV-Vertrag mit dem KI-Anbieter aus oder liegt – zumindest für einzelne Verarbeitungsschritte – eine eigene oder sogar gemeinsame Verantwortlichkeit vor?

Viele der Fälle im Selbsttest AV-Vertrag finden Sie vermutlich schwieriger als erwartet. Das überrascht nicht. Ob Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder eigenständige Verantwortlichkeit vorliegt, lässt sich häufig nur anhand einer systematischen Prüfung beurteilen. Die folgende Prüfreihenfolge hat sich in der Praxis bewährt:

Ein AV-Vertrag ist schnell abgeschlossen – doch liegt tatsächlich auch eine Auftragsverarbeitung vor?

Die Abgrenzung zwischen Auftragsverarbeitung, gemeinsamer Verantwortlichkeit und eigenständiger Verantwortlichkeit bereitet in der Praxis häufig Schwierigkeiten. Nicht selten wird vorsorglich ein Auftragsverarbeitungsvertrag geschlossen, obwohl die tatsächliche Rollenverteilung eine andere ist. Maßgeblich ist nicht der Vertrag, sondern die tatsächliche Rollenverteilung im konkreten Verarbeitungsvorgang. Eine fehlerhafte Einordnung kann zu erheblichen rechtlichen und finanziellen Konsequenzen führen.