Rückgabe- bzw Lóschungspflicht des Auftragsverarbeiters nach dessen Leistungserfüllung 
sowie eine Mitteilungspflicht gegenüber dem Verantwortlichen im Falle der Verletzung gegen 
die VO oder andere unions- bzw nationalrechtliche Datenschutzbestimmungen.?? 
Der Auftragsverarbeiter kann für die Datenverarbeitung seinerseits einen Sub-Auf- 
tragsverarbeiter 1% heranziehen, wenn der Verantwortliche dies im Vorfeld genehmigt 
(Art 28 Abs 2 DS-GVO)J; auf diese Weise soll dem Verantwortlichen ein diesbezügliches 
Kontrollrecht verbleiben. Sámtliche Pflichten des Verantwortlichen im Auftragsverhéltnis 
„erster Ebene“ verlagern sich dabei um eine Ebene nach unten und werden dem Auftragsver- 
arbeiter „erster Ebene“ auferlegt (Art 28 Abs 4 DS-GVO).?? 
Aus zivilrechtlicher Sicht haftet der Auftragsverarbeiter dann, wenn er seine vertragli- 
chen Pflichten verletzt bzw die Weisungen des Verantwortlichen missachtet (Art 82 Abs 2 
und 3 DS-GVO); haftungspflichtig ist er jedoch nur gegenüber dem Verantwortlichen. Bei 
gemeinsamer Verantwortlichkeit mit dem Verantwortlichen für die schadensbegründende Tat 
besteht Solidarhaftung samt Regressanspruch (Art 82 Abs 4 und 5 DS-GVO).!^? Der Auf- 
tragsverarbeiter kann unabhängig davon auch nach Art 83 belangt und mit einer Geldbuße 
bestraft werden. 1401 
Art 19 DSG gestattet unter bestimmten Voraussetzungen eine Datenverarbeitung durch 
Dritte im Auftrag. Diese Vorschrift übernimmt Art 10a chDSG im Wortlaut. Allerdings ergibt 
sich aus einer systematischen Interpretation, dass nur Privatpersonen Dritten mit der Daten- 
verarbeitung beauftragen können, Behörden jedoch nicht; dies im Unterschied zu Art 10a 
chDSG, welcher als Norm des allgemeinen Teils sowohl für Behörden als auch für Privatper- 
sonen gleichermaßen gilt. 14° 
Anzuwenden ist Art 19 DSG, wenn der Auftraggeber (der Inhaber einer Datensammlung 
bzw der für die Datenverarbeitung Verantwortliche!*®®) eine andere Person (den Dritten) 
  
1397 Ausführlich dazu Bogendorfer in Knyrim, Datenschutz-Grundverordnung, 175 f. 
1398 Kritisch Feiler/Forgé, EU-DSGVO, Art 28, Rz 2, wonach auch zusätzliche Auftragsverarbeiter, die vom 
primären Auftragsverarbeiter auf Vollmachtsbasis hinzugezogen werden und mit dem Verantwortlichen eine 
einschlägige Vereinbarung schließen, unter Art 28 Abs 2 DS-GVO fallen. 
13? Vg] auch Bogendorfer in Knyrim, Datenschutz-Grundverordnung, 177. 
14? Dazu auch Bogendorfer in Knyrim, Datenschutz-Grundverordnung, 179. 
14! Vg] Bogendorfer in Knyrim, Datenschutz-Grundverordnung, 179. 
14? Vg] Epiney/Fasnacht in Belser/Epiney/Waldmann, Datenschutzrecht, 8 10, Rz 35; BBI 2003 2101 [2135]. 
143 S dazu die Definition in Art 3 Abs 1 lit k DSG; vgl auch Epiney/Fasnacht in Belser/Epiney/Waldmann, 
Datenschutzrecht, 8 10, Rz 39; Bühler/Rampini in Maurer-Lambrou/Blechta, BSK chDSG?, Art 10a chDSG, Rz 
1. 
245