Ein Verantwortlicher entscheidet, warum und wie personenbezogene Daten verarbeitet werden; ein Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich nach Weisung des Verantwortlichen. Dies ist wichtig, denn Ihre Rolle bestimmt, wer eine Rechtsgrundlage benötigt, wer Anfragen von Betroffenen beantworten muss, wer eine Datenschutzverletzung meldet und wer im Schadensfall haftet.

Wie unterscheidet man einen Controller von einem Prozessor?

Sie fragen, wer entscheidet, warum und wie Daten verarbeitet werden. Ein Verantwortlicher legt den Zweck und die wesentlichen Mittel der Verarbeitung fest. Ein Auftragsverarbeiter handelt ausschließlich nach den dokumentierten Anweisungen des Verantwortlichen und verwendet die Daten nicht für eigene Zwecke.

Wird Ihre Rolle im Vertrag festgelegt?

Nein. Sich im Vertrag als Auftragsverarbeiter zu bezeichnen, macht einen nicht automatisch dazu. Nutzt ein Anbieter die Daten für eigene Zwecke – etwa zur Produktverbesserung, zur Profilerstellung oder für Marketingzwecke –, ist er unabhängig vom Vertrag Verantwortlicher für diese Datenverarbeitung.

Typische Auftragsverarbeiter: ein Hosting-Anbieter, ein Lohnabrechnungsbüro, das ausschließlich nach Anweisung arbeitet, ein E-Mail-Zustellungsdienst. Typische Verantwortliche, auch wenn sie von einem Dritten beauftragt werden: ein Wirtschaftsprüfer, der eine Abschlussprüfung durchführt, ein Rechtsanwalt, der einen Fall betreut, ein betriebsärztlicher Dienst, der seine beruflichen Pflichten wahrnimmt.

Was, wenn Sie und eine andere Partei die Zwecke gemeinsam festlegen?

Sie sind dann gemeinsam Verantwortliche und müssen Ihre jeweiligen Zuständigkeiten in einer Vereinbarung untereinander festlegen, insbesondere hinsichtlich der Rechte der betroffenen Personen und der Informationspflichten. Die wesentlichen Punkte dieser Vereinbarung müssen den betroffenen Personen zugänglich gemacht werden.

Gemeinsame Verantwortlichkeit kommt häufiger vor, als Unternehmen erwarten: Gemeinsame Plattformen, Kampagnen und Social-Media-Seiten werden alle als gemeinsame Verantwortlichkeit behandelt. Betroffene Personen können ihre Rechte gegenüber jedem der gemeinsam Verantwortlichen geltend machen, unabhängig davon, wie Sie die Verantwortung intern aufgeteilt haben.

Was muss eine Verarbeitungsvereinbarung enthalten?

Wenn Sie einen Auftragsverarbeiter beauftragen, ist eine schriftliche Vereinbarung zwingend erforderlich, deren Inhalt vorgeschrieben ist: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Arten von Daten und Kategorien betroffener Personen, Ihre Weisungen als Verantwortlicher, Vertraulichkeit, Sicherheitsmaßnahmen, Bedingungen für die Beauftragung von Unterauftragsverarbeitern, Unterstützung bei Anfragen betroffener Personen und Meldung von Datenschutzverletzungen, was mit den Daten nach Beendigung der Vereinbarung geschieht und Ihre Prüfrechte.

Wo entstehen Streitigkeiten üblicherweise?

Zwei Klauseln bereiten in der Praxis die meisten Probleme. Unterauftragsverarbeitung: Eine allgemeine schriftliche Einwilligung ist zulässig, der Auftragsverarbeiter muss Sie jedoch über alle beabsichtigten Änderungen informieren und Ihnen die Möglichkeit zum Widerspruch einräumen. Rückgabe oder Löschung nach Beendigung der Geschäftsbeziehung: Vereinbaren Sie vor Beendigung der Geschäftsbeziehung und nicht erst im Streitfall, welche der beiden Optionen gilt und in welcher Form.

Wer haftet, wenn bei der Verarbeitung etwas schiefgeht?

Sie haften als Verantwortlicher für Schäden, die durch eine Verarbeitung entstehen, die gegen die DSGVO verstößt. Ein Auftragsverarbeiter haftet nur dann, wenn er seinen in der DSGVO festgelegten Pflichten nicht nachgekommen ist oder entgegen Ihren rechtmäßigen Weisungen gehandelt hat. Sind Sie beide an derselben Verarbeitung beteiligt, kann jeder von Ihnen für den gesamten Schaden gegenüber der betroffenen Person haftbar gemacht werden. Im Anschluss besteht ein Regressrecht zwischen Ihnen. Daher ist es wichtig, die Haftungsfreistellungsbestimmungen in einer Auftragsverarbeitungsvereinbarung sorgfältig auszuhandeln.

Zusammenfassend

Ihre Rolle richtet sich nach den Fakten, nicht nach der Bezeichnung in Ihrem Vertrag: Wer über Zweck und wesentliche Mittel entscheidet, ist der Verantwortliche.
Wenn Sie die Zwecke gemeinsam mit einer anderen Partei festlegen, sind Sie gemeinsam Verantwortliche und müssen Ihre Aufteilung der Verantwortlichkeiten protokollieren.
Eine Verarbeitungsvereinbarung muss Gegenstand, Dauer, Art, Zweck, Datentypen, Ihre Anweisungen, Sicherheit, Unterverarbeitung, Unterstützung, Rückgabe oder Löschung sowie Prüfrechte umfassen.
Ein Auftragsverarbeiter darf nur mit Ihrer Zustimmung Unteraufträge vergeben und muss Ihnen die Möglichkeit geben, gegen jeden Wechsel des Unterauftragnehmers Widerspruch einzulegen.
Die Haftung für denselben Schaden kann auf beide Parteien fallen, daher sollten Sie die Freistellungsklausel vor der Unterzeichnung aushandeln.

Häufig gestellte Fragen

Kann eine Partei für einen Teil der Verarbeitung als Verantwortlicher und für einen anderen Teil als Auftragsverarbeiter fungieren?
Ja. Die Bewertung erfolgt pro Verarbeitungsaktivität, nicht pro Beziehung, sodass dieselbe Partei für unterschiedliche Datenflüsse beide Rollen innehaben kann.

Benötigen Sie eine Verarbeitungsvereinbarung, wenn Sie Daten nur gelegentlich mit einem Lieferanten teilen?
Ja, wenn der Lieferant personenbezogene Daten gemäß Ihren Anweisungen verarbeitet, ist die Vereinbarung unabhängig von der Häufigkeit der Verarbeitung zwingend erforderlich.

Wir bewerten die Rollen in einer Datenkette, entwerfen und prüfen Verarbeitungsvereinbarungen und Vereinbarungen zur gemeinsamen Verantwortlichen und beraten zur Haftung nach einem Vorfall.

Sie sind sich unsicher, wie Ihre Situation aussieht? Schildern Sie uns Ihre Lage. Wir informieren Sie innerhalb eines Werktages über Ihre Möglichkeiten.

Wie Law & More Wie wir Ihnen dabei helfen können, wird auf unserer Website erklärt. IT-Anwalt