Wie nennt man eine Person ein Unternehmen welche welches über die Verarbeitung von personenbezogenen Daten entscheidet?

Mit der bereits in Kraft getretenen Datenschutz-Grundverordnung (DSGVO) und dem revidierten Bundesgesetz über den Datenschutz (DSG), das 2022 in Kraft tritt, haben sich im Bereich des Datenschutzes zwei verschiedene Rollen mit unterschiedlichen Verantwortlichkeiten herausgebildet. Der Datenverantwortliche und der Datenverarbeiter. Doch was sind die Hauptunterschiede, und vor allem, welche Rolle sind Sie?

Für jedes Unternehmen, das personenbezogene Daten von Kunden und Nutzern sammelt, speichert und verarbeitet, ist es wichtig, die wichtigsten Unterschiede zu kennen. In diesem Artikel werden wir die Hauptunterschiede zwischen für die Datenverarbeitung Verantwortlichen und Datenverarbeitern untersuchen, die es Ihnen nicht nur ermöglichen, zu bestimmen, wer Sie sind, sondern auch, was Ihre Pflichten sind.

Was ist ein für die Datenverarbeitung Verantwortlicher?

Ein für die Verarbeitung Verantwortlicher ist eine Person, Organisation oder Behördengruppe, die "über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet"(Europäische Kommission, 2021). Sie sind die "Entscheidungsträger". Das bedeutet im Wesentlichen, dass der für die Verarbeitung Verantwortliche derjenige ist, der entscheidet, welche personenbezogenen Daten verarbeitet werden, den Grund für die Verarbeitung (Zwecke) und die Art und Weise, wie dies geschehen soll (Mittel).

Wenn Ihr Unternehmen mit anderen Organisationen zusammenarbeitet, um gemeinsam die Zwecke und Mittel der Verarbeitung personenbezogener Daten festzulegen, sind Sie gemeinsam für die Verarbeitung Verantwortliche. In der Regel werden Sie das Verfahren für die Datenerhebung mit ihnen gemeinsam gestalten, dieselbe Datenbank für die Datenspeicherung verwenden und gemeinsame Regeln für das Informationsmanagement mit einem anderen für die Verarbeitung Verantwortlichen haben.

Was bedeutet das im wirklichen Leben? Hier sind einige Beispiele für Unternehmen und Konzerne, die als für die Datenverarbeitung Verantwortliche handeln:

• LinkedIn erstellt gezielte Werbung aus den Daten , die von den Nutzerprofilen gesammelt werden.
• Eine Wohltätigkeitsorganisation sammelt E-Mail-Adressen von ihren Unterstützern, um eine Mailing-Liste zu erstellen.
• Apple verwendet die von den Kunden gesammelten Daten, um seine Produkte zu liefern.

Was sind die Aufgaben eines für die Verarbeitung Verantwortlichen?

Aber was bedeutet es, wenn Sie ein für die Datenverarbeitung Verantwortlicher sind? Für die Datenverarbeitung Verantwortliche tragen die höchste Verantwortung für die Einhaltung der Vorschriften, d. h. Sie sind letztendlich für die Einhaltung der Vorschriften bei allen Ihren Datenverarbeitern verantwortlich. Im Folgenden finden Sie eine Liste der zahlreichen Pflichten, die Sie als für die Datenverarbeitung Verantwortlicher haben:

• Sie sind dafür verantwortlich, die betroffenen Personen (die Personen, von denen Sie Daten erheben) über den Zweck und die Mittel der Datenerhebung mittels einer Datenschutzrichtlinie zu informieren ( unsere können Sie beispielsweise hier lesen ).
• Konformität und Registrierung (falls erforderlich) bei der Datenschutzbehörde Ihres Landes (z. B. der ICO im Vereinigten Königreich).
• Erstellung und Überwachung einer Datenverarbeitungsvereinbarung mit jedem Ihrer Datenverarbeiter.
• Beantwortung von Anträgen auf Zugang zu Dokumenten.

Bitte beachten Sie, dass es sich hierbei nicht um eine erschöpfende Liste von Verantwortlichkeiten handelt. Die vollständige Liste Ihrer Pflichten hängt von dem Land ab, in dem Sie tätig sind. Wenn Sie sich nicht sicher sind oder weitere Hinweise benötigen , helfen wir Ihnen gerne weiter.

Was ist ein Datenverarbeiter?

Ein Datenverarbeiter ist eine Person oder ein Unternehmen, das "Daten nur im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet"(Europäische Kommission, 2021). Dabei handelt es sich in der Regel um eine dritte Partei, wobei die Pflichten der Verarbeitung dem Auftragsverarbeiter in einem rechtsverbindlichen Vertrag übertragen werden. Wenn Ihr Unternehmen Angestellte hat, sind diese keine Auftragsverarbeiter. Solange sie im Rahmen ihrer "Pflichten" als Angestellte handeln, handeln sie als "Beauftragte eines für die Verarbeitung Verantwortlichen" und nicht als eigenständige Partei.

Der Datenverarbeiter kann zwar einen Vorteil für die Verarbeitung von Daten für den für die Verarbeitung Verantwortlichen erhalten (z. B. eine Gebühr), hat aber nicht das primäre Interesse am Endergebnis. Er verarbeitet Daten, weil der für die Verarbeitung Verantwortliche ihn darum gebeten hat.

Was bedeutet das im wirklichen Leben? Hier sind einige Beispiele für Unternehmen und Gruppen, die als Datenverarbeiter tätig sind:

• Google Analytics empfängt Nutzerdaten von der Website eines für die Datenverarbeitung Verantwortlichen. Es analysiert die Daten der Website und präsentiert sie in Form von Erkenntnissen darüber, wie die Website genutzt wird.
• Eine Druckerei verwendet Namen und Adressen von Personen, die von einem für die Datenverarbeitung Verantwortlichen zur Verfügung gestellt wurden, um personalisierte Einladungen zu drucken und zu versenden.
• Xero erhält persönliche Daten und Bankdaten von Arbeitnehmern von einem Arbeitgeber, um die Gehaltsabrechnung für einen Datenverantwortlichen zu bearbeiten.

Was sind die Aufgaben eines Datenverarbeiters?

Im Gegensatz zu den für die Datenverarbeitung Verantwortlichen, die eine größere Anzahl von Verantwortlichkeiten haben, besteht die Hauptverantwortung der Datenverarbeiter darin, die Datenverarbeitungsvereinbarung mit dem für die Datenverarbeitung Verantwortlichen, in dessen Auftrag sie arbeiten, zu befolgen und einzuhalten. Das bedeutet im Wesentlichen, dass sie den Zweck der Verarbeitung oder die Mittel, mit denen die Daten verwendet oder erhoben werden, nicht ändern dürfen. Datenverarbeiter können für alle Schäden haftbar gemacht werden, die durch die Nichteinhaltung der Datenverarbeitungsvereinbarung verursacht werden.

Bin ich ein für die Datenverarbeitung Verantwortlicher oder ein Datenverarbeiter?

Während die Unterscheidung zwischen einem für die Datenverarbeitung Verantwortlichen und einem Datenverarbeiter oft klar ist, ist die Grenze manchmal unscharf. Ebenso ist ein Unternehmen nicht automatisch ein für die Datenverarbeitung Verantwortlicher - es ist üblich, dass ein Unternehmen sowohl für die Datenverarbeitung Verantwortlicher als auch Datenverarbeiter ist. Wie kann man also den Unterschied erkennen?

Gehen Sie diese erste Liste von Verantwortlichkeiten durch:

• Wir beschließen, die personenbezogenen Daten zu sammeln oder zu verarbeiten.
• Wir entscheiden, was der Zweck oder das Ergebnis der Verarbeitung sein sollte.
• Wir entscheiden, welche persönlichen Daten gesammelt werden sollen.
• Wir entscheiden, über welche Personen wir personenbezogene Daten sammeln.

Wenn Sie eine (oder alle) dieser Fragen mit "Ja" beantwortet haben, sind Sie wahrscheinlich ein für die Datenverarbeitung Verantwortlicher. Gehen Sie nun diese zweite Liste durch:

• Wir befolgen die Anweisungen einer anderen Person in Bezug auf die Verarbeitung personenbezogener Daten.
• Die personenbezogenen Daten wurden uns von einem Kunden zur Verfügung gestellt, oder es wurde uns gesagt, welche Daten wir sammeln sollten.
• Wir beschließen nicht, personenbezogene Daten von Einzelpersonen zu sammeln.
• Wir entscheiden nicht darüber, welche personenbezogenen Daten von Einzelpersonen erhoben werden sollen.

Wenn Sie eine (oder wieder alle) der oben genannten Fragen mit Ja beantwortet haben, dann sind Sie höchstwahrscheinlich ein Datenverarbeiter.

Während die obigen Listen Ihre Frage nach den beiden Rollen relativ schnell beantworten können, ist es im wirklichen Leben oft schwierig, den Unterschied zu erkennen und festzustellen, wer ein für die Datenverarbeitung Verantwortlicher und wer ein Datenverarbeiter ist.

Immer noch unsicher? Setzen Sie sich mit unserem Datenschutzteam in Verbindung und vereinbaren Sie einen Gesprächstermin mit einem unserer Berater, damit wir Ihnen die Unterschiede erläutern können.

In welchem der genannten Fällen ist die Verarbeitung personenbezogener Daten erlaubt?

Was ist eine betroffene Person?

Wer ist die Verantwortliche Stelle bei der Auftragsverarbeitung?

Wann ist eine Person identifizierbar?