Berufsangehörige als „Auftragsverarbeiter“ im Sinne der DSGVO

Nach Auffassung des Ausschusses „Berufsrecht“ der WPK verarbeiten Berufsangehörige personenbezogene Daten ihrer S. 242Mandanten oder Dritter (z. B. Arbeitnehmer/Kunden) grundsätzlich verantwortlich zu eigenen Geschäftszwecken und sind daher keine Auftragsverarbeiter, sondern selbst Verantwortliche i. S. von Art. 4 Nr. 7 DSGVO (sog. Funktionsübertragung). Daher ist der Abschluss einer Auftragsverarbeitungsvereinbarung mit einer berufsangehörigen Person grundsätzlich nicht geboten. Müssen Mandanten ausnahmsweise von einer Auftragsverarbeitung ausgehen, dürfen Berufsangehörige eine darauf gerichtete Vereinbarung unterzeichnen; sie verstoßen damit nicht gegen berufsrechtlichen Pflichten. „Von entscheidender Bedeutung hierfür ist, dass die in Art. 28 Abs. 3 Satz 2 lit. a DSGVO angesprochene Verarbeitung auf dokumentierte Weisung des Verantwortlichen s...