Eine abschließende rechtliche Einschätzung ist im Rahmen dieses Forums leider nicht möglich. Generell kann jedoch gesagt werden, dass die Frage, ob ein Auftragsdatenverarbeitungsverhältnis vorliegt sich, nicht nach der zivilrechtlichen Vertragsgestaltung richten muss. Datenschutzrechtlich kommt es vielmehr darauf an, ob ein Dienstleister Daten einer verantwortlichen Stelle in Form einer Auftragsdatenverarbeitung verarbeitet. Ob zivilrechtlich ein unmittelbares Vertragsverhältnis zwischen Auftraggeber (verantwortliche Stelle) und Auftragnehmer (Dienstleister) besteht, ist nachrangig.
Konkret ist es daher durchaus vorstellbar, dass zwischen dem Outsourcing-Dienstleister und der deutschen Schwestergesellschaft – faktisch – ein Auftragsdatenverarbeitungsverhältnis besteht. Wenn es solches besteht, sind die Voraussetzungen des § 11 BDSG gegeben und grundsätzlich müssen dann auch Kontroll- und Dokumentationspflichten erfüllt werden.