Verantwortlicher im Datenschutz

Definition: Der Verantwortliche (englisch: Controller) ist im Datenschutzrecht die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Diese Begriffsbestimmung findet sich in Art. 4 Nr. 7 DSGVO und ist der zentrale Anknüpfungspunkt für die datenschutzrechtliche Verantwortlichkeit. Wer als Verantwortlicher einzustufen ist, trägt die Hauptlast der DSGVO-Pflichten: Er muss sicherstellen, dass eine Rechtsgrundlage für jede Verarbeitung vorliegt, er muss Betroffene informieren, Betroffenenrechte umsetzen, technische und organisatorische Schutzmaßnahmen implementieren, ein Verzeichnis der Verarbeitungstätigkeiten führen, Datenpannen melden und im Falle von Verstößen gegenüber Aufsichtsbehörden Rechenschaft ablegen. Im Online-Marketing ist typischerweise das Unternehmen, das eine Website betreibt, eine App anbietet oder E-Mail-Marketing betreibt, der datenschutzrechtliche Verantwortliche – und zwar auch dann, wenn es für die technische Umsetzung auf externe Dienstleister (Auftragsverarbeiter) zurückgreift. Die Einstufung als Verantwortlicher ist keine Frage des Willens, sondern ergibt sich aus der faktischen Entscheidungsgewalt über Zweck und Mittel der Verarbeitung.

Erläuterung

Das Konzept des Verantwortlichen ist das Herzstück der DSGVO-Haftungsstruktur. Anders als im älteren deutschen Datenschutzrecht, das stärker auf formale Rollen abstellte, kommt es nach der DSGVO allein darauf an, wer faktisch über den Verwendungszweck und die wesentlichen technischen und organisatorischen Rahmenbedingungen der Verarbeitung bestimmt. Diese funktionale Betrachtungsweise hat praktische Konsequenzen: Auch ein kleines Unternehmen, das lediglich eine Landing Page mit einem eingebundenen Google-Analytics-Tag betreibt, ist hinsichtlich der Erhebung und Übermittlung von Nutzerdaten an Google datenschutzrechtlicher Verantwortlicher.

Vom Verantwortlichen zu unterscheiden ist der Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO), also eine Person oder Organisation, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet – beispielsweise ein E-Mail-Marketing-Dienstleister, ein CRM-Anbieter oder ein Webhosting-Unternehmen. Der Auftragsverarbeiter handelt auf Weisung des Verantwortlichen und darf Daten grundsätzlich nicht für eigene Zwecke nutzen. Das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter muss durch einen schriftlichen Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) geregelt sein.

Eine besondere und in der Praxis häufig unterschätzte Konstellation ist die gemeinsame Verantwortlichkeit (Joint Controllership, Art. 26 DSGVO). Sie liegt vor, wenn zwei oder mehr Stellen gemeinsam die Zwecke und Mittel einer Verarbeitung festlegen. Bekannte Beispiele aus dem Online-Marketing sind der Betrieb einer Facebook-Fanpage (der EuGH hat Facebook/Meta und den Seitenbetreiber als gemeinsam Verantwortliche eingestuft), die Nutzung von Social-Login-Buttons oder die gemeinsame Nutzung von Kundendaten im Rahmen von Marketingkooperationen. Bei gemeinsamer Verantwortlichkeit müssen die Beteiligten in einer Vereinbarung transparent festlegen, wer welche datenschutzrechtlichen Pflichten übernimmt.

Die Rechtsfolgen der Verantwortlichkeit sind erheblich: Der Verantwortliche haftet gegenüber Betroffenen für alle Schäden, die durch eine nicht DSGVO-konforme Verarbeitung entstehen (Art. 82 DSGVO), und kann von Aufsichtsbehörden mit Bußgeldern bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes belegt werden (Art. 83 DSGVO). Er haftet auch für Fehler seiner Auftragsverarbeiter, wenn er diese nicht sorgfältig ausgewählt hat oder wenn keine ausreichenden Weisungen erteilt wurden.

Pflichten des Verantwortlichen nach der DSGVO

• Rechtsgrundlage sicherstellen (Art. 6 DSGVO): Für jede Verarbeitung personenbezogener Daten muss eine der sechs Rechtsgrundlagen der DSGVO vorliegen (Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe, berechtigtes Interesse).
• Informationspflichten (Art. 13, 14 DSGVO): Betroffene müssen transparent und vollständig über die Verarbeitung ihrer Daten informiert werden – in der Regel über die Datenschutzerklärung.
• Betroffenenrechte umsetzen (Art. 15–22 DSGVO): Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenportabilität müssen innerhalb eines Monats beantwortet werden.
• Verzeichnis der Verarbeitungstätigkeiten führen (Art. 30 DSGVO): Alle Verarbeitungsvorgänge müssen schriftlich dokumentiert und auf Anfrage der Aufsichtsbehörde vorgelegt werden können.
• Datenpannen melden (Art. 33, 34 DSGVO): Sicherheitsverstöße sind innerhalb von 72 Stunden der zuständigen Datenschutzbehörde und ggf. den betroffenen Personen zu melden.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Privacy by Design und Privacy by Default müssen implementiert sein.
• Auftragsverarbeitungsverträge schließen (Art. 28 DSGVO): Mit allen externen Dienstleistern, die personenbezogene Daten im Auftrag verarbeiten, muss ein rechtskonformer AVV geschlossen werden.

Abgrenzung Verantwortlicher – Auftragsverarbeiter – Gemeinsame Verantwortliche

• Alleiniger Verantwortlicher: Trifft alle Entscheidungen über Zweck und Mittel selbst; klassisches Beispiel: Unternehmen, das eigene Kundendaten für sein E-Mail-Marketing verwendet.
• Auftragsverarbeiter: Verarbeitet Daten ausschließlich auf Weisung; klassische Beispiele: E-Mail-Versanddienstleister, Cloud-CRM-Anbieter, Werbeagenturen, die nur den technischen Versand übernehmen.
• Gemeinsam Verantwortliche: Zwei oder mehr Stellen bestimmen gemeinsam Zweck und Mittel; erfordert eine transparente Vereinbarung über die jeweiligen Pflichten und deren Kommunikation an Betroffene.