Abgrenzung von Verantwortlichem, Auftragsverarbeiter und gemeinsam Verantwortlichen
Was die Verantwortlichkeit für die Verarbeitung personenbezogener Daten angeht, kennt die DS-GVO im Wesentlichen drei Akteure. Zum einen den Verantwortlichen, der nach Art. 4 Nr. 7 DS-GVO als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet und zum anderen den Auftragsverarbeiter. Der „Auftragsverarbeiter“ wird als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle definiert, der die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DS-GVO).
Die DS-GVO geht in Art. 26 DS-GVO davon aus, dass mehrere Akteure gemeinsam für Verarbeitungen im Zusammenhang mit personenbezogenen Daten verantwortlich sein können (Joint Controllership).
Gemäß Art. 26 Abs. 1 DS-GVO sind mehrere Stellen „gemeinsam für die Verarbeitung Verantwortliche“, wenn sie gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen. Der „Verantwortliche“ wird in Art. 4 Nr. 7 DS-GVO definiert. In diesem Sinne bedingt eine gemeinsame Verantwortlichkeit, dass zwei oder mehrere Verantwortliche gemeinsam personenbezogene Daten verarbeiten.
Bislang gab es in nur wenige Veröffentlichungen von Seiten der Aufsichtsbehörden, die sich mit dem Thema der Gemeinsam Verantwortlichen beschäftigen, obwohl die Rechtsfigur der „gemeinsamen Verantwortlichkeit“ und die damit verbundene Frage, wie eine solche vertragliche Vereinbarung zwischen den beteiligten Verantwortlichen eigentlich auszugestalten ist, seit Bekanntwerden des Art. 26 DS-GVO bei vielen Verantwortlichen große Fragezeichen auslöste.
Aktuell versucht der Europäische Datenschutzausschuss (EDSA) im Rahmen einer Konsultation zu diesem Thema eine noch klarere Abgrenzung für die Praxis zu finden. Dazu hat der EDSA einen Entwurf für eine Stellungnahme zur Abgrenzung von Verantwortlichem, Auftragsverarbeiter und gemeinsam Verantwortlichen veröffentlicht. Feedback erwartet der EDSA bis spätestens 19. Oktober 2020 unter Verwendung des bereitgestellten Formulars. Erst danach wird eine finale Version des Dokuments veröffentlicht werden.
European Data Protection Board
Verwandte Produkte
Das könnte Sie auch interessieren
-
Webinar Verarbeitungsverzeichnis softwaregestützt erstellen, dokumentieren, pflegen und archivieren
Mit dem webbasierten Management-System DataAgenda Datenschutz Manager können Sie alle Maßnahmen zum Datenschutz erfassen, verwalten und dokumentieren (VVT, DSFA etc.) und so Ihre Rechenschaftspflicht gemäß DS-GVO erfüllen. Der Referent zeigt, wie Sie mit einem Verzeichnis der Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DS-GVO einen zentralen Baustein der Datenschutzdokumentation erstellen. Sie erfahren, wie der DataAgenda Datenschutz Manager
Mehr erfahren -
BSI veröffentlicht Handreichung zur NIS-2-Geschäftsleitungsschulung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine neue Handreichung zur Geschäftsleitungsschulung im Rahmen der NIS-2-Umsetzung veröffentlicht. Die Publikation richtet sich an Führungsebenen von Unternehmen und Einrichtungen, die künftig unter die NIS-2-Regulierung fallen – also als „wichtige“ oder „besonders wichtige Einrichtungen“ gelten. Ziel ist es, Geschäftsleitungen auf ihre neuen Pflichten im Bereich Cybersicherheit
Mehr erfahren -
Refurbished Notebook mit ungelöschten Daten – wer ist verantwortlich?
Der Erwerb gebrauchter oder „refurbished“ IT-Geräte wirft nicht nur technische, sondern auch datenschutzrechtliche Fragen auf. Besonders heikel wird es, wenn auf einem erworbenen Notebook noch personenbezogene Daten des Vorbesitzers vorzufinden sind. Doch wer trägt in diesem Fall die Verantwortung nach der DS-GVO? Verantwortlichenbegriff nach Art. 4 Nr. 7 DS-GVO Nach Art. 4 Nr. 7 DS-GVO
Mehr erfahren
