Verantwortliche und Auftragsverarbeiter

Die DSGVO verteilt Pflichten und Haftung nach einem grundlegenden Prinzip: Sie treffen die Stelle, die über die Verarbeitung bestimmt. Wer festlegt, wofür und wie Daten verarbeitet werden, ist „Verantwortlicher" und muss die Pflichten der DSGVO erfüllen. Von dieser Einordnung als Verantwortlicher hängt eine Vielzahl weiterer Folgen ab: die nötigen Verträge, die Verteilung der Pflichten, Inhalte der Datenschutzhinweise und die Haftung im Schadensfall. Die richtige Bestimmung der datenschutzrechtlichen Rollen (eigenständiger oder gemeinsamer Verantwortlicher, Auftragsverarbeiter) steht deshalb am Anfang jeder datenschutzrechtlichen Prüfung und ist eine wichtige Weichenstellung.

1 Die Akteure der DSGVO

Eine einzelne Verarbeitung kann mehrere Stellen einbinden. Die DSGVO ordnet sie in ein festes Rollengefüge ein:

• Verantwortlicher (Art. 4 Nr. 7 DSGVO): die juristische Person, Behörde oder Stelle, die allein über Zwecke und Mittel entscheidet. Sie ist zentraler Normadressat und trägt grundsätzlich alle Pflichten der DSGVO. Mehr unter 1.3.6.2 Verantwortlicher.
• Unterstellte Person (Art. 29 DSGVO): Mitarbeiter oder Beamte, die für den Verantwortlichen handeln. Sie sind nicht selbst verantwortlich, sondern an dessen Weisungen gebunden und werden ihm als Teil seiner Sphäre zugerechnet. Ihr Handeln gilt damit als Handeln des Verantwortlichen. Eine Ausnahme bildet der Exzess: Handelt die Person weisungswidrig zu eigenen Zwecken, wird dieses Handeln dem Verantwortlichen nicht zugerechnet, und sie kann insoweit selbst zum Verantwortlichen werden (dazu am Ende von 1.3.6.2 Verantwortlicher).
• Gemeinsam Verantwortliche (Art. 26 DSGVO): zwei oder mehr Verantwortliche, die Zwecke und Mittel gemeinsam festlegen. Mehr unter 1.3.6.3 Gemeinsam Verantwortliche.
• Auftragsverarbeiter (Art. 28 DSGVO): eine Stelle, die Daten weisungsgebunden für einen Verantwortlichen verarbeitet, ohne über Zwecke oder wesentliche Mittel zu entscheiden. Mehr unter 1.3.6.4 Auftragsverarbeiter.

Daneben steht der Dritte als jede Stelle außerhalb dieses inneren Kreises (Art. 4 Nr. 10 DSGVO), und der Empfänger als jede Stelle, der Daten offengelegt werden (Art. 4 Nr. 9 DSGVO). Auftragsverarbeiter und unterstellte Personen sind gerade keine Dritten, sondern Teil der Sphäre des Verantwortlichen. Diese Begriffe sind als Nachschlage-Einträge gesondert erläutert (1.2.9 Empfänger, 1.2.10 Dritter).

2 Abgrenzung: wer legt Zwecke und Mittel fest

Alle Rollen leiten sich aus einer einzigen Frage ab: Wer entscheidet faktisch über Zwecke und Mittel der Verarbeitung? Faktisch heißt: wie es in der Praxis tatsächlich gehandhabt wird, nicht wie es in Verträgen formuliert ist.

• Zwecke beantworten das Wofür und Warum der Verarbeitung, also das Ziel (etwa Kundenverwaltung, Abrechnung, Werbung). Über die Zwecke darf nur der Verantwortliche entscheiden. Wer über den Zweck mitentscheidet, ist nie bloßer Auftragsverarbeiter.
• Mittel beantworten das Wie der Verarbeitung. Hier ist zu unterscheiden:
  • Wesentliche Mittel beeinflussen unmittelbar die Zulässigkeit der Verarbeitung: welche Datenkategorien verarbeitet werden, wie lange gespeichert wird, wer Zugriff erhält und an wen Daten weitergegeben werden. Über sie darf nur der Verantwortliche entscheiden.
  • Unwesentliche Mittel betreffen die rein technische Umsetzung: welche konkrete Software eingesetzt wird und welche konkreten Sicherheitsmaßnahmen getroffen werden. Diese Entscheidungen dürfen einem Auftragsverarbeiter überlassen bleiben.

Bezugspunkt ist immer eine bestimmte Verarbeitung bestimmter Daten zu einem bestimmten Zweck, gegebenenfalls in einer bestimmten Phase. Dieselbe Stelle kann für eine Verarbeitung Auftragsverarbeiter und für eine andere eigenständig Verantwortlicher sein. Träger der Rolle ist außerdem stets die juristische Person (etwa die GmbH, die Universität, das Klinikum), nicht eine einzelne Abteilung oder ein einzelner Mitarbeiter.

3 Die Rollen im Überblick

4 Relevanz der Einordnung

Die Rolle ist nicht akademisch, sie steuert die gesamte Datenschutz-Compliance eines Verhältnisses:

• Verträge. Mit einem Auftragsverarbeiter ist ein Auftragsverarbeitungsvertrag zu schließen (Art. 28 Abs. 3 DSGVO), mit gemeinsam Verantwortlichen eine Vereinbarung über die Pflichtenverteilung (Art. 26 Abs. 1 DSGVO). Bei getrennter Verantwortlichkeit ist regelmäßig kein datenschutzrechtlicher Vertrag nötig.
• Pflichtenverteilung. Die Rolle entscheidet, wer das Verzeichnis von Verarbeitungstätigkeiten führt (1.3.7), wer eine Datenpanne meldet, wer Betroffenenanfragen beantwortet und wer die Datenschutzhinweise verfasst.
• Datenweitergabe. Die Weitergabe an einen Auftragsverarbeiter ist privilegiert und grundsätzlich zulässig, ohne dass es einer eigenen Rechtsgrundlage für die Weitergabe bedarf. Die Weitergabe an einen anderen Verantwortlichen ist eine rechtfertigungsbedürftige Offenlegung.
• Haftung und Bußgeld. Der Verantwortliche haftet für den gesamten Datenumgang einschließlich des Verhaltens seines Auftragsverarbeiters. Gemeinsam Verantwortliche haften nach außen gesamtschuldnerisch.

Der praktisch einfachste Fall ist die getrennte Verantwortlichkeit: Hier sind in der Regel keine Verträge nötig, und es entsteht keine Haftung für die andere Stelle. Bei allgemeinen Projektdaten (Kontaktdaten der Beteiligten, zugehörige E-Mails, Besprechungsprotokolle) kann meist von getrennter Verantwortlichkeit ausgegangen werden.

Weil die Einordnung an die faktische Rollenverteilung anknüpft, haben geschlossene Verträge nur Indizwirkung. Sie können aber eine Anscheinswirkung entfalten: Wer einen Auftragsverarbeitungsvertrag schließt, signalisiert, von einer Auftragsverarbeitung auszugehen. Eine falsche Einordnung lässt sich daher nicht durch den Vertrag heilen, sondern erzeugt zusätzliche Risiken (dazu 1.3.6.4).

5 Aufbau dieses Abschnitts