Verantwortlicher oder Auftragsverarbeiter: die Rolle bestimmen

Ob jemand Verantwortlicher oder Auftragsverarbeiter ist, entscheidet sich nicht anhand der Unternehmensbezeichnung. Maßgeblich ist, wer bei einer genau abgegrenzten Verarbeitung den Zweck und die wesentlichen Mittel bestimmt. Erst nach dieser Tatsachenprüfung steht fest, ob Artikel 28, Artikel 26 oder Regelungen zwischen eigenständigen Verantwortlichen passen ¹.

Kurzantwort: Verantwortlicher oder Auftragsverarbeiter ist eine funktionsbezogene Rolle. Bestimmen Sie zuerst die konkrete Tätigkeit, dann den Zweck, die betroffenen Personen, Daten, Empfänger und Dauer. Wer diese Kernelemente festlegt, ist verantwortlich; wer nur dokumentierten Weisungen folgt, verarbeitet im Auftrag. Gemeinsame unverzichtbare Entscheidungen können stattdessen gemeinsame Verantwortlichkeit begründen.

Zuletzt aktualisiert: 26. August 2026

Die Tätigkeit zählt, nicht das Unternehmen

Eine pauschale Rollenangabe für eine ganze Geschäftsbeziehung ist fast immer zu grob. Grenzen Sie zuerst einen tatsächlichen Vorgang ab: Welche personenbezogenen Daten werden wofür, für wen und über welche Systeme verarbeitet? Eine Vertragspartei kann bei dieser Tätigkeit Auftragsverarbeiter sein und bei einer anderen Tätigkeit mit denselben Daten selbst den Zweck bestimmen. Dann ist sie dort Verantwortlicher.

Die DSGVO beschreibt Rollen funktional. Entscheidend ist das wirkliche Verhalten, nicht ein Etikett wie „Dienstleister“, „Partner“ oder „Dateninhaber“. Auch eine Klausel, nach der eine Partei stets Auftragsverarbeiter sein soll, verdrängt die Tatsachen nicht. Umgekehrt macht eine gewisse technische Entscheidungsfreiheit einen weisungsgebundenen Anbieter nicht automatisch zum Verantwortlichen. Der Test muss sich auf die konkreten Entscheidungen richten ².

Schreiben Sie die Tätigkeit deshalb als neutralen Vorgang auf, bevor Sie die Parteien einordnen. „Betrieb eines Systems zur Ausführung der dokumentierten Kundenprozesse“ ist prüfbar; „gesamte Zusammenarbeit“ ist es nicht. Halten Sie außerdem angrenzende Zwecke getrennt. Eine unabhängige Nutzung für eigene Analysen ist eine andere Tätigkeit als die Ausführung des vereinbarten Dienstes. So verhindert die Abgrenzung, dass eine passende Rolle für einen Teil unbemerkt auf alle anderen Teile übertragen wird.

Drei Ergebnisse auf einen Blick

Die Prüfung hat drei Hauptwege; zusätzlich kann das Ergebnis lauten, dass eine Partei für den abgegrenzten Vorgang gar keine personenbezogenen Daten verarbeitet. „Getrennte Verantwortliche“ bedeutet nicht, dass keine Daten fließen. Es bedeutet, dass jede Seite ihren eigenen Zweck und die dafür wesentlichen Mittel festlegt. „Gemeinsam Verantwortliche“ treffen dagegen gemeinsame oder zusammenlaufende, unverzichtbare Grundentscheidungen. Beim Verhältnis Verantwortlicher/Auftragsverarbeiter bleibt der Zweck bei einer Seite, während die andere innerhalb dokumentierter Weisungen handelt.

Zuerst wird eine Tätigkeit abgegrenzt und anhand der Tatsachen bestimmt, wer ihren Zweck und ihre wesentlichen Mittel festlegt; die Vertragsbezeichnung ändert die Rolle nicht ^1,2. Gemeinsame unverzichtbare Entscheidungen führen zu Artikel 26, eine Verarbeitung nur nach Weisungen der anderen Seite zu Artikel 28. Eigene Zwecke führen zu Regelungen zwischen getrennten Verantwortlichen; liegt im abgegrenzten Vorgang keine dieser Rollen vor, wird dieses Ergebnis dokumentiert.

Prüfen Sie zuerst die Fakten und wählen Sie danach das Dokument. Die Reihenfolge lässt sich nicht umkehren: Ein unterzeichnetes Artikel-28-Dokument macht aus zwei eigenständig Entscheidenden kein Auftragsverhältnis. Ebenso beseitigt eine gewöhnliche Übermittlungsklausel keine gemeinsame Verantwortlichkeit, wenn der gemeinsam entworfene Vorgang von den Entscheidungen beider Seiten abhängt ³.

Zweck und wesentliche Mittel tragen die Einordnung

Der Zweck beantwortet das „Warum“ der Verarbeitung. Die wesentlichen Mittel bestimmen die Grundgestalt: wessen Daten betroffen sind, welche Datenkategorien verwendet werden, wer sie erhält und wie lange die Verarbeitung angelegt ist. Wer diese Fragen tatsächlich entscheidet, nimmt typischerweise die Rolle des Verantwortlichen ein. Eine formale Freigabe ohne echte Wahlmöglichkeit kann weniger aussagekräftig sein als die Partei, die das Modell entworfen und die entscheidenden Parameter gesetzt hat.

Nicht jede operative Einzelheit ist ein wesentliches Mittel. Ein Auftragsverarbeiter darf innerhalb der Weisungen technische und organisatorische Lösungen auswählen. Die Trennlinie liegt dort, wo eine Auswahl die vereinbarte Durchführung verlässt und den Zweck oder die Grundelemente der Verarbeitung verändert.

Ein eigenes wirtschaftliches Interesse an einer guten Ausführung ist noch kein eigener Verarbeitungszweck. Anders liegt es, wenn eine Partei die Daten unabhängig weiterverwenden will, etwa um ein eigenes, nicht nur für den Auftrag bestimmtes Ergebnis zu erzeugen. Diese zusätzliche Tätigkeit braucht eine eigene Rollen- und Rechtsgrundlagenprüfung. Sie darf nicht im allgemeinen Hinweis auf „Serviceverbesserung“ verschwinden.

Umsetzungsentscheidungen dürfen beim Auftragsverarbeiter bleiben

Weisungsgebunden bedeutet nicht, dass jede Taste vom Verantwortlichen vorgegeben werden muss. Der Verantwortliche legt Ziel, Grenzen und wesentliche Mittel fest. Der Auftragsverarbeiter kann innerhalb dieses Rahmens sachkundige technische Entscheidungen treffen, beispielsweise über die konkrete Systemarchitektur, die Reihenfolge automatisierter Arbeitsschritte oder die Umsetzung vorgegebener Sicherheitsanforderungen. Diese Freiheit ist mit einer Auftragsverarbeitung vereinbar, solange sie der dokumentierten Weisung dient und keine eigene Grundentscheidung ersetzt ².

Drei Diagnosefragen zeigen, ob aus Umsetzung eine andere Tätigkeit geworden ist:

1. Entsteht ein zusätzlicher eigener Zweck? Wenn die Partei die Daten unabhängig für ein eigenes Produkt, eine eigene Bewertung oder ein eigenes Geschäftsinteresse nutzt, reicht die ursprüngliche Weisung nicht mehr.
2. Ändert sie ein wesentliches Mittel? Neue Personengruppen, Datenarten, Empfänger oder eine wesentlich andere Dauer sprechen für eine eigene Verantwortungsentscheidung.
3. Kann der Auftraggeber die Entscheidung tatsächlich anweisen oder stoppen? Eine nur auf dem Papier bestehende Weisungsbefugnis trägt die Einordnung nicht, wenn die andere Partei die Grundentscheidung allein trifft.

Dokumentieren Sie nicht nur die Antwort, sondern auch den Sachverhalt dahinter. Begriffe wie „Konfiguration“ oder „Optimierung“ verdecken oft, ob lediglich die Technik angepasst oder die Verarbeitung inhaltlich erweitert wurde. Eine kurze Begründung mit Zweck, Grenze und Entscheidungsinhaber bleibt auch bei einer späteren Prüfung verständlich.

Die Grenze bleibt sachlich. Wenn ein Anbieter eine technische Variante nur deshalb auswählt, weil sie die vereinbarte Leistung zuverlässig, sicher und innerhalb der festgelegten Personen-, Daten-, Empfänger- und Zeitgrenzen umsetzt, ist diese Auswahl nicht ohne Weiteres eine neue Entscheidung über Zweck oder wesentliche Mittel. Maßgeblich bleibt ihre Wirkung.

Gemeinsame Verantwortlichkeit ist ein eigener dritter Zweig

Gemeinsame Verantwortlichkeit ist weder eine schwächere Form des Auftrags noch jede Form enger Kooperation. Sie entsteht, wenn zwei oder mehr Parteien Zweck und wesentliche Mittel derselben Verarbeitung gemeinsam bestimmen. Das kann durch einen ausdrücklich gemeinsamen Beschluss geschehen. Es kann auch aus zusammenlaufenden, einander ergänzenden Entscheidungen folgen, sofern jede für die Verarbeitung in ihrer konkreten Gestalt unverzichtbar ist ².

Der Test verlangt mehr als gegenseitigen Nutzen. Dass beide Parteien wirtschaftlich profitieren, Daten sehen, eng zusammenarbeiten oder voneinander abhängig sind, beweist keine gemeinsame Bestimmung. Ebenso genügt es nicht, dass eine Seite eine allgemein verfügbare Leistung nutzt. Fragen Sie stattdessen, ob die konkrete Verarbeitung ohne die Grundentscheidung einer der Parteien in dieser Form stattfinden würde. Ist eine Entscheidung nur eine austauschbare Unterstützung, fehlt häufig die notwendige gemeinsame Prägung.

Der Gegencheck ist wichtig. Selbst eine intensive Abstimmung über Termine, Qualität, Entgelt, technische Schnittstellen und gemeinsame Kommunikationswege begründet keine gemeinsame Verantwortlichkeit, wenn eine Seite den Verarbeitungszweck samt wesentlichen Mitteln bereits festgelegt hat und die andere nur austauschbare Leistungen innerhalb dieses Rahmens erbringt. Koordination genügt nicht.

Umgekehrt kann eine Partei ohne unmittelbaren Zugriff gemeinsam verantwortlich sein, wenn ihre unverzichtbare Grundentscheidung den gemeinsam entworfenen Vorgang prägt; die Rollenprüfung schaut deshalb auf die Entscheidungsarchitektur und nicht allein darauf, wer Daten speichert, sieht oder technisch bewegt. Die Verteilung einzelner Arbeitsschritte ist nur ein Indiz.

Auch Rollen in einer Liefer- oder Beteiligungskette sind kein Ersatz für diese Prüfung. Zwei Parteien können getrennte Verantwortliche sein, obwohl ihre Prozesse aufeinander folgen. Sie können gemeinsam verantwortlich sein, obwohl jede einen anderen Beitrag leistet. Oder eine kann einen klar abgegrenzten Teil ausschließlich nach Weisung ausführen. Der Datenzugang allein entscheidet keinen dieser Fälle.

Liegt gemeinsame Verantwortlichkeit vor, müssen die Beteiligten ihre jeweiligen Zuständigkeiten für die DSGVO-Pflichten in transparenter Form festlegen, insbesondere für Betroffenenrechte und Informationspflichten. Das Wesentliche der Vereinbarung muss den betroffenen Personen zugänglich sein ¹. Diese Zuordnung darf realistisch verteilt werden, beseitigt aber nicht die gemeinsame Verantwortlichkeit. Die betroffene Person kann ihre Rechte grundsätzlich gegenüber jedem gemeinsam Verantwortlichen geltend machen.

Eine Beziehung kann mehrere Rollen enthalten

Betrachten Sie eine abstrakte digitale Servicebeziehung mit mehreren Tätigkeiten. Beim reinen Betrieb einer Funktion nach den festgelegten Zwecken, Datengruppen und Löschfristen des Kunden kann der Anbieter Auftragsverarbeiter sein. Daneben können Abrechnung, Missbrauchsschutz oder die Erfüllung eigener gesetzlicher Pflichten getrennte Tätigkeiten bilden. Die Bezeichnung allein entscheidet deren Rolle jedoch nicht: Erst wenn der Anbieter für den abgegrenzten Vorgang selbst Zweck und wesentliche Mittel festlegt, handelt er insoweit als Verantwortlicher. Die Rollen können nebeneinanderliegen, ohne dass eine die andere verdrängt.

Ein dritter Teil kann gemeinsam geprägt sein. Entwerfen beide Seiten beispielsweise eine neue Datennutzung, deren Zweck und wesentliche Parameter nur durch ihre ergänzenden Entscheidungen entstehen, ist gemeinsame Verantwortlichkeit zu prüfen. Entscheidend bleibt nicht, dass beide am Projekt beteiligt sind, sondern ob ihre Grundentscheidungen für genau diese Verarbeitung unverzichtbar zusammenwirken.

Die Tätigkeiten sollten im Vertrag und im internen Verzeichnis getrennt beschrieben werden. Ein einziger Sammelsatz wie „Der Anbieter verarbeitet alle Daten im Auftrag“ verschluckt eigene Zwecke und kann Betroffeneninformationen, Rechtsgrundlagen sowie die Dokumentenwahl verfälschen. Umgekehrt sollte eine Klausel zu eigenen Zwecken nicht so weit sein, dass sie die weisungsgebundene Kerntätigkeit unklar macht.

Diese abstrakte Betrachtung vermeidet eine Abkürzung über Berufe oder Branchen. Berufsbezeichnungen sagen auf EU-Ebene nicht zuverlässig, wer den Zweck bestimmt; nationale Regeln können Kategorien unterschiedlich einordnen. Der belastbare Weg bleibt die Tätigkeit: Zweck, wesentliche Mittel, Weisungsgrenze und tatsächliche Entscheidungsbefugnis. Für konkrete Rückfragen findet eine gewöhnliche private Organisation über die zuständige Landesdatenschutzaufsichtsbehörde die nach ihrem Sitz zuständige Stelle; der BfDI ist nicht die allgemeine Unternehmensaufsicht.

Das Ergebnis braucht die richtigen Regelungen

Nach der Tatsachenprüfung folgt ein Dokument, das die erkannte Beziehung abbildet. Artikel 28 verlangt bei einer Auftragsverarbeitung einen bindenden Vertrag oder ein anderes Rechtsinstrument mit den vorgeschriebenen Inhalten. Artikel 26 verlangt bei gemeinsamer Verantwortlichkeit eine transparente Zuständigkeitsverteilung. Zwischen getrennten Verantwortlichen kann eine Datenübermittlungsregelung Zwecke, Rollen, Rechtsgrundlagen, Sicherheit und Verantwortlichkeiten klären, ohne ein Weisungsverhältnis zu behaupten.

Ein Mischverhältnis kann mehrere klar abgegrenzte Regelungen benötigen. Das ist kein Widerspruch, wenn jede Klausel einer benannten Tätigkeit zugeordnet ist. Problematisch wird es erst, wenn dieselben Daten und Zwecke gleichzeitig als ausschließlich weisungsgebunden und als frei eigenständig beschrieben werden. Solche Konflikte müssen anhand der tatsächlichen Abläufe bereinigt werden, nicht durch eine Vorrangklausel zugunsten der gewünschten Rolle.

Die Dokumentenwahl ist daher das Ergebnis, nicht der Ausgangspunkt. Wer sofort eine Vorlage versendet, überspringt möglicherweise die Frage, ob der Empfänger überhaupt im Auftrag verarbeitet. Ein kurzer Rollenvermerk vor der Vertragswahl reduziert diesen Fehler und schafft zugleich die Begründung, falls eine Aufsicht oder betroffene Person später nach dem Entscheidungsweg fragt.

Ein wiederverwendbarer Rollenvermerk hält die Begründung fest

Ein brauchbarer Rollenvermerk ist kurz genug, um bei Änderungen aktualisiert zu werden, aber vollständig genug, um nicht nur das Ergebnis zu behaupten. Er sollte die geprüfte Tätigkeit und die Entscheidungsträger sichtbar machen. Ein Formular mit bloßen Auswahlfeldern „Verantwortlicher“ oder „Auftragsverarbeiter“ genügt nicht, weil die tragenden Tatsachen fehlen.

Der Vermerk sollte den Unterschied zwischen Feststellung und Annahme zeigen. „Anbieter bestimmt keine eigenen Zwecke“ ist nur eine Aussage. „Eigene Nutzung vertraglich ausgeschlossen; Systemfunktion und Löschung gegen Konfiguration geprüft; Änderungen nur nach dokumentierter Freigabe“ nennt überprüfbare Tatsachen. Fügen Sie auch abweichende oder noch ungeklärte Punkte hinzu, statt sie durch ein gewünschtes Endergebnis zu ersetzen.

Bewahren Sie den Vermerk mit dem zugehörigen Vertrag und der Prozessdokumentation auf. Dadurch lässt sich bei einer Änderung erkennen, welche Annahme überholt ist. Ein Rollenvermerk ist kein einmaliges Rechtsgutachten, sondern ein nachvollziehbarer Ausgangspunkt für Verantwortlichkeit und Rechenschaftspflicht ³.

Aus der Rolle folgen sofortige Pflichten

Ein Verantwortlicher bleibt für die Rechtmäßigkeit und Rechenschaft über seine Verarbeitung zuständig. Er braucht unter anderem einen passenden Zweck und eine Rechtsgrundlage, transparente Informationen, angemessene Sicherheit, Regeln für Aufbewahrung und Löschung sowie Verfahren für Betroffenenrechte. Setzt er einen Auftragsverarbeiter ein, muss er einen geeigneten Anbieter auswählen, ein vollständiges Artikel-28-Instrument schließen und die Verarbeitung angemessen beaufsichtigen ⁴.

Der Auftragsverarbeiter darf grundsätzlich nur auf dokumentierte Weisung handeln. Hinzu kommen eigene Pflichten, etwa Vertraulichkeit, Sicherheit, Unterstützung, Regeln für Unterauftragsverarbeiter, Löschung oder Rückgabe und der Nachweis der Einhaltung. Überschreitet er die Weisung und bestimmt für eine Tätigkeit selbst Zweck und Mittel, wird er insoweit als Verantwortlicher behandelt ¹.

Gemeinsam Verantwortliche müssen ihre tatsächlichen Zuständigkeiten transparent zuordnen. Diese Vereinbarung ersetzt weder die Rechtsgrundlage noch die Rechte der betroffenen Personen. Bei getrennten Verantwortlichen erfüllt jede Partei ihre eigenen Pflichten für ihre eigene Verarbeitung; eine Übergabe macht die empfangende Seite nicht automatisch zum Auftragsverarbeiter.

Damit die Einordnung praktisch wirkt, sollten Rollenvermerk, Vertrag, Datenschutzhinweise und Verzeichnis der Verarbeitungstätigkeiten dieselbe Tätigkeitsgrenze verwenden. Unterschiedliche Beschreibungen sind ein Warnsignal: Dann wurde möglicherweise nicht dieselbe Verarbeitung beurteilt.

Die Folge ist praktisch. Werden Rollen nur im Vertrag geändert, während Systemzugriffe, Freigaben und eigene Nutzungen unverändert bleiben, laufen Dokument und Verarbeitung auseinander; jede Partei muss daher die Pflichten ihrer tatsächlichen Rolle in Prozesse, Zuständigkeiten und Nachweise übersetzen.

Veränderungen lösen eine neue Prüfung aus

Eine Rollenentscheidung bleibt nur so lange belastbar wie der zugrunde gelegte Sachverhalt. Prüfen Sie erneut, wenn sich Zweck, Datenkategorien, betroffene Personengruppen, Empfänger oder Aufbewahrungsdauer ändern. Dasselbe gilt bei neuen Nutzergruppen, Integrationen oder Unterauftragsverarbeitern, wenn sie die wesentlichen Mittel oder die tatsächliche Weisungsfähigkeit beeinflussen.

Besonders deutlich ist der Änderungsanlass bei unabhängiger Wiederverwendung. Möchte eine Partei Daten für eigene Analysen, Produktentwicklung oder Modelltraining einsetzen, ist dies nicht bloß eine technische Verbesserung des bestehenden Auftrags. Grenzen Sie den neuen Vorgang ab und bestimmen Sie seine Rolle, Rechtsgrundlage, Information und Dokumentation eigenständig. Auch eine schleichend erweiterte „Serviceverbesserung“ muss in konkrete Zwecke übersetzt werden.

Ein Wechsel an der Weisungsgrenze kann ebenso entscheidend sein. Neue Standardfunktionen, ein nicht abwählbarer Datenpool oder eine allein vom Anbieter festgelegte längere Speicherung können die ursprüngliche Begründung entkräften. Umgekehrt ändert nicht jede neue Softwareversion die Rolle. Maßgeblich ist, ob eine Grundentscheidung über Zweck oder wesentliche Mittel wandert.

Verknüpfen Sie den Rollenvermerk deshalb mit klaren Auslösern und einem benannten Eigentümer. Eine begrenzte periodische Kontrolle kann übersehene Änderungen auffangen, ersetzt aber nicht die ereignisbezogene Prüfung. Das Ergebnis muss anschließend in allen betroffenen Unterlagen nachgezogen werden, damit Vertrag, operative Praxis und Informationen weiterhin dieselbe Realität beschreiben.