Rollen im Datenschutz

Verantwortliche ist, wer über Mittel und Zwecke entscheidet, d. h. bestimmt, welche personenbezogenen Daten von Betroffenen wofür und wie verarbeitet werden. Die Verantwortliche treffen viele Pflichten. Die Betroffenen können gegenüber der Verantwortlichen ihre Betroffenenrechte geltend machen und sich bei Datenschutzverstößen bei einer Aufsichtsbehörde beschweren.

Ist die Verarbeitung personenbezogener Daten der Kern einer Dienstleistung, wie es regelmäßig etwa bei SaaS-Anwendungen der Fall ist, muss die Verantwortliche mit dem Dienstleister („Auftragsverarbeiter“) einen Auftragsverarbeitungsvertrag („AVV“) schließen. Die Verantwortliche bestimmt weiter die Zwecke; der Auftragsverarbeiter verfolgt keine eigenen Zwecke – er ist nur ausführendes Organ.

Bestimmen mehrere Verantwortliche gemeinsam über Zwecke und Mittel, liegt eine gemeinsame Verantwortlichkeit vor. Diese ist häufig etwa in Unternehmensgruppen anzutreffen. Eine gemeinsame Verantwortlichkeit ist jedoch auch in anderen Konstellationen denkbar; so wurde beispielsweise eine gemeinsame Verantwortlichkeit mit Meta beim Betrieb einer Facebook-Fanpage vom Europäischen Gerichtshof bejaht.