Ein Auftragsbearbeiter ist ein Unternehmen (oder eine Person), die zwar Daten bearbeitet, die aber nicht über die konkrete Bearbeitung bestimmt. Das trifft besonders – aber nicht nur – auf IT-Dienstleister zu. Bspw. ist ein Hostingdienstleister ein Auftragsbearbeiter, auch ein Cloud-Anbieter oder der Betreiber einer SaaS-Lösung. Je enger der Zweck der SaaS-Lösung ist, desto mehr Einfluss hat der Betreiber auf die Art einer Datenbearbeitung. Das tut er aber generisch durch die Systemgestaltung und nicht bezogen auf konkrete, einzelne Daten; über diese bestimmt der Verwender der Lösung. Deshalb bleibt der SaaS-Anbieter ein Auftragsbearbeiter. Allerdings sind nicht alle Dienstleister zugleich Auftragsbearbeiter. Manche Dienstleister bearbeiten zwar Personendaten für die Erfüllung des Auftrags, bestimmen aber weitgehend frei. Ein Beispiel ist eine Anwaltskanzlei, die ein Verfahren für einen Klienten führt. Sie ist zwar ein Auftragnehmer, aber sie bestimmt selbst, welche Daten sie dafür benötigt. Faustregel: Ein Dienstleister ist ein Auftragsbearbeiter, wenn der Gegenstand der Dienstleistung vor allem die Bearbeitung von Personendaten ist. Ein Verantwortlicher ist er, wenn seine Dienstleistung anderer Art ist und er Personendaten nur als Nebenfolge dieser Dienstleistung bearbeitet. Beispiele finden sich u.a. in einer Liste des Bayrischen Landesamts für Datenschutz. Weitere Hinweise zur Auftragsbearbeitung finden Sie unter der entsprechenden Rubrik.