Verantwortlicher und Dateninhaber im GDPR: Rollen, Unterschiede und häufige Fehler

Unterscheidung zwischen Verantwortlichem und Dateninhaber nach GDPR

Die Datenschutz-Grundverordnung (GDPR) definiert klar zwei Schlüsselrollen bei der Verwaltung personenbezogener Daten: den Dateninhaber und den Verantwortlichen. Das Verständnis der Unterschiede ist für Organisationen, die persönliche Informationen verwalten, insbesondere im B2B-Bereich und bei Cloud-Diensten wie MailProfessionale.com, unerlässlich.

Wer ist der Dateninhaber?

Der Dateninhaber ist die Organisation oder Einzelperson, die die Zwecke und Mittel der Datenverarbeitung bestimmt. Praktisch entscheidet er, was mit den Daten gemacht wird, zu welchem Zweck und wie diese verwaltet werden. Er trägt die Hauptverantwortung dafür, die Rechte der Betroffenen zu schützen und die GDPR-Vorschriften einzuhalten.

Wer ist der Verantwortliche?

Der Verantwortliche handelt im Auftrag des Dateninhabers und ist für die Durchführung der Datenverarbeitung entsprechend den Anweisungen verantwortlich. Er trifft keine autonomen Entscheidungen bezüglich der Verarbeitungszwecke, sondern verarbeitet die Daten gemäß den Vorgaben und Richtlinien des Dateninhabers und sorgt gleichzeitig für die erforderlichen Sicherheitsmaßnahmen.

Verantwortlichkeiten und Pflichten: Wesentliche Unterschiede

Die Verantwortlichkeiten von Dateninhaber und Verantwortlichem unterscheiden sich sowohl in Bezug auf die Einhaltung der Vorschriften als auch bei rechtlichen Konsequenzen im Falle von Verstößen.

Pflichten des Dateninhabers

• Bewertung und Festlegung der Zwecke jeder Verarbeitung
• Sicherung der Richtigkeit und Rechtmäßigkeit der Verarbeitung
• Gewährleistung der Rechte der Betroffenen (Zugriff, Berichtigung, Löschung, Datenübertragbarkeit)
• Einholung klarer Einwilligungen, sofern erforderlich
• Verwaltung von Meldungen bei Datenschutzverletzungen an die zuständigen Behörden
• Abschluss schriftlicher Verträge mit Verantwortlichen
• Implementierung von Verantwortlichkeit und Daten-Governance-Prinzipien

Pflichten des Verantwortlichen

• Ausführung der Verarbeitung gemäß den Anweisungen des Dateninhabers
• Ergreifung geeigneter technischer und organisatorischer Maßnahmen für die Datensicherheit
• Keine Nutzung der Daten für andere Zwecke, als vom Dateninhaber vorgegeben
• Unterstützung des Dateninhabers bei Compliance-Aktivitäten (Audits, Betroffenenanfragen)
• Schnelle Mitteilung an den Dateninhaber bei Verletzungen oder Risiken
• Unterzeichnung eines Auftragsvertrags, der Rollen und Verantwortlichkeiten klar regelt

Richtige Rollenbestimmung: Kriterien und praktische Fälle

In der Unternehmenspraxis, besonders bei Partnerschaften mit Drittanbietern wie E-Mail-, Cloud- oder IT-Infrastrukturdiensten, ist es oft schwierig, die Rolle eindeutig zu bestimmen. Eine falsche Klassifizierung kann zu hohen Strafen und betrieblichen Problemen führen.

Wie erkennt man, ob man Dateninhaber ist?

• Man entscheidet, was mit den Daten gemacht wird, zu welchen Zwecken
• Man legt die Inhalte und Modalitäten der Verarbeitung fest
• Man pflegt direkte Kontakte mit den Betroffenen
• Man bestimmt die Authentifizierung und Aufbewahrungsregeln der Daten

Wie erkennt man, ob man Verantwortlicher ist?

• Man erhält eine spezielle Beauftragung vom Dateninhaber
• Man führt autorisierte und instructierte Aufgaben im Auftrag aus
• Man entscheidet nicht eigenständig über Zwecke oder Verarbeitungsmodalitäten
• Man wendet Schutzmaßnahmen gemäß den Vorgaben des Auftraggebers an

Häufige Beispiele

• Ein Unternehmen, das MailProfessionale.com für die Verwaltung seiner geschäftlichen E-Mails nutzt, ist Dateninhaber, weil es die Zwecke und die Daten für die Unternehmenskommunikation bestimmt.
• MailProfessionale.com, das die Plattform bereitstellt und die Daten gemäß den erhaltenen Vorgaben verwaltet, ist Verantwortlicher.
• In hybriden Fällen, wie bei Datenanalyse-Diensten, ist eine sorgfältige Bewertung der Verträge und Praktiken notwendig, um Unklarheiten zu vermeiden.

Häufige Fehler bei vertraglicher Verwaltung

Organisationen machen häufig Fehler bei der Qualifikation und Formalisierung der Rollen zwischen Dateninhaber und Verantwortlichem.

1. Fehlende schriftliche Beauftragung

Das Fehlen eines schriftlichen Vertrags, der Rollen, Verantwortlichkeiten und Verarbeitungsmodalitäten definiert, birgt hohe rechtliche Risiken und erschwert Audits sowie Kontrollen.

2. Verwechslung der Verarbeitungszwecke

Die Zuweisung einer Entscheidungsfunktion bezüglich der Verarbeitungszwecke an einen Anbieter bedeutet, unrechtmäßig den Status des Dateninhabers zu übernehmen, was Compliance-Probleme verursacht.

3. Fehlende dokumentierte Anweisungen

Der Dateninhaber muss klare und präzise Anweisungen geben; ihre Abwesenheit erschwert die Überwachung und Sicherstellung einer korrekten Datenverarbeitung.

4. Unzureichende Sicherheitsüberprüfung

Die vom Verantwortlichen ergriffenen Maßnahmen müssen angemessen und dokumentiert sein; regelmäßige Kontrollen sind essenziell, um Datenverluste zu vermeiden.

Folgen falscher Qualifikation

Fehlerhafte Rollenzuweisungen haben konkrete Auswirkungen:

• Verstöße gegen die GDPR-Konformität: Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes bei mangelhafter Verantwortlichkeit.
• Zivil- und strafrechtliche Verantwortlichkeit: Bei Datenpannen ist der Dateninhaber hauptsächlich für Meldepflichten verantwortlich.
• Betriebliche Einschränkungen: Unklare Rollen können zu rechtlichen Streitigkeiten und Datenflussunterbrechungen führen, was die Geschäftskontinuität beeinträchtigt.
• Vertrauensverlust: Besonders in Europa bevorzugen Kunden und Partner Organisationen, die transparente und sichere Datenprozesse demonstrieren.

Wichtigkeit schriftlicher Vereinbarungen und Anweisungen

Ein Beauftragungsvertrag ist essenziell, um die Beziehung zwischen Dateninhaber und Verantwortlichem zu formalisieren. Er sollte mindestens folgende Punkte abdecken:

• Verarbeitungsgegenstand und -dauer
• Art der verarbeiteten Daten
• Technische und organisatorische Maßnahmen
• Vertraulichkeits- und Sicherheitsverpflichtungen
• Verfahren bei Datenschutzverletzungen
• Unterstützung bei Betroffenenrechten
• Regelungen zur Datenrückgabe oder -löschung nach Auftragsende

Operative Anweisungen müssen klar dokumentiert und regelmäßig aktualisiert werden, um die rechtliche und logische Grundlage für die Arbeit des Verantwortlichen zu gewährleisten.

Sicherheitsmaßnahmen und Schutz der Geschäftskommunikation

E-Mail- und Cloud-Dienste, wie sie von MailProfessionale.com angeboten werden, sind sensible Bereiche für Datenschutz und Kommunikation. GDPR fordert:

• End-to-End-Verschlüsselung oder sichere TLS-Übertragung
• Starke Authentifizierung der Nutzer
• Regelmäßige Backups und kontrollierte Datenaufbewahrung
• Überwachung und Prävention unbefugter Zugriffe
• Schulungen und kontinuierliche Aktualisierung des Personals

Der Verantwortliche muss sicherstellen, dass der Verantwortliche diese technischen und organisatorischen Maßnahmen umsetzt, in die Beauftragungsverträge einbindet und deren Umsetzung regelmäßig prüft.

Verantwortlichkeit und Daten-Governance: Bedeutung der europäischen digitalen Souveränität

Der Begriff Verantwortlichkeit, im GDPR eingeführt, bedeutet, dass Verantwortliche und Verantwortliche nicht nur die Vorschriften einhalten, sondern aktiv ihre Konformität nachweisen können. Das ist entscheidend für Vertrauen und Sicherheit, die direkt die Geschäftstätigkeit beeinflussen.

Für europäische Unternehmen ist die Wahl von Cloud- und E-Mail-Dienstleistern, die Datenschutz, GDPR-Konformität und digitale Souveränität betonen, strategisch sehr sinnvoll. Dies bedeutet, die Kontrolle über die Daten im europäischen Raum zu behalten und Risiken durch ausländische Gesetze wie den CLOUD Act zu minimieren.

Operative Schlussfolgerungen für Unternehmen und Cloud-Dienstleister

Um die Beziehung zwischen Dateninhaber und Verantwortlichem korrekt zu verwalten, sollten Unternehmen:

• Den tatsächlichen Rollen sorgfältig bewerten und dokumentieren
• Ausführliche und aktualisierte Beauftragungsverträge schließen
• Klare Anweisungen geben und deren Einhaltung überwachen
• Technische und organisatorische Sicherheitsmaßnahmen umsetzen und prüfen
• Daten-Governance und Datenschutz in die Unternehmensstrategie integrieren

Nur so lassen sich Sanktionen, Reputationsschäden vermeiden und der Schutz personenbezogener Daten wirksam gewährleisten, was in der professionellen Geschäftskommunikation unerlässlich ist.