Der EDSA hat aufgrund von Fragen der dänischen Aufsichtsbehörde eine Meinung zur einheitlichen Auslegung der Bestimmungen über Auftragsverarbeiter (Art. 28 DSGVO) veröffentlicht. Darin beschäftigt er sich mit den Auslegungsfragen ob ein Verantwortlicher alle Unterauftragsverarbeiter in einer Auftragsverarbeiterkette identi fizieren muss und kommt zu dem Schluss das dies gegeben sein muss. Es reicht nicht nur die erste Ebene von Auftragsverarbeitern zu kennen. Weitere Themen sind, inwieweit der Verantwortliche innerhalb der Auftragsverarbeiterkette die technischen und organisatorischen Maßnahmen, die vertraglichen Bindungen und das Erfüllen der Anforderungen des Verantwortlichen überprüfen und dokumentieren muss. Weitere Themen sind der Drittstaatstransfer im Wege einer Auftragsverarbeitung, bestimmte vertragliche Bestimmungen (zB das Abstellen auf gesetzliche Bestimmungen denen der Auftragsverarbeiter unterliegt) und inwieweit das Risiko der Verarbeitung einen Ein uss auf all diese P fichten hat.