Kurz gesagt: Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Das ist in der Regel ein Unternehmen oder eine Behörde, nicht der einzelne Mitarbeiter. Den Verantwortlichen treffen fast alle Pflichten der DSGVO.
Wenn bei einer Datenverarbeitung etwas schiefgeht, fragt die Aufsichtsbehörde zuerst: Wer ist verantwortlich? Von der Antwort hängt ab, wer Auskunft geben, Daten löschen, Pannen melden und im Zweifel ein Bußgeld zahlen muss. In der Sachkundeprüfung wird der Begriff gern mit anderen Rollen vermischt, etwa mit dem Datenschutzbeauftragten oder der Wachperson. Wenn du die Rollen sauber trennst, kannst du solche Fragen sicher beantworten.
Was im Gesetz steht
Art. 4 Nr. 7 DSGVO definiert den Verantwortlichen als die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Die Kernfrage lautet also: Wer bestimmt, warum Daten verarbeitet werden (Zweck), und wie das grundsätzlich geschieht (Mittel)? Wer das festlegt, ist verantwortlich, egal ob er die Daten selbst anfasst oder andere damit beauftragt.
Die Rollen im Überblick
| Rolle | Wer ist das? | Beispiel |
|---|---|---|
| Verantwortlicher | Entscheidet über Zwecke und Mittel | Der Betreiber eines Einkaufszentrums, der Videoüberwachung einführt |
| Auftragsverarbeiter | Verarbeitet im Auftrag und nach Weisung | Der Sicherheitsdienst, der die Kameras nach Vorgaben des Betreibers bedient |
| Betroffene Person | Der Mensch, um dessen Daten es geht | Der Kunde, der auf dem Kamerabild zu sehen ist |
| Beschäftigte | Personen, die unter der Verantwortung des Verantwortlichen oder Auftragsverarbeiters arbeiten | Du als Wachperson an den Monitoren |
| Empfänger | Jede Stelle, der Daten offengelegt werden, egal ob Dritter oder nicht | Ein Versicherer, dem eine Aufnahme nach einem Schaden übergeben wird |
| Dritter | Jede Stelle außer betroffener Person, Verantwortlichem, Auftragsverarbeiter und deren befugten Beschäftigten | Ein Nachbar, der eine Aufnahme sehen möchte |
| Datenschutzbeauftragter | Berät und überwacht intern, entscheidet aber nicht | Der benannte Datenschutzbeauftragte des Einkaufszentrums |
| Aufsichtsbehörde | Staatliche Kontrolle, kann Bußgelder verhängen | Die Datenschutzbehörde des Bundeslandes |
Wichtige Abgrenzungen
Das Unternehmen, nicht der Mitarbeiter
Ist ein Unternehmen Verantwortlicher, dann ist das die Firma selbst, etwa die GmbH. Nicht der Geschäftsführer persönlich, nicht der Objektleiter und nicht du. Mitarbeiter handeln für das Unternehmen und sind nach Art. 29 DSGVO an dessen Weisungen gebunden. Sie sind nach Art. 4 Nr. 10 auch keine Dritten, solange sie befugt unter der Verantwortung ihres Arbeitgebers handeln.
Der Datenschutzbeauftragte ist nicht verantwortlich
Eine klassische Prüfungsfalle. Der Datenschutzbeauftragte berät, schult und überwacht. Die Entscheidungen trifft und verantwortet aber der Verantwortliche. Mehr dazu auf der Seite zum Datenschutzbeauftragten.
Gemeinsam Verantwortliche
Entscheiden zwei oder mehr Stellen gemeinsam über Zwecke und Mittel, sind sie nach Art. 26 DSGVO gemeinsam Verantwortliche. Sie müssen in einer Vereinbarung festlegen, wer welche Pflichten übernimmt, etwa wer Auskunftsanfragen beantwortet. Betroffene können sich trotzdem an jeden von ihnen wenden. Ein Beispiel: Veranstalter und Sicherheitsdienst entwickeln gemeinsam ein Einlasskonzept mit Abgleich einer Hausverbotsliste, in das beide ihre eigenen Daten und Zwecke einbringen.
Die Pflichten des Verantwortlichen
- Einhaltung der Grundsätze nach Art. 5 und deren Nachweis (Rechenschaftspflicht)
- Rechtsgrundlage für jede Verarbeitung nach Art. 6
- Information der Betroffenen nach Art. 13 und 14, etwa durch Hinweisschilder
- Erfüllung der Betroffenenrechte wie Auskunft und Löschung
- Verzeichnis der Verarbeitungstätigkeiten nach Art. 30
- Technische und organisatorische Maßnahmen nach Art. 32
- Meldung von Datenpannen an die Aufsichtsbehörde nach Art. 33
- Auswahl und Kontrolle von Auftragsverarbeitern nach Art. 28
Ein Fall aus dem Dienst
Du arbeitest im Sicherheitsdienst eines Einkaufszentrums. Der Betreiber hat Kameras in den Gängen und am Parkhaus installieren lassen und legt fest, wie lange gespeichert wird. Dein Arbeitgeber stellt das Personal an den Monitoren. Ein Juweliergeschäft im Zentrum hat zusätzlich eigene Kameras im Laden, die nur der Juwelier auswertet.
Für die Kameras in Gängen und Parkhaus ist der Betreiber verantwortlich, dein Arbeitgeber arbeitet als Auftragsverarbeiter. Für die Ladenkameras ist der Juwelier selbst verantwortlich. Bittet dich der Juwelier, ihm Bilder aus dem Parkhaus zu schicken, weil er einen Ladendieb verfolgen will, kannst du das nicht selbst entscheiden. Die Anfrage geht an den Betreiber.
Ein Kollege fotografiert nebenbei mit seinem privaten Handy Bilder vom Monitor und teilt sie in einer privaten Chatgruppe, "weil es lustig war". Damit verlässt er den Auftrag. Nach verbreiteter Ansicht kann ein Mitarbeiter, der Daten so für eigene Zwecke nutzt, insoweit selbst zum Verantwortlichen werden, mit allen Folgen bis zum Bußgeld. Arbeitsrechtliche Konsequenzen kommen hinzu.
Typische Prüfungsfallen
- Verantwortlich ist, wer über Zwecke und Mittel entscheidet, nicht wer die Daten tippt.
- Der Datenschutzbeauftragte ist nie der Verantwortliche im Sinne der DSGVO.
- Bei einer Firma ist die Firma verantwortlich, nicht der einzelne Mitarbeiter.
- Mehrere Stellen können gemeinsam verantwortlich sein. Betroffene dürfen sich dann an jede wenden.
- Wer Daten aus dem Dienst für eigene Zwecke nutzt, kann dafür selbst verantwortlich werden.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Wer ist nach Art. 4 Nr. 7 DSGVO Verantwortlicher?
Wer kann Verantwortlicher im Sinne der DSGVO sein?
Ein Einkaufszentrum lässt seine Kameras durch einen Sicherheitsdienst nach eigenen Vorgaben bedienen. Wer ist für die Videoaufnahmen verantwortlich?
Welche Pflichten treffen den Verantwortlichen nach der DSGVO?
Was gilt bei gemeinsam Verantwortlichen nach Art. 26 DSGVO?
Ist der Datenschutzbeauftragte eines Unternehmens dessen Verantwortlicher im Sinne der DSGVO?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 4 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.