RECHTSGLOSSAR
Auftragsverarbeiter
Der Auftragsverarbeiter ist die natürliche oder juristische Person, die aufgrund der vom Verantwortlichen erteilten Befugnis und in dessen Namen personenbezogene Daten verarbeitet. Er ist in Art. 3/1-ğ des Gesetzes Nr. 6698 über den Schutz personenbezogener Daten definiert. Externe Dienstleister für Gehaltsabrechnung, Buchhaltung, Cloud-Hosting oder Callcenter befinden sich in vielen Fällen in dieser Stellung. Der Auftragsverarbeiter bestimmt die Zwecke und Mittel der Verarbeitung nicht selbst; das Gesetz macht den Verantwortlichen hinsichtlich der Sicherheitsmaßnahmen gemeinsam mit dem Auftragsverarbeiter verantwortlich.
Umfang
Die Definition hat drei Elemente: eine vom Verantwortlichen verschiedene natürliche oder juristische Person zu sein, auf der vom Verantwortlichen erteilten Befugnis zu beruhen und die Verarbeitung in dessen Namen vorzunehmen (Art. 3/1-ğ). Der Auftragsverarbeiter darf die ihm bekannt gewordenen personenbezogenen Daten nicht gesetzeswidrig an andere offenlegen und nicht außerhalb des Verarbeitungszwecks verwenden; diese Pflicht besteht auch nach dem Ausscheiden aus der Aufgabe fort (Art. 12/4). Werden Daten im Namen des Verantwortlichen von einer anderen Person verarbeitet, so ist der Verantwortliche mit dieser Person für die Ergreifung der Sicherheitsmaßnahmen gemeinsam verantwortlich (Art. 12/2). Nach Art. 9 in der durch das Gesetz Nr. 7499 geänderten Fassung können auch Auftragsverarbeiter unter den Voraussetzungen des Gesetzes Daten ins Ausland übermitteln; bei einer Übermittlung auf der Grundlage des vom Rat für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu) bekannt gemachten Standardvertrags wird der Vertrag der Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu) innerhalb von fünf Arbeitstagen nach der Unterzeichnung gemeldet, und auch für Auftragsverarbeiter, die diese Meldung unterlassen, ist ein Verwaltungsbußgeld vorgesehen (Art. 9/5, 18).
Bedeutung in der Praxis
Bei der Inanspruchnahme externer Dienstleistungen sollten im Vertrag zwischen den Parteien Gegenstand und Umfang der Verarbeitung, die Weisungen des Verantwortlichen, die zu ergreifenden Sicherheitsmaßnahmen, der Einsatz von Subunternehmern, die Meldung von Datenverletzungen sowie die Rückgabe oder Löschung der Daten bei Vertragsende ausdrücklich geregelt werden. Beginnt der Dienstleister, die Daten auch für eigene Zwecke zu verwenden, kann er für diese Verwendung nicht mehr als Auftragsverarbeiter, sondern als Verantwortlicher angesehen werden, und die Pflichten nach dem Gesetz richten sich an ihn.
Häufig verwechselte Begriffe
Der Unterschied zwischen Auftragsverarbeiter und Verantwortlichem liegt darin, wer die Entscheidung trifft: Die Zwecke und Mittel bestimmt der Verantwortliche, in diesem Rahmen handelt der Auftragsverarbeiter in dessen Namen. Der Auftragsverarbeiter darf auch nicht mit dem Begriff der „Verarbeitung personenbezogener Daten“ verwechselt werden: Verarbeitung ist eine Tätigkeit, die jeden Vorgang von der Erhebung der Daten über die Erfassung und Speicherung bis zur Übermittlung beschreibt (Art. 3/1-e), und auch der Verantwortliche verarbeitet Daten; „Auftragsverarbeiter“ bezeichnet dagegen eine bestimmte rechtliche Stellung.
Quellen und Umfang
- Rechtsinformationssystem des Präsidialamts der Republik Türkei (T.C. Cumhurbaşkanlığı Mevzuat Bilgi Sistemi) — Gesetz Nr. 6698 über den Schutz personenbezogener Daten · Art. 3/1-e, 3/1-ğ, 9, 12, 18(abgerufen: 24. September 2026)
Die Erläuterung dient der allgemeinen Information; ein konkreter Fall muss gesondert beurteilt werden.