Verantwortlicher

Verantwortlicher ist nach Art. 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Bestimmt das Unionsrecht oder das Recht eines Mitgliedstaats diese Entscheidungen, kann es auch den Verantwortlichen oder die Kriterien für seine Benennung festlegen.

Die Rolle richtet sich nach der tatsächlichen Gestaltung der Verarbeitung und nicht allein nach einer Vertragsüberschrift. In Unternehmen ist in der Regel die Organisation als solche Verantwortlicher, nicht automatisch die einzelne Geschäftsführerin, ein Mitarbeiter oder ein extern beauftragter Dienstleister. Wer den Zweck einer Verarbeitung festlegt und die wesentlichen Mittel bestimmt, trägt die datenschutzrechtliche Verantwortung. Dafür muss der Verantwortliche nicht selbst auf jede einzelne gespeicherte Information zugreifen.

Vom Verantwortlichen ist der Auftragsverarbeiter zu unterscheiden: Er verarbeitet personenbezogene Daten für den Verantwortlichen und nach dessen dokumentierten Weisungen. Entscheiden zwei oder mehr Stellen gemeinsam über Zwecke und wesentliche Mittel, kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen. Ob das so ist, ergibt sich aus den tatsächlichen Entscheidungen und Abläufen. Eine Vereinbarung kann die Aufgaben verteilen, ersetzt aber nicht die zutreffende Rollenprüfung.

Für die Praxis sollte ein Unternehmen daher für jeden Verarbeitungsvorgang festhalten, welchem Zweck er dient, wer die wesentlichen Mittel bestimmt und welche Entscheidungen zu Rechtsgrundlage, Empfängern, Zugriffen, Löschung und Sicherheit getroffen wurden. Art. 24 DSGVO verlangt geeignete Maßnahmen und den Nachweis, dass die Verarbeitung im Einklang mit der Verordnung erfolgt. Der Bereich Compliance und Datenschutz-Governance ordnet diese Verantwortlichkeiten ein; der Rollen-Check bietet eine erste Orientierung bei der Abgrenzung zu Auftragsverarbeitern und gemeinsamer Verantwortlichkeit.