باختصار: المعالج بالتكليف (Auftragsverarbeiter) يعالج البيانات الشخصية بتكليف من المسؤول عن المعالجة (Verantwortlicher) ووفق تعليماته. والأساس عقد كتابي أو إلكتروني وفق Art. 28 DSGVO. ولا يجوز للمعالج بالتكليف أن يستخدم البيانات لأغراضه الخاصة، وإلا أصبح هو نفسه مسؤولًا عن المعالجة.
تعمل خدمة الأمن في الغالب لصالح عميل. فهي تحرس موقعه، وتشغّل كاميراته، وتدير قوائم زواره. وهنا يُطرح سؤال مهم في الامتحان وفي التطبيق: لمن «تعود» البيانات التي تنشأ أثناء ذلك، ومن يتحمل المسؤولية؟ تجيب اللائحة العامة لحماية البيانات (DSGVO) عن ذلك بدورين: المسؤول عن المعالجة والمعالج بالتكليف.
ما ينص عليه القانون
تعرّف Art. 4 Nr. 8 DSGVO المعالج بالتكليف بأنه شخص طبيعي أو اعتباري، أو سلطة، أو مؤسسة، أو جهة أخرى، يعالج البيانات الشخصية بتكليف من المسؤول عن المعالجة. وتنظم Art. 28 DSGVO التفاصيل:
- لا يجوز للمسؤول عن المعالجة أن يعمل إلا مع معالجين بالتكليف يقدمون ضمانات كافية لاتخاذ تدابير تقنية وتنظيمية مناسبة (Abs. 1).
- لا يجوز إشراك معالجين آخرين بالتكليف، أي مقاولين من الباطن (Subunternehmer)، إلا بإذن كتابي مسبق، خاص أو عام، من المسؤول عن المعالجة (Abs. 2).
- تتم المعالجة على أساس عقد أو أداة قانونية أخرى (Abs. 3)، يجب أن تُحرَّر كتابةً، ويمكن أن يكون ذلك أيضًا بصيغة إلكترونية (Abs. 9).
- المعالج بالتكليف الذي يقرر بنفسه أغراض المعالجة ووسائلها يُعدّ مسؤولًا عن هذه المعالجة (Abs. 10).
ما الذي يجب أن يتضمنه العقد
عقد معالجة البيانات بالتكليف، ويُسمّى غالبًا AV-Vertrag، ينظم موضوع المعالجة ومدتها، ونوعها والغرض منها، ونوع البيانات، وفئات الأشخاص المعنيين. ويجب أيضًا وفق Art. 28 Abs. 3 أن ينص بشكل خاص على أن المعالج بالتكليف:
- لا يعالج البيانات إلا بناءً على تعليمات موثقة من المسؤول عن المعالجة،
- يضمن أن موظفيه ملتزمون بالسرية،
- يتخذ التدابير الأمنية وفق Art. 32،
- لا يستعين بمقاولين من الباطن إلا وفق شروط Abs. 2 وAbs. 4،
- يدعم المسؤول عن المعالجة عند وصول طلبات من الأشخاص المعنيين،
- يدعمه أيضًا في أمن البيانات، والإبلاغ عن خروقات البيانات، وتقييمات الأثر،
- بعد انتهاء التكليف يحذف كل البيانات أو يعيدها، حسب اختيار المسؤول عن المعالجة،
- يقدم كل الإثباتات اللازمة ويتيح إجراء عمليات التفتيش.
إذا رأى المعالج بالتكليف أن تعليمات ما مخالفة للقانون، فيجب عليه أن ينبّه المسؤول عن المعالجة إلى ذلك فورًا.
هل خدمة الأمن معالج بالتكليف؟
ليس ذلك تلقائيًا، ولا يُقيَّم بطريقة موحدة. المهم هو من يحدد غرض المعالجة ووسائلها، وهل معالجة البيانات جزء أساسي من الخدمة المطلوبة.
حالات نموذجية لمعالجة البيانات بالتكليف
- تشغّل خدمة الأمن نظام الفيديو الخاص بالعميل أو تراقبه وفق توجيهاته، مثلًا في مركز الطوارئ والخدمة مع نقل الصور إليه.
- تدير نظام إدارة الزوار الإلكتروني الخاص بالعميل وفق قواعد ثابتة: أي حقول، وإلى متى، ومن يحق له الوصول.
- تدير صلاحيات الدخول في نظام العميل وفق موافقاته.
متى تكون خدمة الأمن نفسها مسؤولة عن المعالجة
- بالنسبة لبيانات العاملين لديها: جداول الخدمة، والأجور، وسجل الحراس (Bewacherregister).
- لأغراضها الخاصة، مثلًا عندما تحلل تقارير الحوادث لمراقبة الجودة الداخلية أو للدفاع ضد مطالبات المسؤولية.
- عندما تقرر وفق مفهومها الأمني الخاص أي بيانات تجمع. عندئذ يمكن أن تكون مسؤولة بشكل مستقل، أو مسؤولة بشكل مشترك مع العميل (gemeinsam Verantwortliche) وفق Art. 26 DSGVO.
ينبغي أن يحدد العقد بين الطرفين الأدوار بوضوح. لكن في النهاية العبرة بكيفية سير المعالجة فعلًا، لا بالتسمية الواردة في العقد.
ماذا يعني ذلك لك بصفتك عنصر أمن
إذا كان صاحب عملك معالجًا بالتكليف، فإن البيانات تعود بمفهوم قانون حماية البيانات إلى المسؤول عن المعالجة، أي إلى العميل. ووفق Art. 29 DSGVO لا يجوز لك ولصاحب عملك معالجتها إلا بناءً على تعليمات المسؤول عن المعالجة. ويترتب على ذلك:
- لا تُسلَّم التسجيلات أو القوائم إلى أطراف ثالثة إلا إذا أمر العميل بذلك أو اشترطه القانون.
- لا استخدام لأغراض خدمة الأمن الخاصة، مثل الإعلان أو التحليلات لصالح عملاء آخرين.
- لا استعانة بـمقاولين من الباطن يحصلون على إمكانية الوصول إلى البيانات دون إذن العميل.
- طلبات الأشخاص المعنيين، مثل طلب الاطلاع على بياناتهم، تحيلها إلى العميل.
حالة من العمل اليومي
يشغّل صاحب عملك بصفته معالجًا بالتكليف نظام المراقبة بالفيديو لدى معرض سيارات. في الليل تشاهد على الشاشة سيارة تصطدم بسيارة أخرى على الأرض المجاورة. في صباح اليوم التالي يأتي الجار ويريد نسخة من التسجيل. ويعرض عليك 50 يورو.
لا تسلّم شيئًا ولا تأخذ مالًا. معرض السيارات وحده، بصفته المسؤول عن المعالجة، يقرر بشأن التسجيلات. توثّق الطلب وتُبلغ مسؤول العمليات لديك، وهو يحيله إلى العميل. إذا سلّمت التسجيل من تلقاء نفسك مقابل مال، فإنك تعالج البيانات خارج أي تعليمات. وحسب الحالة قد تُطرح أيضًا جريمة وفق §42 Abs. 2 BDSG، لأن نقل البيانات يتم مقابل أجر.
أخطاء شائعة في الامتحان
- المعالج بالتكليف ملزم بالتعليمات. والمسؤولية عن مشروعية المعالجة تبقى على المسؤول عن المعالجة.
- يجب أن يكون عقد المعالجة بالتكليف (AV-Vertrag) كتابيًا، وتكفي الصيغة الإلكترونية.
- يحتاج المقاولون من الباطن إلى إذن مسبق من المسؤول عن المعالجة.
- من يستخدم البيانات التي يعالجها بالتكليف لأغراضه الخاصة يصبح هو نفسه مسؤولًا عن هذه المعالجة.
- ليست كل خدمة أمن معالجًا بالتكليف تلقائيًا. فبالنسبة لبيانات العاملين لديها تكون دائمًا هي نفسها المسؤولة عن المعالجة.
أسئلة تدريبية: معالجة البيانات بالتكليف: خدمة الأمن بصفتها مقدّم خدمة
6 أسئلة عن معالجة البيانات بالتكليف: خدمة الأمن بصفتها مقدّم خدمة. كما في امتحان غرفة الصناعة والتجارة (IHK) تكون إجابة واحدة أو إجابتان صحيحتين، والعدد مكتوب دائمًا فوق السؤال.
Was kennzeichnet einen Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO?ما الذي يميّز المعالج بالتكليف وفق Art. 4 Nr. 8 DSGVO؟
In welcher Form muss ein Vertrag zur Auftragsverarbeitung abgeschlossen werden?بأي شكل يجب إبرام عقد معالجة البيانات بالتكليف؟
Dein Arbeitgeber ist Auftragsverarbeiter für die Videoanlage eines Autohauses. Ein Nachbar will eine Kopie einer Aufnahme. Wie gehst du vor?صاحب عملك معالج بالتكليف لنظام الفيديو لدى معرض سيارات. يريد أحد الجيران نسخة من تسجيل. كيف تتصرف؟
Was muss ein Vertrag nach Art. 28 Abs. 3 DSGVO unter anderem vorsehen?ما الذي يجب أن ينص عليه العقد وفق Art. 28 Abs. 3 DSGVO، من بين أمور أخرى؟
Was gilt, wenn ein Auftragsverarbeiter die Daten des Kunden für eigene Zwecke nutzt?ما الحكم إذا استخدم المعالج بالتكليف بيانات العميل لأغراضه الخاصة؟
Für welche Daten ist ein Bewachungsunternehmen immer selbst Verantwortlicher?عن أي بيانات تكون شركة الحراسة دائمًا هي نفسها المسؤولة عن المعالجة؟
مزيد من الأسئلة حول معالجة البيانات بالتكليف: خدمة الأمن بصفتها مقدّم خدمة، وحول مجال قانون حماية البيانات كله تجدها في التمرين الخاص بهذا المجال، ومجمّعة في صفحة أسئلة الامتحان في قانون حماية البيانات.
نص Art. 28 DSGVO (gesetze-im-internet.de) · آخر تحديث 06.11.2026. هذا الشرح عن معالجة البيانات بالتكليف: خدمة الأمن بصفتها مقدّم خدمة لا يغني عن الاستشارة القانونية، والمعتمد هو النص الحالي للقانون.