Unter welchen Voraussetzungen darf man Personendaten einem Auftragsbearbeiter übertragen?

Eine Übertragung an einen Auftragsbearbeiter ist zulässig, wenn die Bearbeitung vertraglich oder durch die Gesetzgebung übertragen wird. Dabei gelten zwei zentrale Bedingungen gleichzeitig: Erstens müssen die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte. Zweitens darf keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbieten. Zu prüfen ist daher nicht nur, ob ein Auftrag besteht, sondern auch, ob der vorgesehene Umfang der Bearbeitung innerhalb dessen bleibt, was dem Verantwortlichen selbst erlaubt ist, und ob besondere Geheimhaltungspflichten einer Auslagerung entgegenstehen.^[1]

Zusätzlich trifft den Verantwortlichen eine Prüfpflicht. Er muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. Wenn der Auftragsbearbeiter die Bearbeitung an einen Dritten weitergeben will, ist dafür eine vorgängige Genehmigung des Verantwortlichen erforderlich. Für die praktische Prüfung sind deshalb vor allem diese Punkte wesentlich: ob der Auftragsbearbeiter ausreichende Datensicherheit gewährleisten kann und ob eine allfällige Weiterübertragung an Dritte nur mit vorgängiger Genehmigung erfolgt. Der Auftragsbearbeiter kann zudem dieselben Rechtfertigungsgründe geltend machen wie der Verantwortliche.^[1]

Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor einem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.^[1]