Verarbeitet Ihre Online-Anwendung personenbezogene Daten für Kunden? Dann sind Sie in der Regel Auftragsverarbeiter für die Tätigkeiten, die Sie ausschließlich in deren Auftrag ausführen. Nutzen Sie Daten auch für eigene Zwecke, müssen Sie diese Verarbeitung gesondert beurteilen. Ein Unternehmen kann unterschiedliche Rollen nach der DSGVO haben.
Wie bestimmen Sie Ihre Rolle?
Die zentrale Frage lautet: Wer entscheidet, warum personenbezogene Daten verarbeitet werden, und trifft die wesentlichen Entscheidungen dazu? Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung. Der Auftragsverarbeiter führt die Verarbeitung in dessen Auftrag aus. Das ergibt sich aus Artikel 4 Nummer 7 und 8 DSGVO.
Zu diesen wesentlichen Entscheidungen gehört insbesondere:
- wessen Daten verarbeitet werden;
- welche Daten erforderlich sind;
- wer Zugriff erhält;
- wie lange die Daten gespeichert werden.
Technische Umsetzungsentscheidungen, etwa die eingesetzte Software oder konkrete Sicherheitsmaßnahmen, können beim Auftragsverarbeiter liegen. Dass Sie die Anwendung entwickelt haben und technisch betreiben, macht Sie daher nicht automatisch zum Verantwortlichen. Auch ein standardisierter Dienst kann eine Auftragsverarbeitung sein, wie der EDSA erläutert.
Wie funktioniert das bei einer Anwendung für Veranstaltungen?
Angenommen, ein Unternehmen nutzt Ihre Anwendung, um Anmeldungen für eine geschäftliche Veranstaltung zu verwalten. Es entscheidet, warum Teilnehmerdaten benötigt werden und wer eingeladen wird. Ihre Anwendung speichert Namen und E-Mail-Adressen und versendet Bestätigungen im Auftrag des Unternehmens.
Verarbeiten Sie diese Daten ausschließlich nach den Vereinbarungen mit dem Veranstalter, sind Sie für diese Teilnehmerverwaltung Auftragsverarbeiter. Der Veranstalter ist in diesem Beispiel Verantwortlicher.
Für Ihre eigene Kundenverwaltung können Sie gleichzeitig eine andere Rolle haben. Nutzen Sie die Kontaktdaten des Veranstalters, um dessen Abonnement zu verwalten und Rechnungen zu erstellen, sind Sie für diese Verwaltung in der Regel selbst Verantwortlicher. Prüfen Sie deshalb jede Tätigkeit gesondert.
Was ändert sich, wenn Sie Teilnehmerdaten selbst nutzen möchten?
Möchten Sie Teilnehmern eigenständig Werbung für Ihre Plattform senden? Oder deren Daten in einer eigenen Datenbank für kommerzielle Profilbildung zusammenführen? Dann legen Sie einen eigenen Zweck fest und sind für diese Nutzung Verantwortlicher.
Das bedeutet nicht, dass die Nutzung dadurch zulässig ist. Daten, die Sie als Auftragsverarbeiter erhalten, dürfen Sie nicht einfach für sich selbst weiterverwenden. Prüfen Sie unter anderem die ursprünglichen Vereinbarungen, die Vereinbarkeit mit dem ursprünglichen Zweck, eine passende Rechtsgrundlage und die Information der betroffenen Personen.
Die französische Aufsichtsbehörde CNIL betont, dass ein Auftragsverarbeiter Daten nicht eigenmächtig für eigene Zwecke weiterverwenden darf. Sie verlangt eine schriftliche Genehmigung des ursprünglichen Verantwortlichen für eine konkret geprüfte Weiterverwendung. Eine allgemeine Klausel, die jede künftige Weiterverwendung erlaubt, genügt nicht.
Auch Begriffe wie “Analyse” oder “Produktverbesserung” beantworten die Frage für sich genommen nicht. Beschreiben Sie konkret, welche personenbezogenen Daten Sie wofür und für wessen Zwecke verwenden.
Wann sind Sie gemeinsam Verantwortlicher?
Das kann der Fall sein, wenn Sie und Ihr Kunde gemeinsam die Zwecke und wesentlichen Mittel bestimmen. Denken Sie an eine gemeinsame Kampagne, bei der Sie zusammen entscheiden, welche Teilnehmerdaten erhoben und wie sie für die Kampagne genutzt werden.
Zusammenarbeit oder ein wirtschaftlicher Vorteil allein genügt nicht. Auch dieselbe Plattform zu nutzen macht Sie nicht automatisch gemeinsam verantwortlich. Aufeinander abgestimmte Entscheidungen, durch die Sie gemeinsam Zwecke und wesentliche Mittel bestimmen, können jedoch auch ohne einen formellen gemeinsamen Beschluss zu gemeinsamer Verantwortlichkeit führen.
Diese Verantwortung kann auf eine bestimmte Verarbeitung beschränkt sein. Sie muss nicht sämtliche Tätigkeiten beider Unternehmen umfassen.
Welche Vereinbarungen benötigen Sie?
Ein Auftragsverarbeitungsvertrag regelt das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter. Beide Parteien müssen dafür sorgen, dass dieser Vertrag vorliegt und der tatsächlichen Verarbeitung entspricht. Er legt fest, was der Auftragsverarbeiter mit den Daten tun darf und welche Garantien er bieten muss.
| Ihre Rolle | Was müssen Sie regeln? |
|---|---|
| Auftragsverarbeiter | Schließen Sie mit Ihrem Auftraggeber einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Regeln Sie insbesondere Weisungen, Sicherheit, Unterstützung sowie Löschung oder Rückgabe der Daten. Für Unterauftragsverarbeiter gelten zusätzliche Voraussetzungen und vertragliche Pflichten. |
| Eigenständiger Verantwortlicher | Sorgen Sie für eine passende Rechtsgrundlage, klare Informationen für Betroffene, Speicherfristen und die Ausübung ihrer Rechte. Setzen Sie Auftragsverarbeiter ein? Prüfen Sie deren Garantien und schließen Sie mit ihnen einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. |
| Gemeinsam Verantwortlicher | Legen Sie nach Artikel 26 DSGVO fest, wie Sie die Verantwortlichkeiten aufteilen, und machen Sie das Wesentliche der Vereinbarung für Betroffene zugänglich. Setzen Sie für diese Verarbeitung einen Auftragsverarbeiter ein, muss auch dessen Einbindung nach Artikel 28 DSGVO geregelt werden. |
Eine Vereinbarung zwischen gemeinsam Verantwortlichen und ein Auftragsverarbeitungsvertrag regeln somit unterschiedliche Beziehungen. Innerhalb derselben Dienstleistung können beide erforderlich sein. Die Regeln stehen in Artikel 26 und 28 DSGVO.
Ist Ihr Kunde selbst Auftragsverarbeiter für eine andere Organisation? Dann können Sie Unterauftragsverarbeiter sein. Dafür ist die vorherige gesonderte oder allgemeine schriftliche Genehmigung des ursprünglichen Verantwortlichen erforderlich. Die geltenden Pflichten müssen vertraglich weitergegeben werden. Bei einer allgemeinen Genehmigung muss dieser Verantwortliche vorab über Änderungen informiert werden und Einspruch erheben können.
Lesen Sie auch unseren Artikel über den Auftragsverarbeitungsvertrag.
Wie gehen Sie praktisch vor?
- Erstellen Sie eine Übersicht Ihrer Tätigkeiten. Trennen Sie beispielsweise Teilnehmerverwaltung, Kundenverwaltung, eigenes Marketing und Analysen.
- Beschreiben Sie die Entscheidungen je Tätigkeit. Halten Sie fest, wer den Zweck bestimmt und wer über Daten, Zugriff und Speicherfristen entscheidet.
- Prüfen Sie den tatsächlichen Ablauf. Berücksichtigen Sie auch automatische E-Mails, Standardeinstellungen, Exporte und Daten, die nach Ende eines Abonnements verbleiben.
- Dokumentieren Sie die richtige Rolle. Geben Sie je Tätigkeit an, ob Sie Auftragsverarbeiter, eigenständiger oder gemeinsam Verantwortlicher sind.
- Stimmen Sie Ihre Dokumentation darauf ab. Prüfen Sie Ihr Verzeichnis, Ihre Verträge und Ihre Datenschutzerklärung. Bewerten Sie die Rollen neu, wenn Sie neue Funktionen oder Zwecke hinzufügen.
Eine brauchbare interne Beschreibung wäre beispielsweise: “Wir verarbeiten Teilnehmerdaten im Auftrag des Veranstalters für Anmeldungen und Veranstaltungskommunikation. Für unsere eigene Kundenverwaltung bestimmen wir selbst die Zwecke und Mittel.”
Verwenden Sie eine solche Beschreibung nur, wenn sie Ihrer Dienstleistung entspricht.
Erfassen Sie Ihre Verarbeitungen und die beteiligten Parteien. Nutzen Sie GDPRWise, um Ihre Prozesse zu dokumentieren und Ihre Datenschutzerklärung und Verträge darauf abzustimmen.