Verantwortlicher und Auftragsverarbeiter

Verantwortlicher oder Auftragsverarbeiter?!

Oft wird im Bezug auf die Datenschutzgrundverordnung von Verantwortlichen oder der verantwortlichen Stelle gesprochen, auch in unseren vergangenen Blogposts wird oft Bezug auf die verantwortliche Stelle genommen. Doch wer oder was ist der Verantwortliche, und wer oder was ist Auftragsverarbeiter, aber nicht Verantwortlicher? Dies wird in diesem Artikel geklärt.

Zunächst die Frage, wer der Verantwortliche nach Artikel 4 Absatz 7 DSGVO? Zunächst gibt es keine generellen Einschränkungen, wer die Rolle des Verantwortlichen übernehmen kann. Jede natürliche oder juristische Person, Behörde oder Einrichtung, die über die Zwecke und Mittel der Datenverarbeitung entscheidet, egal ob gemeinsam oder allein, ist Verantwortlicher. Der Verantwortliche bestimmt also, warum die Datenverarbeitung erfolgt und wie diese erfolgen soll. Dabei kann es sich um eine Organisation, Einzelperson oder aber auch eine Gruppe von Einzelpersonen handeln.

Bei der Datenverarbeitung beispielsweise in einer Firmengruppe oder Untergruppe eines Trägers muss beachtete werden, ob diese Gruppe als Verantwortlicher oder Auftragsverarbeiter auftritt. Dies ist beispielsweise der Fall, wenn Daten im Auftrag der zum Beispiel Muttergesellschaft verarbeitet werden.

Daraus stellt sich die Frage, wer nach Artikel 4, Absatz 8 DSGVO Auftragsverarbeiter ist. Auch hier kann es sich um viele Akteure handeln; der Auftragsverarbeiter ist nämlich jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die Daten im Auftrag des Verantwortlichen verarbeitet. Dabei muss der Auftragsverarbeiter eine getrennte Einheit vom Verantwortlichen sein.

Der Verantwortliche und der Auftragsverarbeiter sind sich also ähnlich, weshalb sich die Frage stellt, ob jemand gleichzeitig Verantwortlicher und Auftragsverarbeiter sein kann, und ja, das geht. Die Verantwortlichkeit ergibt sich aus ihren konkreten Aktivitäten und nicht aus der Art der datenverarbeitenden Stelle. So kann ein Verantwortlicher für bestimmte Datenverarbeitungen auch gleichzeitig Auftragsverarbeiter für andere Datenverarbeitungen sein. Dies ist natürlich im Einzelfall zu beurteilen.