Bin ich Auftragsverarbeiter oder Verantwortlicher?

Wer den Zweck bestimmt, ist Verantwortlicher

Die Rolle ergibt sich aus der Frage, wer entscheidet, warum und wie Daten verarbeitet werden, nicht aus der Frage, wer die Daten tatsächlich eingibt oder speichert. Ein Unternehmen, das selbst bestimmt, welche Kundendaten es erfasst, zu welchem Zweck und wie lange es diese speichert, ist Verantwortlicher für diese Daten. Eine Partei, die dieselben Daten ausschließlich im Auftrag verarbeitet – gemäß den Anweisungen eines anderen, ohne selbst einen Zweck hinzuzufügen – ist Auftragsverarbeiter. Ein Buchhaltungspaket, das Rechnungen gemäß den Einstellungen des Benutzers verarbeitet, ist typischerweise Auftragsverarbeiter; das Unternehmen, das das Paket nutzt und bestimmt, welche Kundendaten darin eingehen, ist Verantwortlicher.

In der Praxis ist ein Unternehmen oft gleichzeitig beides, je nachdem, welchen Datenstrom man betrachtet. Ein Lohnbüro ist Auftragsverarbeiter für die Personaldaten, die es im Namen von Kunden verarbeitet, und gleichzeitig Verantwortlicher für die Daten seiner eigenen Mitarbeiter. Die Rolle ist also an die spezifische Verarbeitung gebunden, nicht an den Organisationstyp oder den Sektor, in dem er tätig ist. Diese Unterscheidung bestimmt dann, welche Verpflichtungen gelten: Ein Verantwortlicher trägt die Hauptverantwortung für Rechtmäßigkeit und Rechenschaftspflicht, ein Auftragsverarbeiter arbeitet innerhalb der Grenzen eines Auftragsverarbeitungsvertrags und der darin festgelegten Anweisungen.

Wo das in Artikel 4 und 28 der DSGVO festgehalten ist

Artikel 4 der DSGVO gibt die Definitionen beider Rollen: Der Verantwortliche ist, wer den Zweck und die Mittel der Verarbeitung festlegt, der Auftragsverarbeiter ist, wer im Namen des Verantwortlichen Personendaten verarbeitet. Artikel 28 der DSGVO baut darauf auf und beschreibt, was konkret von einem Auftragsverarbeiter erwartet wird, unter anderem die Arbeit gemäß einem Auftragsverarbeitungsvertrag. Die Leitlinien der EDPB konkretisieren diese Abgrenzung weiter mit praktischen Beispielen, gerade weil die Grenzziehung in der Praxis nicht immer von selbst klar ist.