Laut Art. 4 Nr. 8 der Datenschutz-Grundverordnung (DSGVO) ist ein Auftragsverarbeiter eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Der Auftragsverarbeiter ist also eine separate Stelle, in der Regel ein eigenständiges Unternehmen, das bestimmte Datenverarbeitungsaufgaben übernimmt, die ihm vom Verantwortlichen übertragen wurden.
Die Rolle des Auftragsverarbeiters ist es, die ihm übertragenen Verarbeitungstätigkeiten gemäß den Anweisungen des Verantwortlichen durchzuführen. Der Verantwortliche bleibt dabei für die Einhaltung der Datenschutzvorschriften verantwortlich und muss sicherstellen, dass der Auftragsverarbeiter zuverlässig ist und angemessene technische und organisatorische Maßnahmen zum Schutz der Daten ergreift.
Ein Auftragsverarbeitungsverhältnis liegt vor, wenn ein Unternehmen als Verantwortlicher allein die Entscheidung über die Zwecke (zum Beispiel Kundendatenverarbeitung, Werbung) und Mittel (Art und Weise der Verarbeitung, zum Beispiel Versendung von Werbebriefen) der Verarbeitung personenbezogener Daten trifft, und ein anderes Unternehmen beauftragt, diese Datenverarbeitungsaufgaben auszuführen.
Die Beziehung zwischen dem Verantwortlichen und dem Auftragsverarbeiter muss durch einen Vertrag oder ein anderes Rechtsinstrument nach Art. 28 DSGVO geregelt sein, der oder dass insbesondere festlegt, dass der Auftragsverarbeiter die Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeitet und die Verpflichtungen aus der DSGVO einhält.
Beispiele für Auftragsverarbeiter sind: Cloud-Dienstanbieter, Lohnbuchhaltungsdienstleister, Software-as-a-Service-anbieter und Callcenter