Verantwortliche und Auftragsverarbeiter unterscheiden: Kritische Fehler

⏱️ Lesezeit: 14 min · 📁 Kategorie: KVKK, DSGVO, Datenverarbeitungsbeziehungen

Verantwortliche und Auftragsverarbeiter unterscheiden: Kritische Fehler

Ein häufiger KVKK/DSGVO-Fehler ist die falsche Unterscheidung zwischen
Verantwortlichem und Auftragsverarbeiter bei tatsächlichen Verarbeitungstätigkeiten.
In den Jahren 2024-2025 bezeichneten sowohl die europäischen Datenbehörden als auch das KVKK-Vorstandsgremium Rollenverwirrung als einen ernsten Risikobereich, insbesondere in gemischten Servicemodellen und SaaS-Infrastrukturen.

Diese Fehler verursachen Verstöße und können sogar
die Verarbeitung durch falsche Rollenzuweisung rechtswidrig machen.

Der 2025 am häufigsten betonte Punkt des Gremiums: „Rollen richten sich nach tatsächlicher Verarbeitung, nicht nach Vertragsbezeichnungen.“ 1. Bedeutung der Unterscheidung Verantwortlicher–Auftragsverarbeiter

Richtig bestimmen, welche Rolle ein Unternehmen bei der Verarbeitung der Daten übernimmt, die folgende Pflichten unmittelbar berührt:

• Datenschutzrechtliche Informationspflicht
• Festlegung von Einwilligungs- und Verarbeitungsbedingungen
• Haftung für die Meldung von Verstößen
• Sicherheit der verarbeiteten Daten
• Löschung / Anonymisierungspolitiken
• Prüfung - Vertrag - zusätzliche Verpflichtungen

Behauptet ein Unternehmen, Auftragsverarbeiter zu sein, handelt aber als Verantwortlicher,
Alle angebotenen Dienstleistungen werden rechtlich riskant.

2. Die 7 häufigsten kritischen Fehler in der 2024-2025 Periode Fehler 1: "Wenn der Vertrag sagt, Prozessor, kein Problem" Ansatz

Viele Unternehmen halten die Vertragsbezeichnung „Auftragsverarbeiter“ für ausreichend.
Die Behörden haben jedoch wiederholt auf diesen Grundsatz hingewiesen:

Titel werden nicht vertraglich festgelegt; sie werden bestimmt durch wer, welchen Zweck und wie Daten verarbeitet werden.

Beispiel:
Ein SaaS CRM-Anbieter führt die Analyse des Kundenverhaltens durch, führt das Benutzerrouting in der Schnittstelle durch und trifft seine eigene Entscheidung über die Datenspeicherungszeit.
Dann gilt er als Verantwortlicher statt als Auftragsverarbeiter.

Fehler 2: Gemeinsame Verantwortlichkeit übersehen

Viele Servicemodelle passen nicht mehr in die klassische Steuerungs-Prozessor-Beziehung.
Zum Beispiel:

• Marktplatz - Verkäuferbeziehung
• Banken - Fintech-Akkreditierungs-APIs
• Versicherung – Schadenregulierungssoftware
• E-Commerce-Plattform - Werbe-Targeting-Netzwerke

Viele dieser Beziehungen begründen gemeinsame Verantwortlichkeit.
In der Türkei besteht jedoch die Gefahr schwerwiegender Verstöße, da die meisten Unternehmen sie als Verarbeiter interpretieren.

Fehler 3: Verkettung von Rollenverlagerungen in der Lieferkette

Die Kette bricht zusammen, weil die Lieferanten oft falsch gekennzeichnet sind.

Beispielkette:

Marke -> Agentur -> Werbetechnologie-Anbieter -> Cloud-Infrastruktur -> Analytics-Tool

Hier, bitte.

Agentur: oft Controller/Controller-Beziehung

Werbeplattform: gemeinsam verantwortlich

Clouddienst: Auftragsverarbeiter

Analytik: meist Verantwortlicher, da Zwecke und Mittel bestimmt werden

In der Türkei gilt für alle das gleiche Modell: "Agentur ist unser Prozessor."
Dieser Ansatz wurde zu einem der Bereiche, die der Vorstand 2025 häufig überwachte.

Fehler 4: Zweckbestimmung des Prozessors (bedeutendster Fehler)

Wenn ein Datenverarbeiter eine der folgenden Tätigkeiten durchführt, ist er jetzt ein Verantwortlicher:

• Entscheidet sie sich für die Datenspeicherung allein
• Entscheidet sie sich für neue Arten von Analysen
• Wenn sie Daten zur Entwicklung ihres eigenen Produkts verwendet
• entscheidet, welche Daten allein zu erheben sind
• Wenn er befugt ist, Daten an Dritte weiterzugeben

Dies gilt insbesondere für die Türkei:

CRM-Anbieter

Integration des E-Commerce-Marktes

Chatbot/AI SaaS-Lösungen

Werbeanalyse-Tools

Es ist sehr häufig.

Fehler 5: In Verträgen unklare technische und organisatorische Maßnahmen lassen

Das am meisten kritisierte Thema in vielen DPA- und Board-Audits:

Verwendung von "allgemeinen Ausdrücken" im Rahmen der Datenverarbeitungsvereinbarung (DPA).

Beispiel fehlerhafte Artikel:

"Es werden alle notwendigen Sicherheitsmaßnahmen getroffen."

"Personenbezogene Daten werden so lange wie nötig gespeichert."

"Löschen Sie gemäß den einschlägigen Rechtsvorschriften."

Diese Klauseln werden nicht mehr akzeptiert.
Prüfungen verlangen konkretisierte Pflichten.

Fehler 6: Fehler bei der Meldung der Verwendung von Subprozessoren

Highlights in den Board Audits im Jahr 2025:
Nicht offengelegter Einsatz von Unterauftragsverarbeitern.

Insbesondere:

E-Mail-Dienste (Sendgrid, Mailgun)

Cloud-Server-Anbieter

Log-/Monitoring-Werkzeuge

Cookie- und Analyselösungen

Deshalb kann der Datenverantwortliche, der den Dienst empfängt, die realen Risiken nicht erkennen.

Fehler 7: Ungewissheit darüber, wer Verstöße melden wird

Viele Unternehmen wissen immer noch nicht die Antwort auf diese Frage:

Wessen Verantwortung ist die Meldung der Verletzung?

Die Antwort hängt von der Rolle ab:

Verantwortlicher → Gremium und Betroffene benachrichtigen

Auftragsverarbeiter → Verantwortlichen unverzüglich benachrichtigen

Viele Unternehmen vermissen 72 Stunden wegen fehlender Verletzung Mitteilung SLA in Verträgen.

3. Aktuelle, realistische Beispiele (2024-2025)

Die folgenden Beispiele sind Risikoszenarien, die aus den Ergebnissen der Behörden 2024-2025 abgeleitet wurden.

Beispiel 1: SaaS-Plattform, die sagt: "Wir bieten nur CRM"

Status:

Die Plattform analysiert Kundenverhalten.

Es bildet ein Segment für Kunden.

Es verarbeitet alle Daten für "Produktverbesserung".

Ergebnis: Verantwortlicher
Falsche Einstufung: „Auftragsverarbeiter“ → ungültiger Vertrag → rechtswidrige Verarbeitung.

Beispiel 2: E-Commerce-Plattform - Verkäuferbeziehung

Plattform:

Er verwaltet die Lieferprozesse.

Er macht Betrugsanalysen.

Es überprüft den Zahlungsfluss.

Beispiel 3: Digital Marketing Agentur

Einrichtung:

Es setzt Kampagnenziel.

Sie definiert allein Inhalte und Zielgruppenstrategien.

Diese Agentur gilt als Verantwortlicher.
Da die Verträge jedoch "Verarbeiter" geschrieben werden, werden alle Kampagnendaten unrechtmäßig verarbeitet.

Beispiel 4: Fintech Authentifizierung API

API-Dienst:

Er entwickelt Modelle der Betrugserkennung.

Es erweitert seinen eigenen Datensatz.

In diesem Fall: Verantwortlicher.
Viele Fintech-Unternehmen in Türkiye präsentieren dieses Modell als "Prozessor"-Beziehung -> ein hohes Risiko.

4. Acht häufige Lücken in Lieferantenverträgen 1. Rollen nicht explizit angegeben

Verantwortlicher, Auftragsverarbeiter und gemeinsam Verantwortliche sind nicht oder falsch bestimmt.

2. Keine Liste der Subprozessoren

Subprozessor-Anhänge werden nicht vertraglich vereinbart.

3. Keine Löschung/Anonymisierungsverfahren

Wenn, nach welcher Methode, wer verantwortlich ist, unausgesprochen ist.

4. Fehlende Prüfrechte

Verfahren für die Prüfung des Prozessors wurden nicht definiert.

5. Keine SLA

Insbesondere wird der Begriff "unmittelbar" für die Vertragsverletzung verwendet, was unzureichend ist.

6. Abstrakte technische Sicherheitsmaßnahmen

Objekte wie Verschlüsselung, Zugriffskontrolle, Protokollverwaltung bleiben "wenn nötig".

7. Geografische Transferbestimmungen sind unklar

Die Rechenzentren des Cloud-Anbieters sind nicht spezifiziert.

8. Verarbeitungszweck unklar

Breite Ausdrücke wie "für die Entwicklung verfügbar" sind unvereinbar.

5. Was sollten Unternehmen tun, wenn sie bis 2026 gehen?

Die folgenden Schritte wurden gemäß den Leitlinien der Behörden von 2025 vorbereitet:

• Rollenanalyse (RACI) für jede Datenverarbeitungsaktivität muss extrahiert werden.
• Lieferantenkarte muss extrahiert werden (Martech, Fintech, SaaS, Cloud).
• Rollen als Verantwortlicher und Auftragsverarbeiter neu bewerten.
• Verträge müssen entsprechend der Rollenbefolgung überarbeitet werden.
• Obligatorische DPA-Anhänge müssen für Parteien, die Verarbeiter sind vorbereitet werden.
• Die transparente Verwaltung der Unterprozessorliste muss gewährleistet sein.
• SLAs zur Verletzungsmeldung und Kommunikationskette klären.

Das zentrale Prüfthema 2026: „Wer ist Verantwortlicher, wer Auftragsverarbeiter und welche Dokumentation belegt dies?“