Zusammenfassend kann festgehalten werden, dass die Komplexität des Instituts des Auftragsverarbeiters nicht unterschätzt werden sollte. Die Begründung eines Auftragsverhältnisses verlangt nicht nur den Abschluss eines umfangreichen Bindungsinstruments, sondern gem der Rsp auch strenge Anforderungen an die bestehende Faktizität. Einer eigenen Rechtsgrundlage des Auftragsverarbeiters bedarf es nicht, auch wenn sich diese Frage auf den ersten Blick nur schwer beantworten lässt. Zentrales Wesensmerkmal des Auftragsverarbeiters ist seine strenge Weisungsgebundenheit gegenüber dem Verantwortlichen. Sie legt zudem die Grenzen fest, in deren Rahmen sich ein Akteur in der Rolle des Auftragsverarbeiters bewegen kann. Zwar wird im Gesamtvergleich deutlich, dass den Auftragsverarbeiter eine Vielzahl an Verpflichtungen der DS-GVO nicht trifft, die Liste der speziell an den Auftragsverarbeiter gerichteten Verpflichtungen aber dennoch recht lang ist. Der Fokus der für den Auftragsverarbeiter geltenden Pflichten liegt in der Sicherstellung eines angemessenen Datenschutzniveaus und bestimmter Unterstützungsleistungen für den Verantwortlichen. Der Auftragsverarbeiter wird an vielen Stellen mittelbarer Pflichtadressat, etwa wenn es um die Auswahl eines Auftragsverarbeiters oder um den internationalen Datenverkehr geht. Eine wesentliche Neuerung für den Auftragsverarbeiter stellt jedenfalls auch seine nunmehr umfassendere Haftung dar. Die strenge Weisungsgebundenheit gegenüber dem Verantwortlichen und die unmittelbare Haftung nach außen bewirken ein Spannungsfeld, das dem Auftragsverarbeiter oftmals in eine rechtliche Pattsituation bringen könnte. Auch wenn die zivilrechtlich- und verwaltungsrechtliche Haftung des Auftragsverarbeiters auf bestimmte Tatbestände beschränkt ist, reicht sie dennoch sehr weit. In den meisten Fällen wird es daher für die Beteiligten ratsam sein, bereits im Vorfeld umfassende Vereinbarungen in diesem Zusammenhang zu treffen. Im Gesamtvergleich mit der Haftung des Verantwortlichen wird aber deutlich, dass eine Anwendung des Modells der Auftragsverarbeitung überall dort, wo es möglich ist, jedenfalls anzuraten wäre. Die noch zahlreich vorhandenen, klärungsbedürftigen Rechtsfragen in diesem Zusammenhang sind letzten Endes von den Gerichten, insbesondere dem EuGH, zu lösen.
