Definition
Der Begriff Verantwortlicher bezeichnet im Datenschutz die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Dabei liegt die Entscheidungsbefugnis hinsichtlich des Warum und Wie der Datenverarbeitung beim Verantwortlichen. Die Rolle des Verantwortlichen ist zentral für die Einhaltung datenschutzrechtlicher Pflichten, insbesondere nach der Datenschutz-Grundverordnung (DSGVO).
Der Verantwortliche trägt die Verantwortung dafür, dass die Verarbeitung personenbezogener Daten rechtmäßig erfolgt und die Rechte der betroffenen Personen gewahrt bleiben. Dies umfasst unter anderem die Pflicht zur Umsetzung technischer und organisatorischer Maßnahmen sowie zur Dokumentation der Verarbeitungstätigkeiten. Die Definition des Verantwortlichen ist in Artikel 4 Nummer 7 der DSGVO festgelegt.
Was bedeutet das für Ihr Unternehmen?
Als Inhaber eines Unternehmens sind Sie in aller Regel Verantwortlicher für die Kunden-, Bewerber- und Mitarbeiterdaten, auch wenn Website, Newsletter oder Buchhaltung bei Dienstleistern laufen. Die Verantwortung lässt sich nicht an die Agentur abgeben, nur die Ausführung. Daraus folgen Pflichten wie Datenschutzerklärung, Verarbeitungsverzeichnis und Auftragsverarbeitungsverträge mit allen Dienstleistern, die Zugriff auf diese Daten haben.
Rechtliche Grundlagen und Hintergrund
Die Rolle des Verantwortlichen wurde mit der Einführung der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 europaweit einheitlich definiert. Die DSGVO ersetzt die vorherige Datenschutzrichtlinie 95/46/EG und stellt strengere Anforderungen an die Verantwortlichen, insbesondere im Hinblick auf Transparenz, Rechenschaftspflicht und Datenschutz durch Technikgestaltung. Ziel ist es, den Schutz personenbezogener Daten zu verbessern und den Betroffenen mehr Kontrolle über ihre Daten zu geben.
Vor der DSGVO gab es in den Mitgliedstaaten unterschiedliche Regelungen, wer als Verantwortlicher gilt. Die Harmonisierung durch die DSGVO erleichtert die grenzüberschreitende Datenverarbeitung innerhalb der EU. Zudem sind Verantwortliche verpflichtet, bei Datenschutzverletzungen die zuständigen Aufsichtsbehörden zu informieren und gegebenenfalls die betroffenen Personen zu benachrichtigen.
Aufgaben und Pflichten des Verantwortlichen
Zu den wesentlichen Pflichten des Verantwortlichen gehört die Sicherstellung der Rechtmäßigkeit der Datenverarbeitung. Dies beinhaltet die Einhaltung der Grundsätze der Datenverarbeitung wie Zweckbindung, Datenminimierung und Speicherbegrenzung. Der Verantwortliche muss zudem geeignete technische und organisatorische Maßnahmen treffen, um die Sicherheit der Daten zu gewährleisten.
Darüber hinaus ist der Verantwortliche verpflichtet, Betroffenenrechte zu gewährleisten, beispielsweise Auskunftsrecht, Recht auf Berichtigung oder Löschung sowie das Recht auf Datenübertragbarkeit. Die Führung eines Verzeichnisses von Verarbeitungstätigkeiten ist ebenfalls eine Pflicht, sofern die Verarbeitung nicht nur gelegentlich erfolgt. In bestimmten Fällen muss der Verantwortliche auch einen Datenschutzbeauftragten benennen.
Beispiele und Praxisanwendung
Ein typisches Beispiel für einen Verantwortlichen ist ein Unternehmen, das Kundendaten für Marketingzwecke verarbeitet. Das Unternehmen entscheidet, welche Daten erhoben werden, zu welchem Zweck und wie lange sie gespeichert werden. Auch öffentliche Stellen, die personenbezogene Daten verarbeiten, können Verantwortliche sein.
In komplexen Fällen kann es mehrere Verantwortliche geben, die gemeinsam über die Verarbeitung entscheiden. Dies wird als gemeinsame Verantwortlichkeit bezeichnet und erfordert klare Vereinbarungen über die jeweiligen Verantwortlichkeiten. Ein weiteres Beispiel sind Auftragsverarbeiter, die im Auftrag des Verantwortlichen Daten verarbeiten, jedoch selbst nicht die Zwecke und Mittel der Verarbeitung bestimmen.
Abgrenzung zu verwandten Begriffen
Der Verantwortliche ist von dem Auftragsverarbeiter zu unterscheiden. Während der Verantwortliche die Entscheidungen über die Datenverarbeitung trifft, verarbeitet der Auftragsverarbeiter die Daten ausschließlich im Auftrag des Verantwortlichen und nach dessen Weisungen. Die Pflichten und Verantwortlichkeiten sind daher unterschiedlich geregelt und in der DSGVO klar getrennt.
Ein weiterer verwandter Begriff ist der Vertreter des Verantwortlichen, der insbesondere für Verantwortliche außerhalb der EU relevant ist. Der Vertreter fungiert als Ansprechpartner für Aufsichtsbehörden und Betroffene innerhalb der EU, übernimmt jedoch nicht die Verantwortung für die Datenverarbeitung selbst. Die klare Abgrenzung dieser Rollen ist wichtig für die Einhaltung der Datenschutzvorschriften.