Kurzdefinition: Der Verantwortliche ist nach Art. 4 Nr. 7 DSGVO die Stelle, die über die Zwecke und Mittel einer Verarbeitung entscheidet. An diese Rolle knüpfen die zentralen Pflichten der DSGVO — er ist der Hauptadressat des Datenschutzrechts. [N-DSGVO-4]
Der Normwortlaut
Art. 4 Nr. 7 DSGVO lautet: „‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.“ [N-DSGVO-4]
Wer ist Verantwortlicher nach der DSGVO?
Wer über das Ob, Wozu und Wie der Verarbeitung entscheidet — über die Zwecke und die Mittel. Das ist in der Regel das Unternehmen als juristische Person, nicht eine einzelne Person oder Abteilung. Wer nur weisungsgebunden für einen anderen verarbeitet, ist nicht Verantwortlicher, sondern Auftragsverarbeiter. Entscheidend ist die Entscheidungsmacht über Zweck und Mittel. [N-DSGVO-4]
Was unterscheidet den Verantwortlichen vom Auftragsverarbeiter?
Die Entscheidungsmacht. Der Verantwortliche legt Zwecke und Mittel fest; der Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO verarbeitet nur im Auftrag und nach Weisung. Ein Cloud-Anbieter, der Daten weisungsgebunden hostet, ist Auftragsverarbeiter; das Unternehmen, das ihn beauftragt und über die Verarbeitung entscheidet, ist Verantwortlicher. Die richtige Einordnung entscheidet über die Pflichtenverteilung. [N-DSGVO-4]
Kann es mehrere Verantwortliche geben?
Ja. Art. 4 Nr. 7 DSGVO nennt ausdrücklich die Entscheidung „allein oder gemeinsam mit anderen“. Legen mehrere Stellen Zwecke und Mittel gemeinsam fest, sind sie gemeinsam Verantwortliche; Art. 26 DSGVO verlangt dafür eine Vereinbarung über ihre jeweiligen Pflichten. Die Verantwortlichkeit ist also nicht auf eine einzelne Stelle beschränkt. [N-DSGVO-4] [N-DSGVO-26]
Woran erkennt man den Verantwortlichen?
An der Entscheidungsmacht. Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet. Nicht die technische Durchführung, sondern die Entscheidung über das Ob und Wie der Verarbeitung ist maßgeblich. [N-DSGVO-4]
Was gilt bei gemeinsamer Verantwortlichkeit?
Eine Vereinbarung. Entscheiden mehrere Stellen gemeinsam über Zwecke und Mittel, sind sie gemeinsam Verantwortliche; sie legen ihre datenschutzrechtlichen Pflichten in einer Vereinbarung fest (Art. 26 DSGVO). Die gemeinsame Verantwortlichkeit ist damit ausdrücklich vorgesehen. [N-DSGVO-4]
Häufige Fehlannahmen
- „Verantwortlicher ist eine bestimmte Person im Unternehmen.“ Nein. Verantwortlicher ist regelmäßig die Stelle — meist das Unternehmen als juristische Person. [N-DSGVO-4]
- „Der Dienstleister ist immer Verantwortlicher für die Daten, die er verarbeitet.“ Nein. Wer weisungsgebunden verarbeitet, ist Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. [N-DSGVO-4]
- „Es kann nur einen Verantwortlichen geben.“ Nein. Art. 4 Nr. 7 DSGVO erfasst auch die gemeinsame Entscheidung. [N-DSGVO-4]
- „Verantwortlicher ist, wer die Daten technisch verarbeitet.“ Nein. Verantwortlicher ist, wer über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). [N-DSGVO-4]
- „Bei gemeinsamer Verantwortlichkeit braucht es keine Regelung.“ Nein. Gemeinsam Verantwortliche legen ihre datenschutzrechtlichen Pflichten in einer Vereinbarung fest (Art. 26 DSGVO). [N-DSGVO-26]
Was die Geschäftsleitung tun sollte
- Rolle bestimmen. Entscheidet das Unternehmen über Zwecke und Mittel — dann ist es Verantwortlicher.
- Dienstleister einordnen. Weisungsgebundene Verarbeiter sind Auftragsverarbeiter, keine Verantwortlichen.
- Gemeinsame Verantwortlichkeit erkennen. Bei geteilter Entscheidung greift Art. 26 DSGVO.
- Pflichten zuordnen. Die zentralen DSGVO-Pflichten treffen den Verantwortlichen.
Für die Geschäftsleitung
Der Verantwortliche ist ein zentraler Adressat der DSGVO — und in Unternehmenskonstellationen häufig das Unternehmen selbst, nicht ein Dienstleister und nicht eine einzelne Abteilung. Wer über Zwecke und Mittel entscheidet, trägt die entsprechenden Pflichten. Die saubere Abgrenzung zum Auftragsverarbeiter und zur gemeinsamen Verantwortlichkeit ist die Grundlage jeder Pflichtenverteilung im Datenschutz.
Quellen
- [N-DSGVO-4] Art. 4 DSGVO (Begriffsbestimmungen), Nr. 7 (Verantwortlicher) und Nr. 8 (Auftragsverarbeiter). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-26] Art. 26 DSGVO (Gemeinsam Verantwortliche), Abs. 1. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
