Ordnen Sie Ihre Funktion bei einer Datenverarbeitung als Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher ein. Der Check zeigt, welche Fragen und Unterlagen für die nächste Prüfung wichtig sind.
Mag. Bernhard Brandauer, Rechtsanwalt
BRANDAUER Rechtsanwälte
Mag. Bernhard Brandauer begleitet Unternehmen bei der rechtlichen Einordnung und bei der Umsetzung datenschutzrechtlicher Anforderungen.
Die Bezeichnung im Vertrag entscheidet nicht allein über die datenschutzrechtliche Rolle. Maßgeblich ist, wer über Zwecke und wesentliche Mittel der Verarbeitung entscheidet und ob eine andere Stelle nur nach dokumentierten Weisungen verarbeitet.
Mag. Bernhard Brandauer, Rechtsanwalt
Ordnen Sie Ihre Funktion bei einer Datenverarbeitung als Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher ein. Der Check zeigt, welche Fragen und Unterlagen für die nächste Prüfung wichtig sind.
Ihre Angaben sprechen dafür, dass Ihr Unternehmen Zweck und wesentliche Mittel der Verarbeitung selbst festlegt. Damit liegen die Verantwortung für die rechtliche Grundlage, Transparenz, Betroffenenrechte und angemessene Sicherheitsmaßnahmen grundsätzlich bei Ihnen.
Verarbeitungsverzeichnis, Informationspflichten, Rechtsgrundlage und Zuständigkeiten für Betroffenenanfragen gemeinsam mit dem Prozessablauf prüfen.
Ihre Angaben sprechen für eine Verarbeitung im Auftrag und innerhalb dokumentierter Weisungen. Entscheidend bleibt, ob Ihr Unternehmen tatsächlich keine eigenen Zwecke verfolgt und welche Entscheidungen ihm im Vertrag oder in der Praxis überlassen werden.
Leistungsbeschreibung, Weisungen, Sicherheitsmaßnahmen, Unterauftragsverarbeiter und den Vertrag nach Art. 28 DSGVO abgleichen.
Ihre Angaben deuten darauf hin, dass mehrere Stellen Zwecke oder wesentliche Mittel gemeinsam bestimmen. Dann muss die Aufgabenverteilung transparent festgelegt werden. Die Vereinbarung ändert nichts daran, dass die betroffene Person ihre Rechte wirksam ausüben können muss.
Gemeinsame Zwecke, Entscheidungsbeiträge, Informationspflichten und die Aufgabenverteilung nach Art. 26 DSGVO schriftlich ordnen.
Die Angaben enthalten widersprüchliche oder noch offene Punkte. Eine Vertragsbezeichnung allein reicht für die Rollenfeststellung nicht. Vergleichen Sie den tatsächlichen Datenfluss, die Entscheidungsbefugnisse und die Nutzung mit den vorhandenen Unterlagen.
Datenfluss, Zwecke, Systeme, Weisungen und eigene Nutzungen in einer kurzen Prozessbeschreibung festhalten und anschließend rechtlich abgleichen.
Sichern Sie den Vertrag, die Weisungen und eine kurze Beschreibung des tatsächlichen Datenflusses. Im Gespräch lässt sich dann klären, ob die Rollen, Zuständigkeiten und Sicherheitsanforderungen zusammenpassen.
Nach Art. 4 Z 7 DSGVO entscheidet der Verantwortliche allein oder gemeinsam über Zwecke und Mittel der Verarbeitung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Die Einordnung folgt daher der tatsächlichen Entscheidungs- und Nutzungssituation, nicht bloß einer Überschrift im Vertrag.
Legen zwei oder mehr Stellen Zwecke und Mittel gemeinsam fest, kommt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht. Die Beteiligten sollten Zuständigkeiten für Information, Betroffenenrechte und weitere Pflichten transparent festlegen und den betroffenen Personen zugänglich machen.
Für die Prüfung brauchen Sie mehr als den Vertrag: hilfreich sind Datenfluss, Prozessbeschreibung, Rollen und Berechtigungen, Weisungen, Sicherheitsmaßnahmen, Unterauftragsverarbeiter sowie die Frage, ob eine Stelle die Daten für eigene Zwecke weiterverwendet. Abweichungen zwischen Papier und Praxis sollten vor dem nächsten Rollout geklärt werden.
Nein. Die Bezeichnung ist ein Indiz, ersetzt aber nicht die Prüfung der tatsächlichen Zwecke, Mittel, Weisungen und Nutzung. Wenn der Dienstleister eigene Zwecke verfolgt oder wesentliche Entscheidungen selbst trifft, kann die Einordnung abweichen.
Nicht automatisch. Entscheidend sind die konkrete Leistung, der Datenzugriff, die Weisungsbindung und die Frage, ob der Dienstleister eigene Zwecke oder wesentliche Mittel bestimmt. Ein technischer Zugriff allein beantwortet die Rollenfrage nicht.
Art. 26 DSGVO verlangt eine transparente Aufgabenverteilung. Besonders wichtig sind die Wahrnehmung der Rechte betroffener Personen und die Informationspflichten nach Art. 13 und 14 DSGVO. Die tatsächliche Zusammenarbeit sollte mit der Vereinbarung übereinstimmen.
Neue Beiträge und rechtliche Hinweise der Kanzlei erhalten Sie mit BRANDaktuellen Rechtsnews.
Newsletter abonnieren →Verträge, Weisungen und Sicherheitsanforderungen für externe Dienstleister.
Datenschutzorganisation und Zuständigkeiten im Unternehmen strukturieren.
Unterlagen für eine konkrete Rollenprüfung besprechen.
Erste Orientierung, keine verbindliche Rollenfeststellung. Maßgeblich sind die konkreten Verträge, Datenflüsse, Entscheidungsbefugnisse und tatsächlichen Abläufe.
Schildern Sie uns kurz, worum es geht. Wir ordnen die Ausgangslage ein und besprechen, welche Unterlagen und welcher nächste Schritt für Ihr Unternehmen sinnvoll sind.
Adresse
BRANDAUER Rechtsanwälte GmbH Giselakai 51 5020 Salzburg Österreich
Telefon
+43 662 6280000