Auftragsverarbeitung mit einer Werbeagentur, die selbst keine pbDaten verarbeitet?

Datenschutz
1

Hallo zusammen,
ein Kunde beauftragt eine Werbeagentur für diverse Marketingaktivitäten. Die Agentur schließt einen kaufmännischen Rahmenvertrag mit einem IT-Dienstleister, der SAAS-Dienstleistungen anbietet.
Der IT-Dienstleister soll personenbezogene Daten des Kunden verarbeiten (Hosting, Wartung, Support) und setzt seinerseits dafür weitere Auftragsverarbeiter ein.

Die Werbeagentur hat nur die Lizenz vermittelt und keinen Zugriff auf die Daten.

Zwischen dem Kunden und der Werbeagentur besteht Uneinigkeit, wer die AV-Vereinbarung mit dem IT-Dienstleister schließen soll.

Der Kunde sagt: Wir haben eine Agentur beauftragt, die sich um alles kümmern soll, auch die dafür notwendigen weiteren Dienstleister.
Kunde → schließt AV mit → Werbeagentur → AV-V → IT-Dienstleister → AV-V mit weiteren Auftragsverarbeitern
Ziel: Der Kunden will eine AV-Vereinbarung mit der Werbeagentur und möglichst nur einen Kontrollpunkt haben.

Die Werbeagentur sagt: Wir sind kein Auftragsverarbeiter, weil wir keine pbDaten verarbeiten.
Kunde → AV-V mit → IT-Dienstleister → AV-V mit weiteren Auftragsverarbeitern
Ziel: keinen Aufwand / keine Haftung bei der Werbeagentur

Der IT-Dienstleister hat aber gar kein Vertragsverhältnis mit dem Kunden (Verantwortlichen). Normalerweise folgt die AV-V dem kaufm. Vertrag.

Habe leider in der Literatur nichts finden können. Ideen?
Gruß

2

Wie kommt denn der IT-Dienstleister an die personenbezogene Daten des Kunden?

3

Der IT-Dienstleister stellt die CRM-Plattform, bietet Onboarding, Wartung und Support. Der Kunde nutzt das System mit seinen Beschäftigten. Die Werbeagentur (wohl Haus- und Hoflieferant) wird nicht “allzu sehr” in die eigentliche Implementierung involviert sein und hat dies nach neuesten Kenntnissen wegen anderer Zahlungsmodalitäten direkt mit dem IT-Dienstleister abgeschlossen. Ist das schädlich, eine AV-Vereinbarung zu schließen ohne direkten kaufm. Vertrag mit dem Verantwortlichen? Leider kann nicht in Erfahrung gebracht werden, was zwischen dem Kunden und der Werbeagentur vereinbart ist - stellt sich die Frage, was passiert, wenn es Probleme bei der Umsetzung gibt. :face_with_open_eyes_and_hand_over_mouth:

4

Verantwortlicher ist ja immer der, der über Zweck und Mittel der Verarbeitung bestimmt. Wer hat diesen IT-Dienstleister ausgesucht und bestimmt über Zweck und Mittel? Vielleicht ist die Werbeagentur selbst Verantwortlicher für diese Verarbeitung. Dann ist ein AVV nicht notwendig. Wenn der Kunde das System auch nutzt, kommt vielleicht gemeinsame Verantwortlichkeit ins Spiel und eine Joint Controller Vereinbarung.