Wer verantwortlich ist – und wer nur ausführt
Verantwortlicher, Auftragsverarbeiter, gemeinsam Verantwortliche: Drei Rollen, die darüber entscheiden, wer haftet, wer Auskunft geben muss und welcher Vertrag nötig ist. Die Einordnung folgt den Tatsachen, nicht der Vereinbarung.
Die Einordnung hängt an einer einzigen Frage: Wer entscheidet über Zweck und Mittel der Verarbeitung? Wer das tut, ist Verantwortlicher – unabhängig davon, wer die Technik betreibt, wem die Server gehören oder was im Vertrag steht.
Wer entscheidet worüber
Gemeinsame Verantwortung entsteht schneller als gedacht
Der EuGH hat den Begriff weit ausgelegt. Für eine gemeinsame Verantwortung genügt es, gemeinsam über die Zwecke zu entscheiden – vollständige Gleichrangigkeit ist nicht nötig, und auch kein Zugriff auf die Daten.
Die bekannteste Entscheidung betraf eine Fanpage in einem sozialen Netzwerk: Wer eine solche Seite betreibt, ermöglicht die Erhebung von Daten und legt durch die Auswahl der Zielgruppenkriterien den Zweck mit fest. Das genügte dem Gericht für eine gemeinsame Verantwortlichkeit.
Was jede Rolle mitbringt
- VerantwortlicherBraucht eine Rechtsgrundlage, informiert, beantwortet Anfragen, meldet Datenpannen, haftet nach außen.
- Gemeinsam VerantwortlicheBrauchen eine Vereinbarung, die die Pflichten aufteilt. Deren Kernpunkte müssen betroffenen Personen zugänglich sein.
- AuftragsverarbeiterBraucht keinen eigenen Erlaubnisgrund, aber einen Vertrag nach Art. 28 – und darf nur auf Weisung handeln.
Was das für eine gewöhnliche Website heißt
- Der Hoster ist Auftragsverarbeiter. Ein Vertrag nach Art. 28 ist nötig, ein eigener Erlaubnisgrund für den Hoster nicht.
- Ein Auswertungsdienst kann beides sein. Entscheidend ist, ob der Auswertungsdienst die Daten auch für sich verwendet.
- Ein eingebundenes Werbenetzwerk führt regelmäßig zu gemeinsamer Verantwortung für den Erhebungsvorgang.