Wer entscheidet über Zweck und Mittel?
Die Rolle ergibt sich aus dem, was tatsächlich passiert, nicht aus der Überschrift des Vertrags. Vier Fragen genügen, um sie bei einem neuen Dienstleister zu bestimmen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Vertrag kommt zuerst, die Rollenfrage stellt niemand
Der übliche Ablauf sieht so aus: Eine Fachabteilung will ein neues Werkzeug, der Einkauf fordert die Unterlagen an, der Anbieter schickt seine Vorlage für die Auftragsverarbeitung mit, jemand unterschreibt. Die Frage, ob es überhaupt Auftragsverarbeitung ist, hat auf diesem Weg niemand gestellt. Sie steht auch nicht im Vertrag, denn der beschreibt eine Rolle, statt sie zu prüfen.
Liegt in Wahrheit gemeinsame Verantwortlichkeit vor, fehlen zwei Dinge, die Artikel 26 verlangt: die Vereinbarung darüber, wer welche Pflicht erfüllt, und der Umstand, dass das Wesentliche dieser Vereinbarung den betroffenen Personen zugänglich sein muss. Beides fällt erst auf, wenn jemand Auskunft verlangt oder eine Aufsichtsbehörde nachfragt, und dann steht die Lücke schriftlich fest. Nach Artikel 26 Absatz 3 kann sich eine betroffene Person ohnehin an jeden der Beteiligten wenden, unabhängig davon, was intern vereinbart war.
Der umgekehrte Fehler kostet ebenfalls. Wer einer Steuerberatung oder einer Berufsgenossenschaft einen Vertrag zur Auftragsverarbeitung schickt, bekommt entweder eine Absage oder eine Unterschrift, die nichts bedeutet. Beide Stellen erfüllen eigene gesetzliche Pflichten und sind für die Daten selbst verantwortlich. Wer sie als Auftragsverarbeiter führt, geht davon aus, dass sie Betroffenenanfragen an ihn weiterreichen, und wartet im Ernstfall auf eine Meldung, die nie kommt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die drei Konstellationen nebeneinander
Es gibt nicht zwei Möglichkeiten, sondern drei, und die dritte wird am häufigsten übersehen. Die folgenden Fragen sind die, an denen sich die Konstellationen im Betrieb tatsächlich unterscheiden.
Auftragsverarbeitung
eine Seite entscheidet, die andere führt aus, geregelt in Artikel 28
Gemeinsame Verantwortlichkeit
beide Seiten entscheiden zusammen über den Zweck, geregelt in Artikel 26
Zwei getrennt Verantwortliche
jede Seite verfolgt eigene Zwecke, die Daten werden von der einen an die andere übermittelt
| Entscheidungsfrage | Auftragsverarbeitung | Gemeinsame Verantwortlichkeit | Zwei getrennt Verantwortliche |
|---|---|---|---|
| Wer legt fest, wozu die Daten verarbeitet werden? | Stärke Allein der Verantwortliche. Der Dienstleister darf über technische Einzelheiten entscheiden, nicht über den Zweck. | Kommt darauf an Beide zusammen. Artikel 26 erfasst genau diesen Fall und knüpft ihn an eine Vereinbarung darüber, wer welche Pflicht übernimmt. | Stärke Jede Seite für sich, oft weil ein Gesetz oder ein Berufsrecht den Zweck ohnehin vorgibt. |
| Darf die Gegenseite die Daten für eigene Auswertungen nutzen? | Stärke Nein, und das ist der Kern der Rolle. Sobald sie es doch tut, gilt sie nach Artikel 28 Absatz 10 für diese Verarbeitung selbst als Verantwortliche. | Kommt darauf an Ja, und daran erkennt man die Konstellation meist. Der gemeinsame Zweck ist der Grund für die Einstufung und zugleich der Grund für die Zusatzpflichten aus Artikel 26. | Schwäche Ja, für eigene Zwecke, die mit deinen nichts zu tun haben müssen. Ein Weisungsrecht, das dem entgegenstünde, gibt es hier nicht. |
| Welcher Vertrag ist Pflicht, und was muss er enthalten? | Kommt darauf an Ein Vertrag nach Artikel 28 Absatz 3 mit acht festen Pflichtinhalten, von der Weisungsbindung bis zum Prüfrecht. | Schwäche Eine Vereinbarung nach Artikel 26, die zusätzlich die Aufteilung der Informationspflichten regeln muss. | Stärke Keiner. Nötig ist stattdessen eine Rechtsgrundlage für die Übermittlung und eine Information darüber. |
| An wen wenden sich betroffene Personen mit ihren Rechten? | Stärke An den Verantwortlichen. Der Dienstleister muss ihn dabei unterstützen, antwortet aber nicht selbst. | Schwäche An jeden von euch. Artikel 26 Absatz 3 stellt ausdrücklich klar, dass die interne Aufteilung nach außen nicht wirkt. | Stärke An die Stelle, die die Daten gerade verarbeitet. Jede Seite beantwortet für sich, was sie selbst gespeichert hat. |
| Was muss nach außen sichtbar sein? | Stärke Die Empfängerkategorie in der Datenschutzerklärung. Der Vertrag selbst bleibt intern. | Schwäche Das Wesentliche der Vereinbarung, weil Artikel 26 Absatz 2 verlangt, es den betroffenen Personen zur Verfügung zu stellen. | Kommt darauf an Die Übermittlung selbst, samt Empfänger und Rechtsgrundlage. Das gehört in die Informationen nach Artikel 13. |
| Wer meldet eine Datenpanne an die Aufsichtsbehörde? | Stärke Der Verantwortliche. Der Auftragsverarbeiter meldet nach Artikel 33 Absatz 2 unverzüglich an ihn, nicht an die Behörde. | Kommt darauf an Das gehört in die Vereinbarung. Fehlt die Festlegung, stehen beide in der Pflicht und beide riskieren die Fristüberschreitung. | Stärke Wer den Vorfall in seinem Bereich hat. Die andere Seite erfährt davon nur, wenn ihre Daten mit betroffen sind. |
Wer legt fest, wozu die Daten verarbeitet werden?
Allein der Verantwortliche. Der Dienstleister darf über technische Einzelheiten entscheiden, nicht über den Zweck.
Beide zusammen. Artikel 26 erfasst genau diesen Fall und knüpft ihn an eine Vereinbarung darüber, wer welche Pflicht übernimmt.
Jede Seite für sich, oft weil ein Gesetz oder ein Berufsrecht den Zweck ohnehin vorgibt.
Darf die Gegenseite die Daten für eigene Auswertungen nutzen?
Nein, und das ist der Kern der Rolle. Sobald sie es doch tut, gilt sie nach Artikel 28 Absatz 10 für diese Verarbeitung selbst als Verantwortliche.
Ja, und daran erkennt man die Konstellation meist. Der gemeinsame Zweck ist der Grund für die Einstufung und zugleich der Grund für die Zusatzpflichten aus Artikel 26.
Ja, für eigene Zwecke, die mit deinen nichts zu tun haben müssen. Ein Weisungsrecht, das dem entgegenstünde, gibt es hier nicht.
Welcher Vertrag ist Pflicht, und was muss er enthalten?
Ein Vertrag nach Artikel 28 Absatz 3 mit acht festen Pflichtinhalten, von der Weisungsbindung bis zum Prüfrecht.
Eine Vereinbarung nach Artikel 26, die zusätzlich die Aufteilung der Informationspflichten regeln muss.
Keiner. Nötig ist stattdessen eine Rechtsgrundlage für die Übermittlung und eine Information darüber.
An wen wenden sich betroffene Personen mit ihren Rechten?
An den Verantwortlichen. Der Dienstleister muss ihn dabei unterstützen, antwortet aber nicht selbst.
An jeden von euch. Artikel 26 Absatz 3 stellt ausdrücklich klar, dass die interne Aufteilung nach außen nicht wirkt.
An die Stelle, die die Daten gerade verarbeitet. Jede Seite beantwortet für sich, was sie selbst gespeichert hat.
Was muss nach außen sichtbar sein?
Die Empfängerkategorie in der Datenschutzerklärung. Der Vertrag selbst bleibt intern.
Das Wesentliche der Vereinbarung, weil Artikel 26 Absatz 2 verlangt, es den betroffenen Personen zur Verfügung zu stellen.
Die Übermittlung selbst, samt Empfänger und Rechtsgrundlage. Das gehört in die Informationen nach Artikel 13.
Wer meldet eine Datenpanne an die Aufsichtsbehörde?
Der Verantwortliche. Der Auftragsverarbeiter meldet nach Artikel 33 Absatz 2 unverzüglich an ihn, nicht an die Behörde.
Das gehört in die Vereinbarung. Fehlt die Festlegung, stehen beide in der Pflicht und beide riskieren die Fristüberschreitung.
Wer den Vorfall in seinem Bereich hat. Die andere Seite erfährt davon nur, wenn ihre Daten mit betroffen sind.
Was passt wann
- Wenn der Dienstleister nur ausführt, was du vorgibst, und mit den Daten sonst nichts anfängt
- ist es Auftragsverarbeitung, und du brauchst einen Vertrag mit den Punkten aus Artikel 28 Absatz 3.
- Wenn beide Seiten aus derselben Verarbeitung eigenen Nutzen ziehen und über den Zweck zusammen entschieden haben
- ist es gemeinsame Verantwortlichkeit, und ihr braucht neben der Vereinbarung eine öffentlich zugängliche Kurzfassung davon.
- Wenn die Gegenseite eigenen gesetzlichen oder berufsrechtlichen Pflichten folgt, wie die Steuerberatung oder die Berufsgenossenschaft
- sind es zwei getrennt Verantwortliche, und statt eines Vertrags brauchst du eine Rechtsgrundlage für die Übermittlung.
Vier Fragen, und die Rolle steht fest
- 01 Entscheidet allein deine Seite, wozu die Daten verarbeitet werden?
- 02 Zieht die Gegenseite aus denselben Daten einen eigenen Nutzen?
- 03 Habt ihr über den Zweck gemeinsam entschieden, auch ohne Vertrag?
- 04 Folgt die Gegenseite eigenen gesetzlichen Pflichten wie eine Steuerberatung?
- 05 Erst wenn diese vier Antworten stehen, wählst du den passenden Vertrag.
Was du danach bei jedem neuen Dienstleister in zehn Minuten entscheidest
Die Einordnung braucht keine Rechtsprüfung, sondern vier saubere Antworten. Sie betreffen den Zweck, den Eigennutzen der Gegenseite, die gesetzliche Bindung und die Frage, welcher Teil der Verarbeitung überhaupt gemeint ist. Wenn diese vier Antworten stehen, ergibt sich der Vertragstyp von allein.
Zweck und Mittel auseinanderhalten
Der Europäische Datenschutzausschuss unterscheidet in seinen Leitlinien 07/2020 zwischen wesentlichen und nicht wesentlichen Mitteln. Welche Datenarten erhoben werden, wie lange sie gespeichert bleiben und wer Zugriff bekommt, gehört zu den wesentlichen Mitteln und liegt beim Verantwortlichen. Welche Serverhardware, welches Betriebssystem und welches Verschlüsselungsverfahren dahinter stehen, darf der Auftragsverarbeiter selbst festlegen.
Den Eigenzweck sichtbar machen
Du prüfst, ob die Gegenseite aus denselben Daten etwas für sich zieht, etwa Vergleichswerte über mehrere Kunden hinweg oder Material zur Produktverbesserung. Sobald sie das tut, verfolgt sie für diesen Teil einen eigenen Zweck, und dafür trägt sie die Verantwortung selbst.
Gemeinsame Verantwortlichkeit an ihren Folgen erkennen
Artikel 26 verlangt mehr als einen weiteren Vertrag. Ihr müsst festlegen, wer die Informationspflichten aus Artikel 13 und 14 erfüllt, und das Wesentliche dieser Vereinbarung muss für betroffene Personen zugänglich sein. Wer diese beiden Punkte nicht liefern kann, hat die Konstellation noch nicht zu Ende gedacht.
Den dritten Fall nicht vergessen
Zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit liegt der häufigste Fall überhaupt: zwei getrennt Verantwortliche. Hier braucht es keinen Datenschutzvertrag, sondern eine Rechtsgrundlage für die Übermittlung und eine Information darüber in der Datenschutzerklärung.
Die Rolle je Verarbeitungsschritt bestimmen
Der Europäische Gerichtshof hat im Fashion-ID-Urteil entschieden, dass die Verantwortlichkeit dort endet, wo die Mitentscheidung endet. Eine Stelle kann für das Erheben und Übermitteln verantwortlich sein und für alles, was danach beim Empfänger passiert, eben nicht.
Den Vertrag als Folge behandeln, nicht als Ursache
Nach Artikel 28 Absatz 10 gilt ein Auftragsverarbeiter, der selbst über Zwecke und Mittel bestimmt, für diese Verarbeitung als Verantwortlicher. Die Unterschrift ändert daran nichts, sie dokumentiert eine Rolle, die vorher schon feststand.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Prüfung beginnt bei Zweck und Mittel, nicht beim Vertragstext
Artikel 4 Nummer 7 nennt den Verantwortlichen als die Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet. Nummer 8 definiert den Auftragsverarbeiter schlicht als jemanden, der im Auftrag des Verantwortlichen verarbeitet. Die beiden Begriffe hängen also an einer einzigen Frage, und die betrifft die Entscheidungsmacht, nicht die technische Nähe zu den Daten.
Weil das in der Praxis zu grob ist, teilt der Europäische Datenschutzausschuss die Mittel in seinen Leitlinien 07/2020 in zwei Gruppen. Wesentliche Mittel sind die Entscheidungen, die eng am Zweck hängen: welche Datenarten erhoben werden, wie lange sie gespeichert bleiben, welche Personengruppen betroffen sind, wer Zugriff bekommt und an wen offengelegt wird. Nicht wesentliche Mittel sind die technischen Umsetzungsfragen, also Hardware, Betriebssystem, Detailausgestaltung der Sicherheitsmaßnahmen. Ein Anbieter darf über die zweite Gruppe frei entscheiden und bleibt trotzdem Auftragsverarbeiter.
Daraus folgt der praktische Prüfsatz: Nicht jede Freiheit des Anbieters spricht gegen Auftragsverarbeitung. Entscheidend ist, ob du die Speicherdauer, den Datenumfang und die Empfänger noch bestimmen kannst. Ein Anbieter, der die Speicherdauer fest vorgibt und sie auf Nachfrage nicht ändert, hat ein wesentliches Mittel an sich gezogen, egal was auf dem Deckblatt seines Vertrags steht.
Fünf Konstellationen, die im Betrieb wirklich vorkommen
Die externe Lohnbuchhaltung ist der Lehrbuchfall der Auftragsverarbeitung, solange das Büro die Abrechnung nach deinen Vorgaben erstellt. Sobald dieselbe Kanzlei als Steuerberatung tätig wird, kippt die Rolle, denn dann erfüllt sie eigene berufsrechtliche Pflichten und ist an dein Weisungsrecht nicht mehr gebunden. Der Unterschied liegt nicht am Firmenschild, sondern daran, wessen Pflichten gerade erfüllt werden. Beide Rollen können bei derselben Kanzlei nebeneinander bestehen, und dann braucht es für jeden Teil eine eigene Einordnung.
Eine Agentur, die Kampagnen nach deinem Briefing aussteuert, ist Auftragsverarbeiterin. Verdichtet sie dieselben Daten zu Vergleichswerten über ihre Kundschaft hinweg, verfolgt sie damit einen Zweck, den du ihr nicht gegeben hast. Für diesen Teil ist sie eigenständig verantwortlich, und dein Vertrag nach Artikel 28 deckt ihn nicht ab. Das steht selten offen im Angebot, aber regelmäßig in den Nutzungsbedingungen des Auswertungswerkzeugs, das die Agentur einsetzt.
Im Konzern gibt es kein Privileg, das die Rollenfrage erübrigt. Betreibt die Muttergesellschaft ein zentrales Personalsystem und legt die Tochter fest, welche Daten hineingehen und wie lange sie bleiben, ist die Mutter Auftragsverarbeiterin. Nutzt die Mutter dieselben Daten für die Konzernsteuerung, entscheidet sie insoweit über einen eigenen Zweck. Beim Softwarehersteller mit Fernwartungszugang gilt dasselbe Muster: Der Support ist Auftragsverarbeitung, auch wenn der Zugriff nur zweimal im Jahr stattfindet, während Telemetriedaten zur Produktverbesserung ein eigener Zweck des Herstellers sind.
Was Artikel 26 zusätzlich verlangt und wo es dann klemmt
Die Vereinbarung nach Artikel 26 Absatz 1 legt fest, wer von euch welche Pflicht aus der Verordnung erfüllt, mit ausdrücklichem Schwerpunkt auf den Informationspflichten aus Artikel 13 und 14. Sie muss nach Absatz 2 die tatsächlichen Funktionen und Beziehungen widerspiegeln, ein Text, der die Aufgaben anders verteilt, als es real läuft, hilft im Ernstfall nicht.
Der Satz, der am häufigsten übersehen wird, steht am Ende von Absatz 2: Das Wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt. Gemeint ist keine Veröffentlichung des Vertrags, sondern eine verständliche Kurzfassung, wer wofür zuständig ist und an wen man sich wenden kann. Ein eigener Abschnitt in der Datenschutzerklärung reicht dafür, er muss aber existieren und den Kern tatsächlich wiedergeben. Wer nur schreibt, man arbeite mit einem Partner zusammen, hat die Pflicht nicht erfüllt.
Absatz 3 zieht die Konsequenz: Betroffene Personen können ihre Rechte bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen, ungeachtet dessen, was ihr intern vereinbart habt. Eine Vereinbarung, in der die andere Seite alle Anfragen übernimmt, entbindet dich also nicht davon, eine Anfrage entgegenzunehmen und die Frist zu wahren. Sie regelt nur, wer im Innenverhältnis liefert.
Ein Vertrag verlagert keine Verantwortung
Artikel 28 Absatz 10 ist die Norm, die dem verbreitetsten Irrtum den Boden entzieht: Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die Verordnung die Zwecke und Mittel der Verarbeitung, gilt er in Bezug auf diese Verarbeitung als Verantwortlicher. Der Vertrag beschreibt eine Rolle, er verleiht sie nicht. Umgekehrt gilt dasselbe: Wer sich vertraglich zum Auftragsverarbeiter erklärt, aber faktisch mitentscheidet, wird dadurch nicht zum Auftragsverarbeiter.
Der Europäische Gerichtshof hat das für die gemeinsame Verantwortlichkeit im Dezember 2023 ausdrücklich bestätigt. In der Rechtssache C-683/21 hielt er fest, dass eine förmliche Vereinbarung keine Voraussetzung für die Einstufung als gemeinsam Verantwortliche ist. Die Einstufung ergibt sich allein daraus, dass mehrere Stellen an der Entscheidung über Zwecke und Mittel mitgewirkt haben. Die Vereinbarung nach Artikel 26 ist die Folge dieser Feststellung, nicht ihr Auslöser. Eine Stelle kann danach sogar Verantwortliche sein, ohne selbst Daten zu verarbeiten.
Genauso wenig entlastet der Vertrag bei der Auswahl. Artikel 28 Absatz 1 erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Das ist eine Auswahl- und Kontrollpflicht mit eigenem Prüfaufwand vor der Beauftragung, kein Unterschriftsvorgang danach. Verstöße gegen Artikel 28 fallen nach Artikel 83 Absatz 4 in den Rahmen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Wo die Einordnung im Alltag kippt
Am häufigsten kippt sie beim Zugriff, der eigentlich keiner sein sollte. Ein Softwarehaus, das zur Fehlersuche einen Datenbankauszug bekommt, verarbeitet damit dieselben Echtdaten wie du. Screenshots im Support-Ticket, Exporte für die Reproduktion eines Fehlers und Testsysteme, die aus dem Produktivbestand befüllt werden, fallen in dieselbe Kategorie. Sie tauchen in keinem Vertrag auf, weil niemand sie als Verarbeitung wahrgenommen hat.
Der zweite wiederkehrende Punkt sind Klauseln über anonymisierte Auswertung. Was Anbieter so nennen, ist häufig Pseudonymisierung, also ein Zustand, in dem die Zuordnung mit Zusatzwissen weiter möglich ist. Erwägungsgrund 26 der Verordnung ordnet solche Daten ausdrücklich als Informationen über eine identifizierbare Person ein. Aus dem Anwendungsbereich fällt nur heraus, was sich auch mit Zusatzwissen nicht mehr zuordnen lässt. Solange der Anbieter die Zuordnung wiederherstellen könnte, verarbeitet er personenbezogene Daten für einen eigenen Zweck.
Der dritte Punkt betrifft die Rollenbezeichnung, die manche Anbieter selbst wählen. Wenn ein Cloud-Dienst sich in seinen Bedingungen als unabhängiger Verantwortlicher bezeichnet, ist das keine Formalie, sondern eine Ansage: Er verarbeitet deine Daten auch für eigene Zwecke. Dann brauchst du für die Übermittlung eine eigene Rechtsgrundlage und musst darüber informieren. Ein Vertrag nach Artikel 28 wäre an dieser Stelle das falsche Papier und würde die Lücke nur verdecken.
Dazu passende Kurse
Wer die Einordnung nicht nur nachlesen, sondern an den eigenen Dienstleistern durchgehen will, findet dafür Kurse zum Datenschutz im Unternehmen .
Weil die Rollenfrage am Ende in einem Vertrag landet, den jemand verhandeln muss, lohnt daneben der Blick in die Seminare zum Vertragsrecht in der IT .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Häufige Fragen
Braucht wirklich jeder Dienstleister einen Vertrag zur Auftragsverarbeitung?
Wir haben einen Vertrag nach Artikel 28, obwohl es gemeinsame Verantwortlichkeit ist. Wie schlimm ist das?
Kann eine Stelle für dieselbe Zusammenarbeit zwei Rollen gleichzeitig haben?
Muss die Vereinbarung nach Artikel 26 im Internet stehen?
Quellen
- Verordnung (EU) 2016/679, konsolidierte Fassung
- EDSA, Leitlinien 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter
- EuGH, Urteil vom 5. Dezember 2023, C-683/21, zur gemeinsamen Verantwortlichkeit ohne Vereinbarung
- EuGH, Urteil vom 29. Juli 2019, C-40/17 (Fashion ID), zur phasenweisen Verantwortlichkeit
Passt thematisch dazu
Bei KI-Systemen steht am Anfang eine ganz ähnliche Weichenstellung, denn die Weiche zwischen Anbieter und Betreiber nach der KI-Verordnung entscheidet darüber, welche Pflichten überhaupt greifen, noch bevor irgendjemand nach der Risikoklasse fragt.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Die Rollenfrage einmal sauber durchgespielt
Wie du Konstellationen wie Konzern-IT, Agentur oder Fernwartung einordnest, gehst du bei cmt an einer echten Dienstleisterliste durch statt an konstruierten Beispielen.
Passt dazu
- Auftragsverarbeitungsvertrag: Was nach Artikel 28 drinstehen muss und woran Verträge scheitern
- Verzeichnis von Verarbeitungstätigkeiten: So baust du es auf, ohne bei null anzufangen
- Daten in die USA und andere Drittländer: Welche Grundlage die Übermittlung trägt