Third Party Processor
Definition: Ein Third Party Processor ist ein externes Unternehmen, das personenbezogene Daten im Auftrag und nach dokumentierter Weisung eines Verantwortlichen verarbeitet. Die Rechtsgrundlage bildet ein Vertrag nach Art. 28 DSGVO. Der Prozessor handelt strikt weisungsgebunden und haftet bei Missachtung der Vorgaben unmittelbar.
Definition und rechtliche Einordnung nach DSGVO
Der Begriff Third Party Processor bezeichnet eine natürliche oder juristische Person, die personenbezogene Daten ausschließlich im Auftrag eines Verantwortlichen verarbeitet. Die DSGVO etabliert hierfür ein dreistufiges Modell: Verantwortlicher, Auftragsverarbeiter und gegebenenfalls Unterauftragsverarbeiter. Der Third Party Processor ist stets extern – also nicht Teil der Organisation des Verantwortlichen. Entscheidend ist die Weisungsgebundenheit: Der Prozessor besitzt keine eigene Entscheidungsfreiheit über Zwecke und Mittel der Verarbeitung. Sobald er diese Grenze überschreitet, wird er selbst zum Verantwortlichen und haftet vollumfänglich.
Die Beauftragung erfolgt zwingend über einen Vertrag, der die Anforderungen aus Art. 28 Abs. 3 DSGVO erfüllt. Dieser Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien betroffener Personen und personenbezogener Daten festlegen. Fehlt dieser Vertrag, ist die gesamte Verarbeitung rechtswidrig – unabhängig davon, ob technisch alles korrekt läuft.
Ein Third Party Processor ohne schriftlichen Auftragsverarbeitungsvertrag ist kein Prozessor, sondern ein Rechtsverstoß.
Pflichten, Haftung und praktische Implikationen
Der Third Party Processor unterliegt einem umfangreichen Pflichtenkatalog. Er muss geeignete technische und organisatorische Maßnahmen implementieren, ein Verarbeitungsverzeichnis führen und bei Datenschutzverletzungen den Verantwortlichen unverzüglich informieren. Besondere Brisanz entsteht bei Unterauftragsverhältnissen: Der Prozessor darf weitere Dienstleister nur mit vorheriger Genehmigung des Verantwortlichen einschalten. Diese Genehmigung kann generell oder spezifisch erteilt werden. Für jeden Unterauftragsverarbeiter gelten dieselben Anforderungen wie für den Hauptprozessor.
Die Haftungslandschaft ist asymmetrisch. Der Verantwortliche haftet grundsätzlich für die gesamte Verarbeitungskette. Der Prozessor haftet nur für jene Teile, für die er verantwortlich ist – etwa bei Überschreitung der Weisungen oder bei Verstößen gegen spezifische Prozessorenpflichten. In der Praxis zeigt sich: Unternehmen unterschätzen häufig das Risiko, das von langen Sub-Verarbeiterketten ausgeht. Jede weitere Ebene erhöht die Komplexität und die Fehleranfälligkeit.
| Pflicht | Third Party Processor | Verantwortlicher |
|---|---|---|
| Weisungsgebundene Verarbeitung | Ja, zwingend | Nein, entscheidet selbst |
| Vertrag nach Art. 28 DSGVO | Muss einhalten | Muss abschließen |
| Meldung von Datenschutzverletzungen | An Verantwortlichen | An Aufsichtsbehörde |
| Haftung | Nur bei eigenen Verstößen | Gesamte Verarbeitungskette |
Abgrenzung zu anderen Rollen und Kontexten
Der Begriff Third Party Processor wird in unterschiedlichen Fachdomänen mit abweichenden Bedeutungen verwendet. Im reinen Vertragsrecht bezeichnet er schlicht einen externen Dienstleister ohne spezifische datenschutzrechtliche Konnotation. Im Kontext der Zahlungsabwicklung – etwa nach PSD2 – meint der Begriff einen Zahlungsdienstleister, der Transaktionen im Auftrag eines Händlers abwickelt. Hier stehen eher technische und finanzielle Compliance-Anforderungen im Vordergrund.
Im B2B-SaaS-Umfeld kollidiert der Begriff mit der Rolle des Sub-Processors. Viele Cloud-Anbieter agieren als Third Party Processor für ihre Kunden und lagern selbst wiederum Infrastruktur an Hyperscaler aus. Diese Kaskadenbildung führt zu erheblichen Transparenzproblemen. Datenschutzbeauftragte müssen daher genau prüfen, ob ein Dienstleister tatsächlich nur weisungsgebunden handelt oder ob er eigene Zwecke verfolgt – etwa bei der Nutzung von Kundendaten für Produktverbesserungen oder Trainingsdaten für KI-Modelle.
Die Grenze zwischen Prozessor und Verantwortlicher verschwimmt zunehmend, wenn Dienstleister Daten für eigene Zwecke nutzen. Genau hier liegt das größte rechtliche Risiko.
Praxisleitfaden für das Management externer Verarbeiter
Ein robustes Governance-System für Third Party Processor beginnt mit einem vollständigen Inventar aller externen Dienstleister. Jeder Prozessor muss kategorisiert werden: nach Datenkategorien, Verarbeitungszwecken, betroffenen Regionen und eingesetzten Sub-Prozessoren. Auf dieser Basis erfolgt eine Risikobewertung, die sowohl rechtliche als auch technische Aspekte berücksichtigt. Verträge müssen regelmäßig überprüft und an geänderte Verarbeitungsaktivitäten angepasst werden.
Die operative Kontrolle erfordert mehr als Vertragsmanagement. Stichprobenartige Audits, Zertifikatsprüfungen und technische Kontrollmechanismen gehören zum Standardrepertoire eines reifen Datenschutzmanagements. Besondere Aufmerksamkeit gilt der Vertragsbeendigung: Der Third Party Processor muss nach Auftragsende alle Daten löschen oder zurückgeben – es sei denn, gesetzliche Aufbewahrungspflichten stehen dem entgegen. Diese Löschpflicht wird in der Praxis häufig übersehen und führt zu erheblichen Altlasten.
Ein effektives Prozessoren-Management folgt dem Prinzip der kontinuierlichen Überwachung. Die einmalige Vertragsprüfung genügt nicht. Änderungen in der Unternehmensstruktur des Prozessors, neue Technologien oder geänderte Rechtslagen erfordern eine dynamische Anpassung der Compliance-Maßnahmen. Unternehmen, die diese Dynamik ignorieren, riskieren nicht nur Bußgelder, sondern auch erhebliche Reputationsschäden.
« Back to Glossary Index