Verantwortlicher und Auftragsverarbeiter: Wie man sie nach der DSGVO unterscheidet

01

Der Unterschied kurz erklärt

Der Verantwortliche ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der Auftragsverarbeiter hingegen verarbeitet Daten im Auftrag des Verantwortlichen, ohne selbst zu entscheiden, warum und wie die Daten verwendet werden.

02

Warum diese Unterscheidung wichtig ist

Die DSGVO unterscheidet auch den Empfänger, also denjenigen, dem personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich um einen Dritten handelt oder nicht. Zu verstehen, wer Verantwortlicher, wer Auftragsverarbeiter und wer bloßer Empfänger ist, ermöglicht es, Pflichten und Verantwortlichkeiten korrekt zuzuordnen, bevor ein Problem auftritt.

03

Wie man das Verhältnis formalisiert

Schritte

1. Ermitteln, wer über Zwecke und Mittel der Verarbeitung entscheidet: das ist der Verantwortliche.
2. Einen Vertrag oder Rechtsakt abschließen, der den Auftragsverarbeiter an den Verantwortlichen bindet.
3. Im Vertrag Gegenstand, Dauer, Art, Zweck, Art der Daten und Kategorien der betroffenen Personen festlegen.
4. Vor Einbeziehung eines Unterauftragsverarbeiters eine schriftliche, spezifische oder allgemeine Genehmigung einholen.
5. Bei allgemeiner Genehmigung vorsehen, dass der Auftragsverarbeiter den Verantwortlichen über künftige Änderungen informiert.

04

Ein hypothetischer Fall

Hypothetisches Beispiel: Ein verantwortliches Unternehmen beauftragt einen externen Anbieter mit der Gehaltsabrechnung. Der Vertrag legt fest, dass der Anbieter Daten nur auf dokumentierte Anweisung des Unternehmens verarbeitet, außer bei gesetzlicher Verpflichtung; in diesem Fall informiert er den Verantwortlichen vor der Verarbeitung. Möchte der Anbieter Teile der Arbeit an einen anderen Auftragsverarbeiter weitergeben, muss er zuvor die schriftliche Genehmigung des Unternehmens einholen.

05

Typische Pflichten des Auftragsverarbeiters im Vertrag

• Daten nur auf dokumentierte Anweisung des Verantwortlichen verarbeiten.
• Vertraulichkeit der zur Verarbeitung befugten Personen sicherstellen.
• Die nach Artikel 32 erforderlichen technischen und organisatorischen Maßnahmen ergreifen.
• Den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen unterstützen.
• Die Daten nach Abschluss der Dienstleistung löschen oder zurückgeben, sofern gesetzlich nichts anderes vorgeschrieben ist.

06

Wie man Rollen mit einer Verwaltungssoftware organisiert

Ein Unternehmen kann gemeinsam mit seinem Software-Partner eine klare Übersicht erstellen, wer für jede Verarbeitung Verantwortlicher und wer Auftragsverarbeiter ist, mit Nachverfolgbarkeit der dokumentierten Anweisungen und der Genehmigungen für Unterauftragsverarbeiter. Es ist eine sinnvolle operative Wahl, jede Änderung der Verarbeitungsanbieter zu erfassen und überprüfbar zu machen, um die Einhaltung der vertraglichen Pflichten jederzeit nachweisen zu können.

07

Häufige Fragen zu Verantwortlichem und Auftragsverarbeiter

Darf der Auftragsverarbeiter die Verarbeitung weitergeben? Ja, aber nur mit schriftlicher Genehmigung des Verantwortlichen und indem dem Unterauftragsverarbeiter dieselben Datenschutzpflichten wie im ursprünglichen Vertrag auferlegt werden.

Wer bleibt verantwortlich, wenn der Unterauftragsverarbeiter seinen Pflichten nicht nachkommt? Der ursprüngliche Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen in vollem Umfang für die Erfüllung der Pflichten des anderen Auftragsverarbeiters verantwortlich.

08

Nächster Schritt

Überprüfen Sie Ihre bestehenden Verträge mit Datenverarbeitungsanbietern: stellen Sie sicher, dass sie dokumentierte Anweisungen, Dauer, Zweck und Bedingungen für etwaige Unterauftragsverarbeiter klar angeben.