Verantwortlicher vs. Auftragsverarbeiter
Die DSGVO unterscheidet zwischen dem Verantwortlichen, der über Zwecke und Mittel der Datenverarbeitung entscheidet (Art. 4 Nr. 7 DSGVO), und dem Auftragsverarbeiter, der personenbezogene Daten nur weisungsgebunden im Auftrag verarbeitet (Art. 4 Nr. 8 DSGVO). Die Abgrenzung bestimmt, wer welche Pflichten trägt, etwa beim Abschluss eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.
In der Praxis
In der Praxis nutzt fast jedes Unternehmen mit eigener Website Auftragsverarbeiter wie Hosting-Provider, E-Mail-Marketing-Tools oder Cloud-Speicher – das Unternehmen selbst bleibt dabei datenschutzrechtlich Verantwortlicher und muss mit jedem Dienstleister einen AVV nach Art. 28 DSGVO abschließen. Schwieriger wird es, wenn zwei Parteien gemeinsam über Zwecke und Mittel entscheiden, etwa bei gemeinsam genutzten Analyse- oder Marketing-Tools: Dann greift Art. 26 DSGVO zur gemeinsamen Verantwortlichkeit mit eigener Vereinbarung zur Aufgabenverteilung. Eine falsch eingeschätzte Rolle kann zu Geldbußen und lückenhaften Prozessen für Betroffenenrechte führen.