Verantwortlicher und Auftragsverarbeiter

Es spielt keine Rolle, welche Rechtsform Ihr Unternehmen hat. Denn nicht nur Personen, sondern auch jede Art von Organisation kann als Verantwortlicher gelten. Dazu zählen: 

• natürliche Personen (z. B. Einzelunternehmer:innen)
• juristische Personen (z. B. GmbH)
• Behörden
• Sonstige Einrichtungen 

Hinweis:
Für Unternehmen gilt: Verantwortlich ist, wer die Verarbeitung personenbezogener Daten tatsächlich beeinflusst (Zweck und Mittel). 

Im öffentlichen Bereich kann sich die Verantwortlichkeit auch aus gesetzlichen Vorgaben ergeben.

Verantwortliche müssen laut DSGVO folgende Pflichten:

• Grundsätze der Datenverarbeitung befolgen
• Rechenschaftspflicht einhalten
• Rechtmäßigkeit sicherstellen
• Rechte der Betroffenen sicherstellen
• Informationspflichten erfüllen
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gewährleisten
• Verzeichnis von Verarbeitungstätigkeiten führen
• Mit der Aufsichtsbehörde zusammenarbeiten
• Sicherheit der Verarbeitung gewährleisten
• Data-Breach-Meldung durchführen
• Datenschutz-Folgenabschätzung und ggf. Konsultationsverfahren durchführen
• Datenschutzbeauftragte:n bestellen (gegebenenfalls)
• Vorgaben für den Internationalen Datenverkehr einhalten
• Vertrag mit dem Auftragsverarbeiter abschließen (gegebenenfalls)
  

Hinweis:
Nach der DSGVO sind verantwortliche Unternehmen rechenschaftspflichtig. Sie müssen also (zumindest im Streitfall) nachweisen können, dass Sie die datenschutzrechtlichen Pflichten einhalten.

Eine gemeinsame Verantwortlichkeit liegt vor, wenn zwei (oder mehr) Unternehmen gemeinsam entscheiden, zu welchen Zwecken und mit welchen Mitteln sie personenbezogene Daten verarbeiten. Entscheidend dabei ist, dass mehrere Unternehmen gemeinsam an der Datenverarbeitung beteiligt sind. 

Eine gemeinsame Beteiligung an der Datenverarbeitung liegt vor, wenn einer der folgenden Fälle zutrifft: 

• Die Unternehmen treffen Entscheidungen gemeinsam, oder 
• die Unternehmen treffen Entscheidungen, die sich gegenseitig ergänzen.
  

Beispiele

• Die Unternehmen A und B bringen gemeinsam ein Produkt auf den Markt und organisieren dafür eine Werbeveranstaltung. Dafür nutzen sie gemeinsam Kundendaten aus ihren jeweiligen Datenbanken und legen zusammen fest, auf welche Weise die Veranstaltung beworben wird. Da sie gemeinsam über Zwecke und wesentliche Mittel der Datenverarbeitung entscheiden, gelten sie als gemeinsam Verantwortliche.
• Eine Unternehmerin betreibt eine Fanpage ihrer Werbeagentur auf Facebook. Zwar kümmert sich Facebook um die organisatorische  Abwicklung (z. B. Einholung der Einwilligung, Ausgestaltung des Trackings zu Werbezwecken o. Ä.). Sie ist aber dennoch gemeinsam mit Facebook (Meta) für die Datenverarbeitung auf der Fanpage verantwortlich, da gemeinsam statistische Auswertungen von User:innen durchgeführt werden, Trackingmaßnahmen eingesetzt werden usw.

Hinweis: Um die gemeinsame Verantwortlichkeit zu regeln, sollten Sie eine schriftliche Vereinbarung abschließen. Unser Muster hilft Ihnen dabei:

Für Auftragsverarbeiter gelten weniger Datenschutzvorgaben als für Verantwortliche. Folgende Pflichten müssen Auftragsverarbeiter aber dennoch erfüllen, wenn sie personenbezogene Daten verarbeiten: 

• Den Verantwortlichen bei potenziellen Datenschutzrechtsverstößen warnen
  Die Warnpflicht gilt, wenn der Auftragsverarbeiter glaubt, dass eine Weisung gegen Datenschutzrecht verstößt. In diesem Fall muss er den Verantwortlichen unverzüglich informieren.
• Verzeichnis von Verarbeitungstätigkeiten führen
• Mit der Aufsichtsbehörde zusammenarbeiten
• Sicherheit der Verarbeitung sicherstellen
• Data-Breach-Meldung (an den Verantwortlichen) durchführen
• Datenschutzbeauftragte:n bestellen (gegebenenfalls)
• Vorgaben für den Internationalen Datenverkehr einhalten
  

Hinweis:
Zusätzlich zu den oben genannten Pflichten können sich aus der Vereinbarung
zwischen Verantwortlichem und Auftragsverarbeiter weitere Pflichten ergeben. Dazu zählt insbesondere die Unterstützungspflicht. Diese verpflichtet den Auftragsverarbeiter den Verantwortlichen dabei zu unterstützen die Betroffenenrechte zu erfüllen. 

Wenn ein Verantwortlicher einen Auftragsverarbeiter einsetzt, muss er eine schriftliche Vereinbarung über die Auftragsverarbeitung abschließen („Auftragsverarbeitervertrag“). 

Die Vereinbarung zwischen Verantwortlichen und Auftragsverarbeiter muss zumindest folgende Punkte enthalten:

• Der Auftragsverarbeiter darf personenbezogene Daten nur auf nachweisliche Weisung des Verantwortlichen verarbeiten. 
  Hinweis: Diese Vorgabe gilt auch für die Übermittlung personenbezogener Daten an ein Drittland. 
  Es könnte sein, dass der Auftragsverarbeiter durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Übermittlung verpflichtet ist. In diesem Fall muss der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung bekanntgeben. Diese Mitteilungspflicht entfällt, wenn das betreffende Recht eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses verbietet.
• Der Auftragsverarbeiter gewährleistet, dass sich alle mit der Datenverarbeitung beauftragten Mitarbeitenden zur Vertraulichkeit verpflichtet haben. Es reicht auch aus, wenn diese Mitarbeitenden einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Der Auftragsverarbeiter ergreift alle Maßnahmen zur Sicherheit der Verarbeitung.
• Wenn der Auftragsverarbeiter Dienste eines weiteren Auftragsverarbeiters in Anspruch nehmen will, muss er sich an die Bestimmungen für Sub-Auftragsverarbeiter (siehe nächste Frage "Unter welchen Voraussetzungen dürfen Auftragsverarbeiter Sub-Auftragsverarbeiter beauftragen?") halten.
• Der Auftragsverarbeiter muss den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, die Betroffenenrechte zu wahren. Wie diese Unterstützung erfolgt, ist abhängig von der Art der Verarbeitung und den Möglichkeiten des Auftragsverarbeiters. Der Auftragsverarbeiter darf bei der Ausgestaltung der TOMs das Mindestschutzniveau der DSGVO nicht unterschreiten.
• Der Auftragsverarbeiter muss den Verantwortlichen dabei unterstützen, folgende Datenschutzpflichten einzuhalten:
  • Sicherheit der Verarbeitung
  • Data-Breach-Meldungen
  • Datenschutz-Folgenabschätzung
  • Konsultationsverfahren
  Wie diese Unterstützung erfolgt, ist abhängig von der Art der Verarbeitung und den Informationen, die dem Auftragsverarbeiter zur Verfügung stehen.
• Der Verantwortliche hat zwei Optionen, was mit den personenbezogenen Daten für die Zeit nach Abschluss der Verarbeitungsleistung passiert:
  • Option 1: Der Auftragsverarbeiter löscht die personenbezogenen Daten.
  • Option 2: Der Auftragsverarbeiter gibt dem Verantwortlichen die Daten zurück und löscht vorhandene Kopien.  
  Diese Optionen bestehen nicht, wenn nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
• Der Auftragsverarbeiter muss gegenüber dem Verantwortlichen nachweisen können, dass er die Pflichten gemäß Artikel 28 DSGVO erfüllt. Der Auftragsverarbeiter ermöglicht bzw. unterstützt auch Überprüfungen oder Inspektionen, die der Verantwortlichen oder ein von diesem beauftragter Prüfer durchführt.
  

Hinweis: Bevor eine Prüfung der Einhaltung der gesetzlichen Vorschriften beim Auftragsverarbeiter durchgeführt wird, denken Sie bitte an einen Abschluss einer Vertraulichkeitsvereinbarung oder halten Sie diese Geheimhaltung anderweitig vertraglich fest.

Eine solche Vereinbarung muss vorliegen, wer auch immer diese vorlegt – das kann der Verantwortliche selbst sein oder der Auftragsverarbeiter stellt einen zur Verfügung. Üblicherweise werden von großen Anbietern Auftragsverarbeiterverträge direkt bei den Nutzungsbedingungen eingebunden (z. B. bei Cloud-Storage Verträgen als „Auftragsverarbeitungsvertrag“, „Auftragsverarbeitervereinbarung“, „AVV“, „Processor Agreement“, „Data Processing Agreement“ oder „DPA“).

Grundsätzlich gibt es verschiedene Möglichkeiten: 

1. Der Auftragsverarbeiter muss vom Verantwortlichen eine schriftliche Genehmigung einholen, bevor er einen weiteren Auftragsverarbeiter (Sub-Auftragsverarbeiter) beauftragt.
2. Weiters kann auch der Auftragsverarbeiter selbständig Subauftragsverarbeiter beauftragen, sofern sie die gesetzlichen Verpflichtungen und die spezifizierten Verpflichtungen des Auftragsverarbeiters einhalten.
   

Bereits im Auftragsverarbeitervertrag kann eine allgemeine schriftliche Genehmigung erteilt werden, dass der Auftragsverarbeiter Sub-Auftragsverarbeiter heranziehen darf. Dann muss der Auftragsverarbeiter den Verantwortlichen informieren, wenn:

• weitere Auftragsverarbeiter hinzugezogen, oder
• Auftragsverarbeiter ersetzt 
  

werden sollen.

Der Verantwortliche kann gegen die beabsichtigten Änderungen Einspruch erheben. 

Der Begriff „Auswahlverschulden“ besagt: Wenn ein Verantwortlicher einen Auftragsverarbeiter einsetzt, wird dessen Verhalten dem Verantwortlichen zugerechnet, sodass der Verantwortliche für das Verhalten des Auftragsverarbeiters vollumfänglich haftet.

Verantwortliche sollten ihre Auftragsverarbeiter deshalb sorgfältig auswählen. Weitere Informationen zum Thema Schadenersatz siehe die Infoseite Rechtsdurchsetzung und Strafen.