Der Verantwortliche ist die natürliche oder juristische Person, die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt und für Aufbau und Verwaltung des Datenverzeichnissystems zuständig ist, wie in Artikel 3 des KVKK definiert. Der Begriff entspricht dem Controller aus Artikel 4 der DSGVO. Ein Unternehmen, das eine Website betreibt und Besucherdaten erhebt, ist Verantwortlicher dieser Daten.
Artikel 3 des KVKK definiert den Verantwortlichen als die natürliche oder juristische Person, die Zwecke und Mittel der Verarbeitung festlegt und für Aufbau und Verwaltung des Datenverzeichnissystems zuständig ist. Die entscheidende Frage lautet: Wer bestimmt, warum und wie diese Daten verarbeitet werden? Wer das entscheidet, ist Verantwortlicher. Bei Unternehmen liegt die Verantwortung bei der juristischen Person selbst, nicht bei Mitarbeitenden oder Abteilungen. Wer Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet, etwa ein Hosting- oder E-Mail-Anbieter, trägt die gesonderte Rolle des Auftragsverarbeiters. Die DSGVO trifft in Artikel 4 dieselbe Unterscheidung.
Die Rolle bringt konkrete Pflichten mit sich: eine der Verarbeitungsbedingungen aus Artikel 5 des KVKK als Grundlage, Information nach Artikel 10, gegebenenfalls das Einholen einer ausdrücklichen Einwilligung, Sicherheitsmaßnahmen, die Beantwortung von Betroffenenanfragen und bei bestehender Pflicht die VERBIS-Registrierung. Im Website-Kontext ist der Verantwortliche in der Regel das Unternehmen, das die Website betreibt: Formulardaten, Kontodaten und über Cookies erhobene Kennungen liegen in seiner Verantwortung. Der Einsatz von Tools wie Google Analytics verlagert diese Verantwortung nicht, denn die Entscheidung über Tool und Zweck trifft der Betreiber.
Häufig gestellte Fragen
Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter?
Der Verantwortliche entscheidet, warum und wie Daten verarbeitet werden; der Auftragsverarbeiter ist eine eigene natürliche oder juristische Person, die auf Grundlage der erteilten Befugnis und im Rahmen dieser Entscheidungen in seinem Auftrag verarbeitet. Ein E-Commerce-Shop ist etwa Verantwortlicher für seine Kundendaten, sein Hosting-Anbieter oder E-Mail-Versanddienst ist Auftragsverarbeiter. Die Hauptpflichten verbleiben beim Verantwortlichen.
Ist der Betreiber einer Website immer der Verantwortliche?
Werden über die Website personenbezogene Daten erhoben und legt der Betreiber deren Zweck fest, dann ja: Für Formulardaten, Konten und Cookie-Kennungen ist er der Verantwortliche. Der Einsatz von Drittanbieter-Tools ändert daran nichts, denn die Entscheidung über Tool und Zweck liegt beim Betreiber. Wer welche Rolle trägt, sollte anhand der konkreten Verarbeitungskonstellation jedes Tools geklärt werden.
Dieser Inhalt dient nur zur Information und stellt keine Rechtsberatung dar.