Die Verordnung definiert den Begriff nicht, er erfasst aber ohne Weiteres Beschäftigte und sonstiges Personal, die innerhalb der Organisation des Verantwortlichen oder des Auftragsverarbeiters Zugang zu personenbezogenen Daten haben. Maßgeblich ist nach dem Wortlaut der Zugang zu personenbezogenen Daten in Verbindung mit der Unterstellung unter einen der beiden Akteure, nicht die Bezeichnung des Beschäftigungs- oder Beauftragungsverhältnisses.

Artikel 28 regelt das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter über einen bindenden Vertrag, während Artikel 29 den Weisungsgrundsatz unmittelbar als Regel der Verordnung ausspricht, sodass ein weisungswidrig handelnder Auftragsverarbeiter gegen die Verordnung selbst und nicht bloß gegen den Vertrag verstößt. Derselbe Grundsatz kehrt in Artikel 32 Absatz 4 wieder, der Verantwortlichen und Auftragsverarbeiter verpflichtet, Schritte zu unternehmen, damit ihnen unterstellte Personen ihn beachten.

Ja, eine einzige. Eine Verarbeitung ohne oder gegen Weisung ist zulässig, wenn das Recht der Union oder der Mitgliedstaaten sie verlangt, was dem Vorbehalt in Artikel 28 Absatz 3 Buchstabe a entspricht. Geschäftliche Zweckmäßigkeit oder eigene Zwecke des Auftragsverarbeiters rechtfertigen ein Abweichen nie, und ein Auftragsverarbeiter, der eigene Zwecke verfolgt, wird nach Artikel 28 Absatz 10 zum Verantwortlichen.

Die Vorschrift selbst spricht das Verbot aus, ohne die Mittel vorzugeben, doch Artikel 32 Absatz 4 verlangt vom Verantwortlichen und vom Auftragsverarbeiter, Schritte zur Sicherstellung der Einhaltung durch ihnen unterstellte Personen zu unternehmen, und Artikel 28 Absatz 3 Buchstabe b verlangt, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben. Im Zusammenspiel erwarten diese Vorschriften interne Maßnahmen wie Weisungen, Vertraulichkeitsverpflichtungen und Zugangskontrollen.