Verantwortlicher (im Sinne der DSGVO)

Ausführliche Erklärung

Die Datenschutz-Grundverordnung definiert den Verantwortlichen in Artikel 4 Nr. 7 als diejenige Stelle, die über das „Warum" und „Wie" der Datenverarbeitung bestimmt. Entscheidend ist dabei nicht die formale Bezeichnung in einem Vertrag, sondern die tatsächliche Kontrolle über die Verarbeitungsvorgänge. Wer festlegt, zu welchem Zweck personenbezogene Daten erhoben werden und auf welche Weise dies geschieht, übernimmt automatisch die Rolle des Verantwortlichen mit allen damit verbundenen Pflichten.

Für Unternehmen ist diese Rolle von zentraler Bedeutung, da der Verantwortliche den Großteil der datenschutzrechtlichen Pflichten zu erfüllen hat. Dazu gehören die Einhaltung der Informationspflichten gegenüber betroffenen Personen, die Führung eines Verzeichnisses der Verarbeitungstätigkeiten, die Meldung von Datenpannen an die Aufsichtsbehörde binnen 72 Stunden, die Umsetzung technischer und organisatorischer Maßnahmen sowie die Rechenschaftspflicht. Der Verantwortliche haftet zudem für Datenschutzverstöße und kann mit Bußgeldern belegt werden.

Die Abgrenzung zum Auftragsverarbeiter ist in der Praxis häufig entscheidend: Während der Verantwortliche eigenständig über die Verarbeitung entscheidet, handelt der Auftragsverarbeiter ausschließlich weisungsgebunden im Auftrag des Verantwortlichen. Ein Cloud-Dienstleister oder IT-Betreuer, der nur nach konkreten Anweisungen Daten verarbeitet, ist typischerweise Auftragsverarbeiter. Nutzt derselbe Dienstleister die Daten jedoch für eigene Zwecke, wird er selbst zum Verantwortlichen.

Es kann auch mehrere gemeinsam Verantwortliche geben, wenn zwei oder mehr Stellen gemeinsam Zwecke und Mittel festlegen. In diesem Fall müssen sie gemäß Artikel 26 DSGVO eine Vereinbarung treffen, die regelt, wer welche Pflichten übernimmt. Betroffene Personen können ihre Rechte jedoch unabhängig von dieser internen Aufgabenteilung gegenüber jedem der gemeinsam Verantwortlichen geltend machen.