Das kommt darauf an:  Ein Auftragsbearbeiter ist das externe Dienstleistungsunternehmen i.d.R. dann, wenn eine Datenbearbeitung Gegenstand der vereinbarten Leistungen ist, z.B. bei einem SaaS-Anbieter.  Wenn Daten den Machtbereich des Verantwortlichen nicht verlassen, auch nicht durch externe Datenzugriffsrechte, sondern nur von Angestellten des Dienstleisters auf Infrastruktur des Verantwortlichen und unter dessen Kontrolle und Weisungsgewalt eingesehen oder bearbeitet werden können, ist der Dienstleister kein Auftragsbearbeiter, und auch die betreffenden Angestellten sind es nicht. Arbeits- und sozialversicherungsrechtlich handelt es sich dabei zwar i.d.R. nicht um Angestellte des Verantwortlichen. Aber datenschutzrechtlich sind sie wie Angestellte zu behandeln, weil sie gleich wie Angestellte subordiniert sind. Hier braucht es also keinen Auftragsbearbeitungsvertrag. Eine vertragliche Regelung mit dem Dienstleister und gewisse Verpflichtungen der eingesetzten Angestellten sind aber dennoch erforderlich.