Verantwortlicher für den Datenschutz
Jede Stelle, die personenbezogene Daten für sich selbst verarbeitet (oder durch andere im Auftrag verarbeiten lässt), ist datenschutzrechtlich für diesen Vorgang verantwortlich. Das bedeutet, dass die verantwortliche Organisation überprüfen und feststellen muss, ob bzw. dass sie Datenschutzvorschriften einhält.
Vom Verantwortlichen abzugrenzen ist der Auftragsverarbeiter: Er wird tätig auf Weisung des Verantwortlichen.
Gesetze, Vorschriften und Rechtsprechung
- Art. 4 Nr. 7 DSGVO (Definition des Begriffs des Verantwortlichen)
- Art. 4 Nr. 8 DSGVO (Definition des Auftragsverarbeiters )
- Art. 26 DSGVO (Gemeinsam Verantwortliche )
Definition des Begriffs des Verantwortlichen
Verantwortlicher für eine Datenverarbeitung ist, wer beide Voraussetzungen erfüllt:
- Es handelt sich um eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle.
Beispiel: Menschen, Gesellschaften und andere Personenvereinigungen des privaten Rechts wie z.B. GmbH, AG, Gewerbetreibende, Selbstständige oder Vereine, Bundes- und Landesbehörden, öffentliche Stiftungen oder Anstalten - Die Stelle besitzt die Entscheidungsgewalt über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten.
Beispiel: Ein Arbeitgeber entscheidet, für die Personaldatenverarbeitung die Software XY und für die Gehaltsabrechnungen ein externes Lohnbüro einzusetzen.
Wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und die Mittel zur Verarbeitung festlegen, gelten sie als gemeinsame Verantwortliche (Art. 26 DSGVO).
Folgen der (alleinigen oder gemeinsamen) Verantwortlichkeit
Wer als Verantwortlicher für eine Datenverarbeitung gilt, muss dafür sorgen, dass er alle Vorgaben der Datenschutzgesetze einhält. Dazu zählt unter anderem die Nachweisbarkeit und Rechenschaftspflicht über die Datenschutzorganisation (Art. 5 DSGVO), die Gewährleistung der Datensicherheit (Art. 32 DSGVO) und gegebenenfalls die Ernennung eines Datenschutzbeauftragten (§ 38 BDSG für nicht-öffentliche Stellen in Deutschland und Art. 37 Abs. 1 Buchstabe a DSGVO für öffentliche Stellen).
Auftragsverarbeitung
Wenn eine Stelle eine andere beauftragt, für sie tätig zu werden, liegt oft eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Da hier der Auftragsverarbeiter nur nach Weisung handeln darf, trägt die Verantwortung für diese Datenverarbeitung auch der Auftraggeber. Verstößt der Auftragnehmer gegen datenschutzrechtliche Vorschriften, haften beide gesamtschuldnerisch.