Auftragsverarbeitung - Die gemeinsame Verantwortlichkeit und ihre Folgen

Zuständigkeiten transparent machen

Im Falle einer gemeinsamen Verantwortung kommt der Zuweisung der datenschutzrechtlich relevanten Zuständigkeiten an die gemeinsam Verantwortlichen große Bedeutung zu.

Legt man die Zuständigkeiten im Zusammenhang mit den Pflichten, die sich aus der Datenschutzgrundverordnung ergeben, im Falle von gemeinsam Verantwortlichen fest, ist Transparenz wichtig. Dies sieht Art. 26 Abs. 1 Datenschutzgrundverordnung vor: Gemeinsam Verantwortliche sollen vertraglich transparent festlegen, welcher Verantwortliche für die Erfüllung welcher Pflichten zuständig ist.

Verpflichtungen sind aufzuteilen

Sind zwei oder mehrere Stellen gemeinsam dafür verantwortlich, die in der Datenschutzgrundverordnung geregelten Verpflichtungen zu erfüllen, so haben sie miteinander abzustimmen, wer welche Aufgabe übernimmt. So können sie sicherstellen, dass die Verarbeitung, für die sie gemeinsam verantwortlich sind, den Vorschriften der Datenschutzgrundverordnung gerecht wird. Um die Vorschriften einzuhalten, ist es erforderlich, dass die Verantwortlichkeiten aufgeteilt werden. Das ergibt sich daraus, dass in Art. 26 Abs. 1 von den „jeweiligen Aufgaben der Verantwortlichen" die Rede ist. Unabhängig hiervon kann das Recht der EU oder das der Mitgliedstaaten schon Zuständigkeiten für die einzelnen der gemeinsam Verantwortlichen definieren. Wenn dem so ist, dann sollte die von den gemeinsam Verantwortlichen geschlossene Vereinbarung sämtliche Zuständigkeiten definieren, die von diesen Rechtsvorschriften nicht berücksichtigt wurden, wohl aber erforderlich sind, um die Vorgaben der Datenschutzgrundverordnung einzuhalten.

Zweifelsfreie Zuweisung der Pflichten

Auf diese Weise soll gewährleistet sein, dass insbesondere in komplexen Situationen, in denen mehrere Stellen gemeinsam verantwortlich sind, diesen Akteuren der jeweilige Verantwortungsbereich zweifelsfrei zugewiesen werden kann. So möchte man vermeiden, dass der Datenschutz in Bezug auf personenbezogene Daten nicht greift. Zudem sollen keine Situationen entstehen, in denen es Schlupflöcher gibt, aufgrund derer niemand der Beteiligten für die Erfüllung der Verpflichtungen zuständig und verantwortlich ist. Es ist klarzustellen, dass auch bei der Zuweisung der Zuständigkeiten die realen Gegebenheiten maßgeblich sein sollen, wenn die Vereinbarung greifen soll. Diese Rahmenbedingungen widersprechen dem Konstrukt der gemeinsamen Verantwortung nicht. Sie können auch nicht herangezogen werden, um eine der verantwortlichen Parteien von ihren in der Datenschutzgrundverordnung festgelegten Pflichten zu befreien.

Betroffenenrechte und Informationspflichten

Zudem legt Art. 26 Abs. 1 Datenschutzgrundverordnung fest, dass die gemeinsam Verantwortlichen bei der Zuweisung der jeweiligen Aufgaben insbesondere darauf achten sollen, dass die betroffenen Personen ihre Rechte wahrnehmen können und dass die Informationspflichten erfüllt werden. Dies gilt insoweit, als die Aufgaben der jeweils Verantwortlichen nicht schon durch das Recht der EU oder ihrer Mitgliedstaaten definiert sind.

Aufgabenverteilung festlegen

Dank dieser Bestimmung ist eindeutig definiert, dass bei einer gemeinsamen Verantwortlichkeit die verantwortlichen Stellen festlegen müssen, wer Anträge von betroffenen Personen zu beantworten hat, die diese Betroffenen aufgrund ihrer in der Datenschutzgrundverordnung garantierten Rechte stellen. Auch wer die Betroffenen – wie in Art. 13 und 14 Datenschutzgrundverordnung vorgesehen – über die Erhebung ihrer personenbezogenen Daten informiert, muss festgelegt werden. Diese Vorgaben beziehen sich lediglich auf das Innenverhältnis der gemeinsam Verantwortlichen, die festlegen müssen, wer von ihnen welche Anträge der Betroffenen zu beantworten hat. Die Betroffenen können sich – so sieht es Art. 26 Abs. 3 Datenschutzgrundverordnung vor – dennoch völlig unabhängig von diesen internen Vereinbarungen mit ihren Anträgen an jede der gemeinsam verantwortlichen Stellen wenden.

Weitere Verpflichtungen müssen ebenfalls zugewiesen werden

Dass der Erwähnung der beiden oben genannten Verpflichtungen der Begriff „insbesondere" vorangestellt ist, ist ein Hinweis darauf, dass es neben diesen noch weitere Verpflichtungen gibt, die ebenfalls den einzelnen Verantwortlichen zugewiesen werden müssen. Man kann also schlussfolgern, dass nicht nur die Zuständigkeit für die in Art. 26 Abs.1 Datenschutzgrundverordnung aufgezählten Themen zu klären ist, sondern dass dies auch für die weiteren Verpflichtungen der gemeinsam Verantwortlichen gilt: Parteien, die gemeinsam für die Verarbeitung personenbezogener Daten verantwortlich sind, müssen gewährleisten, dass die komplette gemeinsam verantwortete Datenverarbeitung den Vorgaben der Datenschutzgrundverordnung gerecht wird.

Zu berücksichtigende Verpflichtungen

Bei gemeinsamer Verantwortlichkeit sollten den Einzelnen neben den in Art. 26 Abs. 1 Datenschutzgrundverordnung genannten Pflichten auch die Zuständigkeiten für weitere Verpflichtungen zugewiesen werden. Unter anderen zählen dazu die folgenden Maßnahmen und die damit einhergehenden Pflichten: So sind die allgemeinen Grundsätze des Datenschutzes umzusetzen, die Rechtmäßigkeit der Verarbeitung muss gewahrt sein, es müssen Sicherheitsmaßnahmen ergriffen werden und wenn der Schutz von personenbezogenen Daten nicht gewahrt wurde, muss dies den betroffenen Personen mitgeteilt und der Aufsichtsbehörde gemeldet werden. Weitere Pflichten und Aufgaben, die den Einzelnen zugewiesen werden müssen, sind Einsatz und Auswahl eines Auftragsverarbeiters, die Datenschutz-Folgenabschätzungen und die Organisation des Austauschs mit Aufsichtsbehörden und betroffenen Personen. Auch die Zuständigkeit für die Datenübermittlung in Drittländer ist zu klären.

Beschränkung der Verwendung

Je nach konkreter Verarbeitung und Intention der Parteien ist auch die Einschränkung der Verwendung der personenbezogenen Daten durch einen der Verantwortlichen für weitere Zwecke ein Themenkreis, der durch die Zuweisung der Aufgabe geregelt werden muss. Allerdings sind alle Verantwortlichen immer verpflichtet zu gewährleisten, dass für die jeweilige Verarbeitung eine Rechtsgrundlage vorliegt. Manchmal werden personenbezogene Daten – bei einer gemeinsamen Verantwortlichkeit – von dem einen an den anderen Verantwortlichen übergeben. In solchen Fällen besteht für jeden der gemeinsam Verantwortlichen eine Rechenschaftspflicht: Es zählt zu den Verpflichtungen jedes Verantwortlichen, zu gewährleisten, dass personenbezogene Daten nicht zu einem anderen als dem ursprünglichen Zweck, für den sie erhoben wurden, verarbeitet werden.

Flexible Handhabung und Dokumentation

Sofern sie gewährleisten, dass die Datenschutzgrundverordnung im Falle einer konkreten Datenverarbeitung in jeder Hinsicht eingehalten wird, können die gemeinsam Verantwortlichen die Zuweisung und Verteilung der Verpflichtungen mit einer gewissen Flexibilität handhaben. Ein entscheidendes Kriterium bei der Zuweisung der Verpflichtungen an die einzelnen Verantwortlichen ist einerseits deren Kompetenz. Andererseits sollte auch berücksichtigt werden, welcher Verantwortliche in der Lage ist, die Betroffenenrechte zu gewährleisten und die entsprechenden, in der Datenschutzgrundverordnung beschriebenen Pflichten zu erfüllen. Vom Europäischen Datenschutzausschuss stammt hierzu die Empfehlung, sowohl die interne Bewertung als auch relevante Faktoren in einer Dokumentation zu erfassen, mit der die unterschiedlichen Pflichten zugewiesen werden. Nicht zuletzt ist die Beurteilung auch entsprechend der Rechenschaftspflicht ein Dokumentationsteil.

Verteilung der Verpflichtungen muss nicht gleichmäßig sein

Bei der Verteilung der Verpflichtungen unter den gemeinsam Verantwortlichen kommt es nicht auf eine gleichmäßige Verteilung an. Der Europäische Gerichtshof hat vor Kurzem Folgendes festgestellt: Besteht eine gemeinsame Verantwortlichkeit, muss diese nicht unbedingt dazu führen, dass die unterschiedlichen, an der Verarbeitung von personenbezogenen Daten beteiligten Akteure in gleicher Weise verantwortlich sind. Dennoch kann es Verarbeitungen geben, in deren Kontext erstens nicht sämtliche Verpflichtungen auf die Verantwortlichen verteilbar sind und bei denen zweitens die gemeinsam Verantwortlichen die identischen Anforderungen der Datenschutzgrundverordnung zu erfüllen haben – wobei Art und Kontext der Datenverarbeitung zu berücksichtigen sind.

Gemeinsam verwendete Datenverarbeitungssysteme – ein Beispiel

Verwenden gemeinsam Verantwortliche Datenverarbeitungssysteme oder -instrumente gemeinsam, dann müssen beide gewährleisten, dass dabei die Verpflichtung, nur die festgeschriebenen Zwecke zu verfolgen, eingehalten wird. Sie haben Maßnahmen umzusetzen, mit denen sie die Sicherheit der personenbezogenen Daten im Kontext der Verarbeitung mit gemeinsamen Instrumenten sicherstellen können.

Verzeichnis der Verarbeitungstätigkeiten – noch ein Beispiel

Nennenswert ist auch die Anforderung an jeden von den gemeinsam Verantwortlichen, dass er ein Verzeichnis aller Tätigkeiten führen muss, die im Rahmen der Verarbeitung ausgeführt werden, oder dass er, sofern die in Art. 37 Abs. 1 Datenschutzgrundverordnung genannten Bedingungen erfüllt sind, verpflichtet ist, einen Datenschutzbeauftragten zu benennen.

Mehr Infos über die Zuweisung von Zuständigkeiten

Sie möchten genau wisse, wie Sie im Falle gemeinsamer Verantwortlichkeit die Zuständigkeiten aufteilen können und sollen? Das erklären wir Ihnen gern ganz genau in Bezug auf Ihre individuelle Situation. Rufen Sie uns bitte unter Telefon 09122 6937302 an, um einen Termin zu vereinbaren, oder senden Sie uns Ihre persönliche Nachricht. Wir freuen uns auf Sie!

Ihr Team von Datenschutz Prinz

Mehr zum Thema Auftragsverarbeitung:

• Zuständigkeiten im Rahmen einer Vereinbarung zuweisen
• Den Betroffenen gerecht werden: Verpflichtungen gemeinsam Verantwortlicher laut Datenschutzgrundverordnung