
(...) Bei einer Auftragsdatenverarbeitung, und darum scheint es hier zu gehen, ist in der Regel der Auftragggeber verantwortlich, also das Unternehmen, das die Administrierung der Personalkonten in Auftrag gibt. Er muss dafür Sorge tragen, dass die Auftragsdatenverarbeiter und eventuelle Folge-Auftragsdatenverarbeiter wie die DATEV sich an die Datenschutzregeln für Arbeitnehmer halten und an die allgemeinen Grundsätze des Datenschutzes wie etwa die Datensparsamkeit und die Zweckbindung halten. (...)