Datenschutzaufsicht: Rollen, Entscheidungen und Verantwortung
Der Beitrag erklärt, wer bei einer datenschutzrechtlichen Anfrage welche Aufgabe hat. Er trennt Verantwortliche, Auftragsverarbeiter, Datenschutzbeauftragte und Aufsichtsbehörden klar voneinander.
Eine Anfrage der Datenschutzaufsicht ist keine Aufgabe, die sich mit dem Hinweis auf den externen Datenschutzbeauftragten oder einen IT Dienstleister erledigt. Maßgeblich ist, wer die jeweilige Verarbeitung veranlasst, wer sie tatsächlich ausführt und wer gegenüber der Behörde rechtlich auskunfts- und rechenschaftspflichtig ist. Diese Rollen müssen sich aus Verträgen, dem Verzeichnis von Verarbeitungstätigkeiten und den gelebten Abläufen nachvollziehbar ergeben.
Gerade bei kleinen Praxen, Kanzleien und Handwerksbetrieben liegen Verzeichnis, Auftragsverarbeitungsverträge, eingesetzte Software und Löschfristen oft in getrennten Word Dateien oder Ablagen. Eine belastbare Antwort auf eine Behördenanfrage entsteht erst, wenn Zuständigkeit, Unterlagen und Freigabeweg vorab festgelegt sind. Der Autor dieses Beitrags erläutert die Rollen anhand der Datenschutz Grundverordnung.
Der Verantwortliche entscheidet über Zwecke und Mittel
Verantwortlicher ist nach Artikel 4 Nummer 7 Datenschutz Grundverordnung, DSGVO, die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Zweck beantwortet die Frage, warum Daten verarbeitet werden. Mittel betreffen die wesentlichen Rahmenbedingungen, mit denen dieser Zweck umgesetzt wird.
In einer Arztpraxis ist regelmäßig die Praxis als Unternehmen Verantwortliche für die Patientenverwaltung. In einer Steuerkanzlei ist es regelmäßig die Kanzlei für die Datenverarbeitung im eigenen Mandatsverhältnis. Wer die Software bereitstellt oder wartet, wird dadurch nicht automatisch Verantwortlicher.
Entscheiden und nachweisen
Der Verantwortliche legt die Rechtsgrundlage, die Kategorien betroffener Personen und Daten, Empfänger, Speicherdauer sowie die Schutzmaßnahmen nicht stets allein fachlich fest. Er kann IT Dienstleister, Rechtsberatung und Datenschutzbeauftragte einbeziehen. Die rechtliche und organisatorische Entscheidung sowie die Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO verbleiben jedoch bei ihm.
Bei einer Anfrage der Aufsicht sollte daher eine vom Verantwortlichen benannte Stelle die Antwort verbindlich freigeben. Praktisch kann der Datenschutzbeauftragte Unterlagen zusammentragen und einen Antwortentwurf prüfen. Die Unternehmensleitung, Praxisinhaberin oder sonst vertretungsberechtigte Person muss sicherstellen, dass die Angaben vollständig, richtig und fristgerecht abgegeben werden.
Der Auftragsverarbeiter verarbeitet Daten auf dokumentierte Weisung
Auftragsverarbeiter ist nach Artikel 4 Nummer 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Kennzeichnend ist, dass der Dienstleister nicht eigene Zwecke der Verarbeitung verfolgt, sondern Daten für den Verantwortlichen verarbeitet.
Artikel 28 Absatz 3 DSGVO verlangt einen Vertrag oder ein anderes Rechtsinstrument, das den Auftragsverarbeiter bindet. Darin müssen insbesondere Gegenstand und Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festgelegt werden. Weisungen des Verantwortlichen müssen dokumentiert sein, auch wenn das Gesetz keine bestimmte technische Form vorschreibt.
Unterstützung ist keine Verlagerung der Verantwortung
Der Auftragsverarbeiter darf Daten grundsätzlich nur auf dokumentierte Weisung verarbeiten, Artikel 28 Absatz 3 Buchstabe a DSGVO. Er muss den Verantwortlichen bei dessen Pflichten unterstützen, geeignete technische und organisatorische Maßnahmen umsetzen, Informationen zur Verfügung stellen und Prüfungen ermöglichen, soweit Artikel 28 Absatz 3 DSGVO dies verlangt.
Erhält ein Auftragsverarbeiter unmittelbar eine Anfrage der Aufsichtsbehörde, darf er sie nicht ignorieren. Welche Angaben er unmittelbar machen muss und welche Abstimmung möglich ist, hängt von der konkreten Anordnung und den Umständen ab. Der Verantwortliche sollte unverzüglich eingebunden werden, damit die Antwort konsistent bleibt und keine Frist versäumt wird.
Im Verzeichnis sollte zu jeder Verarbeitung erkennbar sein, welche Dienstleister beteiligt sind, welche Aufgabe sie erfüllen und welcher Vertrag die Auftragsverarbeitung regelt. Der Beitrag Neuen Auftragsverarbeiter im Verzeichnis richtig nachziehen zeigt, welche Angaben bei einem neuen Dienstleister überprüft werden sollten.
Der Datenschutzbeauftragte berät und überwacht, entscheidet aber nicht anstelle des Verantwortlichen
Die Aufgaben des Datenschutzbeauftragten ergeben sich aus Artikel 39 DSGVO. Dazu gehören die Unterrichtung und Beratung des Verantwortlichen oder Auftragsverarbeiters sowie der Beschäftigten, die Überwachung der Einhaltung der DSGVO und anderer Datenschutzvorschriften, die Beratung bei Datenschutz Folgenabschätzungen und die Zusammenarbeit mit der Aufsichtsbehörde.
Der Datenschutzbeauftragte ist außerdem Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, Artikel 39 Absatz 1 Buchstabe e DSGVO. Das macht ihn zu einer wichtigen fachlichen Kontaktperson. Es macht ihn jedoch nicht zum Organ des Unternehmens und verlagert Entscheidungen des Verantwortlichen nicht auf ihn.
Klare Rollen im Mandat festhalten
Ein externer Datenschutzbeauftragter sollte vorab festlegen, ob er eingehende Schreiben entgegennimmt, Fristen dokumentiert, Unterlagen anfordert, Antworten entwirft und wer die finale Freigabe erteilt. Diese Aufgabenverteilung kann in einer Mandatsvereinbarung, einer internen Arbeitsanweisung oder einem Anfrageprotokoll dokumentiert werden. Entscheidend ist, dass die Leitung die Verantwortung nicht nur formal, sondern im Ablauf wahrnimmt.
Der Datenschutzbeauftragte sollte auch nicht als Absender Tatsachen bestätigen, die nur der Verantwortliche oder dessen Fachabteilungen prüfen können. Bei Angaben über eingesetzte Systeme, tatsächliche Zugriffsrechte, Löschläufe oder Empfänger braucht er belastbare Informationen. Seine Überwachungsaufgabe umfasst gerade, auf Lücken und Widersprüche hinzuweisen.
Die Datenschutzaufsicht kann Informationen und Unterlagen verlangen
Nach Artikel 58 Absatz 1 DSGVO verfügt die Aufsichtsbehörde über Untersuchungsbefugnisse. Sie kann den Verantwortlichen und den Auftragsverarbeiter anweisen, alle Informationen bereitzustellen, die sie zur Erfüllung ihrer Aufgaben benötigt. Sie kann außerdem Zugang zu personenbezogenen Daten und zu den Räumlichkeiten einschließlich Datenverarbeitungsanlagen erhalten, soweit dies im gesetzlichen Rahmen erforderlich ist.
Das Verzeichnis muss vorgelegt werden können
Artikel 30 Absatz 4 DSGVO verpflichtet den Verantwortlichen oder Auftragsverarbeiter sowie gegebenenfalls deren Vertreter, das Verzeichnis der Verarbeitungstätigkeiten der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Die Pflicht betrifft nicht nur eine Datei mit Überschriften. Das Verzeichnis muss die Angaben nach Artikel 30 Absatz 1 oder Absatz 2 DSGVO enthalten und zum tatsächlichen Stand der Verarbeitung passen.
Eine Anfrage kann deshalb mittelbar weitere Nachweise auslösen: Auftragsverarbeitungsverträge, Dokumentation technischer und organisatorischer Maßnahmen, Löschregeln, Berechtigungskonzepte oder Nachweise über die Behandlung einer Datenschutzverletzung. Welche Unterlagen verlangt werden, bestimmt die Behörde im Einzelfall. Der Beitrag Artikel 30 DSGVO: Wann kleine Betriebe ein Verzeichnis führen ordnet die Verzeichnispflicht für kleinere Betriebe ein.
- Eingang der Anfrage mit Datum, Aktenzeichen und gesetzter Frist dokumentieren.
- Zuständige Leitung, Datenschutzbeauftragten und gegebenenfalls Auftragsverarbeiter informieren.
- Angeforderte Unterlagen mit dem tatsächlichen Betrieb abgleichen, statt alte Vorlagen ungeprüft zu versenden.
- Antwort, Anlagen und Freigabe nachvollziehbar ablegen.
Für private Betriebe ist regelmäßig die Datenschutzaufsicht des Bundeslandes zuständig
Für nichtöffentliche Stellen sind in Deutschland regelmäßig die unabhängigen Datenschutzaufsichtsbehörden der Länder zuständig. Dazu zählen typischerweise privatwirtschaftliche Unternehmen, Arztpraxen, Zahnarztpraxen, Steuerkanzleien und Handwerksbetriebe. Welches Land zuständig ist, richtet sich grundsätzlich nach der einschlägigen Zuständigkeitsordnung und den Umständen des Falls.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, BfDI, nimmt vor allem Aufgaben der Datenschutzaufsicht im Bereich öffentlicher Stellen des Bundes wahr. Daneben bestehen gesetzlich geregelte besondere Zuständigkeiten. Deshalb sollte bei einer Anfrage nicht allein nach dem Sitz eines Dienstleisters entschieden werden, sondern anhand des Absenders, der betroffenen Stelle und der konkreten Rechtsgrundlage geprüft werden.
Absender und Frist sorgfältig prüfen
Ein Schreiben einer Landesdatenschutzbehörde kann eine Beschwerde, eine Prüfung oder eine Bitte um Stellungnahme betreffen. Daraus folgen nicht stets identische Anforderungen. Der Verantwortliche sollte den Wortlaut der Anfrage, die verlangten Informationen, die Frist und den Übermittlungsweg dokumentieren. Bei Unklarheiten ist eine rechtzeitige, sachliche Rückfrage sinnvoller als eine unvollständige oder verspätete Reaktion.
Bei einer Datenschutzverletzung gelten feste Meldewege und Fristen
Eine Verletzung des Schutzes personenbezogener Daten liegt nach Artikel 4 Nummer 12 DSGVO vor, wenn es zu einer Verletzung der Sicherheit kommt, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Nicht jeder Vorfall ist automatisch an die Aufsicht zu melden. Der Verantwortliche muss das Risiko für die Rechte und Freiheiten natürlicher Personen bewerten.
Nach Artikel 33 Absatz 1 DSGVO meldet der Verantwortliche eine Verletzung möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, sofern die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung später, müssen die Gründe für die Verzögerung beigefügt werden.
Der Auftragsverarbeiter meldet an den Verantwortlichen
Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten dem Verantwortlichen nach Artikel 33 Absatz 2 DSGVO unverzüglich, nachdem sie ihm bekannt wurde. Er entscheidet nicht anstelle des Verantwortlichen über die Meldung an die Behörde. Vertragliche Meldewege sollten daher Ansprechpartner, Erreichbarkeit, Mindestinformationen und Eskalation festlegen.
Die Vorfalldokumentation nach Artikel 33 Absatz 5 DSGVO muss es der Aufsichtsbehörde ermöglichen, die Einhaltung der Meldepflicht nachzuvollziehen. Dazu gehören Tatsachen zum Vorfall, zu seinen Auswirkungen und zu den ergriffenen Abhilfemaßnahmen. Löschfristen und tatsächlich ausgeführte Löschungen können bei der Risikobewertung relevant sein, weshalb ein Löschkonzept mit Fristen, Auslösern und Nachweisen nicht losgelöst vom Verzeichnis geführt werden sollte.
Haftung und Bußgeld knüpfen an Pflichten und Umstände des Einzelfalls an
Artikel 82 DSGVO regelt den Anspruch auf Ersatz materieller und immaterieller Schäden, die wegen eines Verstoßes gegen die DSGVO entstanden sind. Verantwortliche und Auftragsverarbeiter haften dabei nach den Voraussetzungen dieser Vorschrift. Für Auftragsverarbeiter ist insbesondere relevant, dass Artikel 82 Absatz 2 DSGVO ihre Haftung an eigene DSGVO Pflichten oder an ein Handeln außerhalb rechtmäßiger Weisungen beziehungsweise entgegen solchen Weisungen knüpft.
Artikel 83 DSGVO enthält allgemeine Bedingungen für die Verhängung von Geldbußen. Die Aufsichtsbehörde berücksichtigt unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, getroffene Minderungsmaßnahmen, frühere Verstöße und die Zusammenarbeit mit der Behörde. Eine pauschale Aussage, ein Datenschutzbeauftragter hafte stets oder nie, wäre nicht tragfähig. Seine Rolle, sein Handeln, Vertragsverhältnisse und weitere rechtliche Grundlagen sind jeweils gesondert zu prüfen.
Rollen festlegen, Nachweise pflegen, Anfragen beherrschbar beantworten
Die Kernverteilung ist eindeutig: Der Verantwortliche entscheidet und trägt die Rechenschaftspflicht, der Auftragsverarbeiter verarbeitet auf dokumentierte Weisung und unterstützt, der Datenschutzbeauftragte berät und überwacht, die Aufsicht untersucht und kann Unterlagen verlangen. Für die Praxis genügt diese Zuordnung aber nur, wenn sie in einem festen Ablauf für Behördenanfragen, Datenschutzverletzungen und Freigaben umgesetzt wird.
Prüfen Sie deshalb regelmäßig, ob Verzeichnis, Dienstleisterliste, technische und organisatorische Maßnahmen sowie Löschfristen dieselben tatsächlichen Abläufe beschreiben. Verarbeitungsbuch verbindet Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen und Löschfristen in einem gepflegten Dokument, das bei einer Anfrage der Aufsichtsbehörde vorgelegt werden kann. Wenn Sie eine Vorführung oder frühen Zugang wünschen, wenden Sie sich über das Kontaktformular an das Team.
