Auftragsverarbeitung ist gem. Artikel 28 DSGVO die Verarbeitung personenbezogener Daten im Auftrag eines Verantwortlichen durch einen Dienstleister, den Auftragsverarbeiter. Nach früherem Recht wurde das Verhältnis als Auftragsdatenverarbeitung bezeichnet.
Auftragsverarbeitung ist dadurch gekennzeichnet, dass der Verantwortliche gegenüber dem Auftragsverarbeiter ein umfassendes Weisungsrecht besitzt, dass auch Art. 29 DSGVO noch einmal ausdrücklich vorsieht.
Die rechtliche Ausgestaltung des Verhältnisses von Verantwortlichem und Auftragsverarbeiter erfolgt üblicherweise durch einen separaten Auftragsverarbeitungsvertrag oder kurz „AVV“ oder „AV-Vertrag“, dessen Mindestbestandteile sich aus Art. 28 Abs. 3 DSGVO ergeben.
Auch der Auftragsverarbeiter ist verpflichtet, gem. Art. 30 Abs. 2 DSGVO ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Insoweit ergibt sich eine deutliche Änderung im Vergleich zum früheren Recht.