Auftragsverarbeitung ist die vertraglich vereinbarte Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten durch einen Auftragsverarbeiter gemäß den Weisungen des für die Datenverarbeitung Verantwortlichen. In der Praxis ist damit oft das Auslagern von Datenverarbeitungsprozessen auf externe Dienstleister gemeint, um Kosten und eigene Ressourcen zu sparen.
Keine Auftragsvereinbarung liegt hingegen vor, wenn lediglich eine Funktionsübertragung stattfindet, bei der der Dienstleister nicht weisungsgebunden ist und eigene Entscheidungen über die Daten trifft. Beispiele für eine Funktionsübertragung finden wir insbesondere im Falle der Beauftragung von Rechtsanwälten, Steuerkanzleien, Inkassounternehmen oder Privatdetektiven. Der Auftraggeber wäre hier nicht in der Lage, dem Dienstleister Anweisungen oder Vorgaben für die Durchführung des Auftrags zu geben.
Die Abgrenzung zwischen Auftragsverarbeitung und Funktionsübertragung ist allerdings nicht immer eindeutig und bedarf einer genauen Betrachtung. Liegt nämlich eine Auftragsverarbeitung vor, muss dementsprechend mit dem Auftragsverarbeiter ein entsprechender Vertrag über die Auftragsverarbeitung (sog. AV-Vertrag) geschlossen werden. Wichtiger Bestandteil sind dabei der Nachweis der technischen und organisatorischen Maßnahmen beim Auftragnehmer.
Weiterhin wird ein AV-Vertrag erforderlich, wenn Unternehmen auf fremde Nutzer- oder Kundendaten zugreifen können, etwa als Agentur oder Webdesigner. Dies gilt auch, wenn Drittanbietertools, wie Google Analytics verwendet werden.