OK, natürlich ist die interne Datenverarbeitung zu organisieren und zu verstehen, keine Frage. Je nachdem, ob intern eine gemeinsame Verantwortung oder Auftragsverarbeitungen vorliegen. ABER: Wenn ich nach außen hin Auftragsverarbeiter bin, dann darf ich nicht intern auf Basis einer gemeinsamen Verantwortung weiterverteilen, denn ich bin ja gar nicht verantwortlich, darum ging es mir.
Ähm … nein, eine AV-Vereinbarung muss geschlossen werden, wenn B Daten im Auftrag verarbeitet. Wenn ein Mitarbeiter was für A macht und was für B, führt das ja nicht zu einer Auftragsverarbeitung bei B. Wenn es an der Person hängt und die das “immer irgendwie tut” haben wir eher eine Arbeitnehmerüberlassung.
Die Antworten sind alle sehr interessant - gehen aber leider an meiner Frage vorbei. Ich versuchs nochmal anders:
Firma C kauft Dienstleistung bei Firma A und macht eine AV-Vereinbarung.
Dann wechseln die zuständigen Mitarbeiter von Firma A in Firma B, die auch zur gleichen Unternehmensgruppe gehört.
Frage: Muss ich etwas tun hinsichtlich der AVV, die ja nun noch auf Firma A läuft?
AV-Vertrag zwischen C und A + AV-Vertrag zwischen A und B; gegenüber C wäre B als Unterauftragnehmer anzugeben.
Dass die Daten immer noch auf demselben System oder von derselben Person verarbeitet werden ist nicht relevant: C hat einen Vertrag mit A und erwartet, dass nur A ihn erfüllt. Macht A das nicht allein, müsste man die tatsächlichen Verarbeiter (die Unternehmen, nicht die einzelnen Beschäftigten) als Unterauftragnehmer angeben und diese genehmigen lassen. (Allgemeine oder gesonderte Genehmigung; je nach Ausgestaltung des Vertras zwischen C und A.)
Wenn die Daten des Auftrags jetzt nicht mehr nur von A verarbeit werden, sondern von… B, dann muss A einen Auftragsverarbeitungsvertrag mit B schließen und B von C genehmigen lassen. So ergibt sich eine saubere Kette von C (Verantwortlicher) zu A (Auftragsverarbeiter) und B (weiterer Auftragsverarbeiter /Unterauftragsverarbeiter).
Die Zugehörigkeit zur Unternehmensgruppe gibt bei externen AV-Verhältnissen “keine Extra-Punkte”. Sie käme nur für internen Übermittlungen in Betracht (zwischen den Mitgliedern der Gruppe als Verantwortliche); bzw. bei gemeinsamem Betrieb /Ressourcennutzung. Auch hier können sich die internen Parteien an der Grenze zur Auftragsverarbeitung bewegen, so dass man in manchen Konstellationen damit zulässiger fahren würde, einen AV-Vertrag zu schließen.
D., der das intern schon ungefähr 237 Mal erläutert hat.
Entweder gingen die Antworten nicht an der Frage vorbei oder auch diese Formulierung bringt keine Klarheit.
C hat eine AVV mit A. Ende der Geschichte. Wenn die zuständigen Mitarbeiter von A zu B wechseln, ist das allein das Problem von A, warum sollte C da etwas zu tun haben? A muss sehen, wie es das geregelt bekommt oder notfalls dem C gegenüber den Kniefall machen und sagen, dass er es nicht mehr hinbekommt, weil er nicht länger über geeignete Mitarbeiter verfügt. Wäre halt recht irre, wenn man sich innerhalb einer Unternehmensgruppe ins sprichwörtliche Knie schießt, aber nur zu …
Wenn die Unternehmensgruppe nun sagt, die AVV soll zukünftig durch B und nicht mehr durch A erfüllt werden, kann man das ja verhandeln, aber die Leistung schuldet erst einmal A. Wenn der A das weitermacht und sich intern dafür Mitarbeiter von B holt, dann kann es dem C egal sein, wie die das intern regeln. Wenn die Leistung jetzt einfach durch B erbracht wird, verletzt A seine Pflichten bzw. B verarbeitet die Daten unberechtigt.
C muss da gar nichts unternehmen, außer vielleicht die Reißleine ziehen, wenn er einer unberechtigten Verarbeitung gewahr wird.