Verantwortlicher und Auftragsverarbeiter: Wie unterscheidet man sie nach der DSGVO

01

Wer ist Verantwortlicher und wer Auftragsverarbeiter

Die DSGVO definiert den Verantwortlichen als die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der Auftragsverarbeiter hingegen verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen und nach dessen Anweisungen.

02

Warum die Unterscheidung operativ wichtig ist

Wenn eine Organisation Verarbeitungen an einen externen Anbieter überträgt, muss das Verhältnis durch einen Vertrag oder ein anderes Rechtsinstrument geregelt werden, das Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen festlegt.

03

Schritte zur korrekten Formalisierung der Beziehung

Schritte

1. Ermitteln, wer über Zwecke und Mittel der Verarbeitung entscheidet: diese Partei ist der Verantwortliche.
2. Prüfen, ob der Anbieter Daten nur auf dokumentierte Anweisung des Verantwortlichen verarbeitet.
3. Einen Vertrag erstellen, der die in Artikel 28 vorgesehenen Elemente enthält: Dauer, Art, Zwecke, Daten und Rechte.
4. Falls der Auftragsverarbeiter einen Unterauftragsverarbeiter einsetzt, vorherige schriftliche Genehmigung des Verantwortlichen einholen.
5. Dem Unterauftragsverarbeiter dieselben Datenschutzpflichten wie im ursprünglichen Vertrag auferlegen.

04

Ein hypothetischer Fall

Hypothetisches Beispiel: Ein europäisches Unternehmen (Verantwortlicher) beschließt, Kundendaten zur Rechnungsstellung zu erheben, und beauftragt einen Anbieter von Verwaltungssoftware (Auftragsverarbeiter) mit der Verarbeitung. Der Anbieter verarbeitet die Daten nur gemäß den dokumentierten Anweisungen des Verantwortlichen und muss, falls er einen Teil des Dienstes an einen weiteren Anbieter untervergibt, zuvor die schriftliche Genehmigung des auftraggebenden Unternehmens einholen.

05

Elemente, die der Vertrag enthalten sollte

• Dokumentierte Anweisungen des Verantwortlichen als einzige Grundlage der Verarbeitung.
• Verpflichtung zur Vertraulichkeit der zur Verarbeitung befugten Personen.
• Angemessene Sicherheitsmaßnahmen gemäß Artikel 32.
• Bedingungen für den Einsatz eines weiteren Auftragsverarbeiters.
• Unterstützung des Verantwortlichen bei den Rechten betroffener Personen und Löschung oder Rückgabe der Daten nach Beendigung der Dienstleistung.

06

Rollen mit einem Software-Partner organisieren

Ein Unternehmen kann seinen Software-Partner bitten, für jeden Datenfluss abzubilden, wer Verantwortlicher und wer Auftragsverarbeiter ist, und dabei die erhaltenen dokumentierten Anweisungen und genehmigten Zwecke nachzuverfolgen.

Es können periodische Überprüfungsprozesse für den Verarbeitungsvertrag eingerichtet werden, mit Aufzeichnung der an etwaige Unterauftragsverarbeiter erteilten Genehmigungen und der dem Verantwortlichen bei geplanten Änderungen mitgeteilten Informationen.

07

Häufige Klarstellungen

• Die Unterscheidung beruht darauf, wer über Zwecke und Mittel der Verarbeitung entscheidet, nicht auf der Art der ausgeübten Tätigkeit.
• Ein Auftragsverarbeiter darf nur mit schriftlicher, spezifischer oder allgemeiner Genehmigung des Verantwortlichen einen Unterauftragsverarbeiter einsetzen.
• Erfüllt der Unterauftragsverarbeiter seine Pflichten nicht, bleibt der ursprüngliche Auftragsverarbeiter dem Verantwortlichen gegenüber vollständig verantwortlich.

08

Nächster praktischer Schritt

Bevor Sie eine Verarbeitung an einen Anbieter übertragen, prüfen Sie, ob der Vertrag alle in Artikel 28 vorgesehenen Elemente enthält, und bitten Sie den Anbieter zu dokumentieren, wie er etwaige Unterauftragsverarbeiter verwaltet.