In einer Entscheidung vom 18.12.2018 (DSB-D213.692/0001-DSB/2018) der DSB beschäftigte mit einer Einwilligung, die sich auch darauf bezog, dass ein Verantwortlicher Auftragsverarbeiter heranzieht. Ist das sinnvoll?

Die Einwilligung und Auftragsverarbeitung.

Die betroffenen Personen sollten in der vorformulierten Einwilligungserklärung zustimmen, „dass die Allergie-Tagesklinik D*** jederzeit andere Unternehmen und/oder Personen zur Durchführung der vereinbarten Dienstleistung heranziehen darf. Dies betrifft auch die Verarbeitung inkl. Speicherung von personenbezogenen Daten.“

Aus dieser Passage der Einwilligungserklärung leitete die DSB ab, dass die betroffenen Personen der Beauftragung von Auftragsverarbeitern zustimmen sollten. Die Entscheidung, ob eine Verarbeitungstätigkeit an einen Auftragsverarbeiter von einem Verantwortlichen „ausgelagert“ wird, ist jedoch ausschließlich und allein vom Verantwortlichen in eigener Verantwortung zu treffen. Diesen trifft auch die Pflicht zur sorgfältigen Auswahl des Auftragsverarbeiters sowie zum Abschluss eines Auftragsverarbeitungsvertrages gem. Art 28 DSGVO.

Die Heranziehung von Auftragsverarbeiter liegt nicht in einer Entscheidungs- oder Mitwirkungsbefugnis der betroffenen Personen und ist eine „Einwilligung“ gar nicht zugänglich. Diese geforderte Einwilligung kann daher rechtswirksam nicht erteilt werden.

06.04.2019, Autor: 

Michael Schweiger, zert. DSBA