Immer wenn Sie Daten durch andere verarbeiten lassen, stellt sich die Frage, ob eine Auftragsverarbeitung oder eine gemeinsame Verantwortung vorliegt.
Auftragsverarbeitung
Der Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. In anderen Worten, wenn Sie jemanden damit beauftragen Ihre Daten zu verarbeiten, ist derjenige Ihr Auftragsverarbeiter, er verarbeitet Ihre Daten in Ihrem Auftrag. Mit der Auftragsverarbeitung und den weiteren Details haben wir uns schon in einem anderen Beitrag beschäftigt.
Gemeinsame Verantwortung
Legen zwei oder mehr gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Oft wird eine Verarbeitung nicht nur durch ein Unternehmen durchgeführt, sondern das Unternehmen nutzt weitere Dienstleister, um seine Dienstleistungen zu erbringen. Sofern derjenige an der Verarbeitung ebenfalls ein Interesse hat und die Unternehmen die Zwecke gemeinsam bestimmen, liegt eine gemeinsame Verantwortung vor. Auch hier ist, wie bei der Auftragsverarbeitung, eine Vereinbarung erforderlich. In der Vereinbarung wird geregelt, welche Daten durch wen verarbeitet werden und wer für die Betroffenenrechte zuständig ist.
Abgrenzungstheorien
Ob eine Auftragsverarbeitung vorliegt oder nicht, wurde früher anhand der Funktionsübertragungslehre oder Vertragstheorie beurteilt. Bei der Funktionsübertragungslehre wurde überprüft, ob es der Wille war eine Funktion oder Aufgabe an einen anderen zu übertragen. War das der Fall, lag eine Auftragsverarbeitung vor. Diese Theorie trägt der wirtschaftlichen Praxis, in der oft wechselseitige Interessen verfolgt werden, kaum Rechnung. Die Vertragstheorie hingegen fragt, ob die Parteien sich einig sind, dass die Daten im Auftrag verarbeitet werden sollen und darüber einen Vertrag schließen. Beide Theorien gelten mittlerweile als veraltet. Es setzt sich die Schwerpunkttheorie immer mehr durch. Diese prüft anhand nachfolgender Kriterien, worin der Schwerpunkt der Verarbeitung liegt und nimmt somit durch diese Wertung eine Abgrenzung vor.
Kriterien für die Abgrenzung
- Werden von allen Beteiligten übereinstimmende Mittel genutzt?
- Stimmen die bezweckten Ergebnisse der Verarbeitung weitestgehend überein?
- Werden die Mittel und Zwecke der Verarbeitung gemeinsam festgelegt?
- Keiner der Parteien gibt der anderen Partei Weisungen, handeln die Parteien möglichst gleichberechtigt?
Beurteilung
Umso eher Sie die Kriterien mit JA beantwortet haben, umso mehr spricht für die gemeinsame Verantwortung. Sprechen viele Punkte eher für NEIN, überwiegt wahrscheinlich die Auftragsverarbeitung.
Rechtsgrundlagen: Art. 4, 26, 28 DSGVO
Erwägungsgründe: 79, 81