Wer kann Verantwortlicher sein?
In Betracht kommen natürliche und juristische Personen, Behörden sowie andere Einrichtungen. Bei einem Unternehmen ist regelmäßig die Gesellschaft verantwortlich und nicht jede einzelne beschäftigte Person, die Daten bearbeitet. Auch ein Einzelunternehmer kann Verantwortlicher sein. Entscheidend ist, wer festlegt, weshalb Daten verarbeitet werden und welche wesentlichen Bedingungen dafür gelten. Die Nutzung einer fremden Software oder einer Cloud verändert diese Einordnung nicht automatisch. Technische Unterstützung und datenschutzrechtliche Entscheidungsverantwortung können bei unterschiedlichen Stellen liegen.
Welche Entscheidungen sind maßgeblich?
Zu den Zwecken gehört beispielsweise die Entscheidung, Kundendaten für Vertragsabwicklung oder bestimmte Werbemaßnahmen zu verwenden. Wesentliche Mittel betreffen unter anderem Datenarten, betroffene Personengruppen, Empfänger und Speicherdauer. Nicht jede technische Detailentscheidung eines Dienstleisters macht diesen bereits zum Verantwortlichen. Umgekehrt genügt es nicht, eine umfassend entscheidende Stelle im Vertrag lediglich als Auftragnehmer zu bezeichnen. Rollen sollten für jeden Verarbeitungsvorgang gesondert untersucht werden. Eine Organisation kann bei einem Vorgang verantwortlich sein und bei einem anderen als Auftragsverarbeiter handeln.
EuGH-Urteil zur tatsächlichen Einflussnahme
Der Europäische Gerichtshof entschied am 5. Dezember 2023, C‑683/21, über die Verantwortlichkeit im Zusammenhang mit der Entwicklung einer Anwendung. Eine Stelle kann verantwortlich sein, wenn sie tatsächlich auf Zwecke und Mittel Einfluss genommen hat, obwohl sie die Daten nicht selbst verarbeitet. Eine förmliche schriftliche Beauftragung ist für diese Einordnung nicht stets erforderlich. Das Urteil unterstreicht die Bedeutung des tatsächlichen Beitrags. Es bedeutet allerdings nicht, dass jeder Kontakt zu einem Entwicklungsprojekt automatisch sämtliche datenschutzrechtlichen Pflichten für alle späteren Verarbeitungsschritte auslöst.
Gemeinsame Verantwortung oder Auftragsverarbeitung?
Bestimmen mehrere Stellen Zwecke und Mittel gemeinsam, kann Artikel 26 DSGVO greifen. Sie müssen dann ihre jeweiligen Pflichten transparent zuordnen, insbesondere hinsichtlich Information und Betroffenenrechten. Betroffene dürfen ihre Rechte grundsätzlich gegenüber jedem Verantwortlichen geltend machen. Ein Auftragsverarbeiter verarbeitet dagegen personenbezogene Daten im Auftrag und nach zulässigen Weisungen. Dafür ist insbesondere eine Vereinbarung nach Artikel 28 erforderlich. Weder eine Vereinbarung über gemeinsame Verantwortung noch ein Auftragsverarbeitungsvertrag kann fehlende tatsächliche Voraussetzungen durch seine Überschrift ersetzen.
Welche Pflichten folgen aus der Rolle?
Verantwortliche müssen unter anderem Rechtsgrundlagen prüfen, Betroffene informieren, angemessene Sicherheitsmaßnahmen organisieren und die Einhaltung nachweisen können. Dazu kommen je nach Situation Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung oder Benennung eines Datenschutzbeauftragten. Nicht jede Pflicht gilt für jede Verarbeitung in identischer Ausprägung. Die Beauftragung eines Dienstleisters entbindet nicht allgemein von Auswahl- und Kontrollpflichten. Ein Datenschutzbeauftragter unterstützt und überwacht; er übernimmt dadurch nicht anstelle des Unternehmens dessen Rolle als Verantwortlicher. Zuständigkeiten für Auskunftsanfragen und Datenpannen müssen dennoch eindeutig festgelegt sein.
Was sollte vor Projektbeginn geklärt werden?
Hilfreich ist eine Beschreibung der Datenflüsse mit den beteiligten Stellen, ihren Entscheidungen und Zugriffsmöglichkeiten. Verträge und Datenschutzhinweise sollten diese tatsächliche Aufgabenverteilung abbilden. Ändert ein Dienstleister sein Geschäftsmodell oder verwendet Daten für eigene Zwecke, muss die Rollenverteilung erneut geprüft werden. Für Betroffene sind die Kontaktdaten des Verantwortlichen der Ausgangspunkt für die Durchsetzung ihrer Rechte. Bei mehreren Beteiligten sollte eine Anfrage den konkreten Verarbeitungsvorgang benennen, damit sie zuverlässig zugeordnet werden kann. Interne Delegation kann Aufgaben verteilen, ersetzt aber keine verlässliche Aufsicht über ihre Erfüllung. Entscheidungen und Ansprechpartner sollten deshalb auch bei Personalwechseln nachvollziehbar bleiben.