Zwecke und Mittel: die zwei Prüffragen
Die Definition stellt zwei Fragen: Warum werden die Daten verarbeitet (Zweck)? Und wie (Mittel)? Die österreichische Datenschutzbehörde übersetzt das anschaulich: Zweck ist „das gewünschte Ergebnis“, Mittel ist „die Art und Weise, wie das Ergebnis erreicht werden soll“. Wer diese Entscheidungen trifft, ist Verantwortlicher – unabhängig davon, ob er die Daten selbst auf einem eigenen Server hat.
Verantwortlicher kann jede natürliche oder juristische Person, Behörde oder sonstige Stelle sein. In einem Unternehmen ist das in der Regel das Unternehmen selbst, nicht die einzelne Mitarbeiterin. Wer im Betrieb Daten bearbeitet, tut das nach Art. 29 DSGVO auf Weisung des Verantwortlichen.
In einem Verein ist entsprechend der Verein Verantwortlicher, nicht die Schriftführerin, die das Protokoll tippt. Und wer als Privatperson ausschließlich für persönliche oder familiäre Zwecke Daten verarbeitet – etwa die Einladungsliste zur eigenen Hochzeit –, fällt nach Art. 2 Abs. 2 lit. c gar nicht unter die DSGVO und ist daher auch kein Verantwortlicher in ihrem Sinn.
Die Rolle folgt den Tatsachen, nicht dem Vertrag
Ob jemand Verantwortlicher ist, ergibt sich aus dem, was tatsächlich passiert. Ein Vertrag kann die Rolle beschreiben, aber nicht festlegen. Besonders deutlich zeigt das Art. 28 Abs. 10: Ein Dienstleister, der entgegen seinem Auftrag selbst über Zwecke und Mittel bestimmt, gilt für diese Verarbeitung als Verantwortlicher.
Ein Beispiel aus der KI-Welt: Ein Transkriptionsdienst, der Aufnahmen nur für seine Kundschaft verschriftlicht, ist Auftragsverarbeiter. Würde er dieselben Aufnahmen zusätzlich verwenden, um eigene Modelle zu trainieren, entschiede er insoweit selbst über einen Zweck – und wäre dafür eigenständig verantwortlich.
Was der Verantwortliche zu tun hat
Nach Art. 5 Abs. 2 und Art. 24 muss der Verantwortliche die Einhaltung der DSGVO nicht nur sicherstellen, sondern auch nachweisen können (Rechenschaftspflicht). Konkret gehören dazu unter anderem:
- eine Rechtsgrundlage für jede Verarbeitung und die Einhaltung der Grundsätze aus Art. 5
- die Informationspflicht gegenüber den Betroffenen und die Erfüllung ihrer Rechte
- ein Verarbeitungsverzeichnis und angemessene TOM
- ein Auftragsverarbeitungsvertrag mit jedem Dienstleister, der für ihn Daten verarbeitet
- die Meldung von Datenschutzverletzungen an die Aufsichtsbehörde und, wo nötig, eine Datenschutz-Folgenabschätzung
Die österreichische Datenschutzbehörde weist außerdem darauf hin, dass nach der Rechtsprechung des EuGH ein Verstoß des Auftragsverarbeiters dem Verantwortlichen so zugerechnet werden kann, als hätte er ihn selbst begangen. Die sorgfältige Auswahl von Dienstleistern ist also Teil der eigenen Verantwortung.
Abgrenzung zu anderen Rollen
Neben Verantwortlichem und Auftragsverarbeiter kennt die DSGVO weitere Rollen. Die wichtigsten im Überblick:
| Rolle | Kennzeichen |
|---|---|
| Verantwortlicher | entscheidet über Zwecke und Mittel |
| Gemeinsam Verantwortliche | entscheiden zu zweit oder zu mehreren gemeinsam über Zwecke und Mittel |
| Auftragsverarbeiter | verarbeitet im Auftrag und nach Weisung, ohne eigene Zwecke |
| Empfänger | jede Stelle, der Daten offengelegt werden (Art. 4 Nr. 9) |
| Dritter | wer weder betroffen noch verantwortlich noch Auftragsverarbeiter oder dessen Personal ist (Art. 4 Nr. 10) |
Die Rollen werden immer pro Verarbeitung bestimmt. Ein IT-Dienstleister ist für seine eigene Kundenkartei Verantwortlicher – und zugleich Auftragsverarbeiter, wenn er auf seinen Servern die Daten seiner Kunden hostet.
Die Werbeagentur Leitner nimmt Briefing-Calls mit Kunden auf und lässt sie von einem Online-Dienst transkribieren und zusammenfassen. Die Agentur entscheidet, welche Calls aufgenommen werden, wofür (Projektdokumentation) und mit welchem Werkzeug. Sie ist Verantwortliche.
Der Transkriptionsdienst verarbeitet die Aufnahmen nur, um der Agentur Transkript und Zusammenfassung zu liefern. Er ist Auftragsverarbeiter, und die Agentur schließt mit ihm einen AVV. Der Projektmitarbeiter, der die Aufnahme startet, ist keine eigene Rolle – er handelt für die Agentur.
Dieser Eintrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.