VII - Verantwortlichkeit & Auftragsverarbeitung

bei mehreren Verantwortlichen kann die Verantwortlichkeit getrennt oder gemeinsam sein

• wenn zusammen Zwecke und Mittel zur Verarbeitung festgelegt werden

  -> jeder muss einen bestimmten Einfluss auf die Datenverarbeitung haben

• Datenverarbeitung zu unterschiedlichen ZWecken kann gemeinsamen Verantwortlichen haben, wenn innerhalb der gleichen Datenverarbeitung eine Zweckverfolgung nicht ohne die andere möglich ist

• gemeinsame Verantwortliche != gleichrangige Verantwortliche

• Vertrag notwendig

• Wesentliches muss betroffener prson gesendet werden

  • nachvollziehbare Beschreibung des Zusammenwirkens und der Rollen der Beteiligten

  • Wer erfüllt welche Betroffenenrechte und Infotmationspflichten

• Rechtsgrundlage für Verarbeitung pbD erforderlich

• Rechtfertigung bei besonderer Kategorien pbD

• Zweckfestlegung

• Aufnahem in Verarbeitungsverzeichnis

• gemeinsamer Verantwortlicher gilt bei Datenaustausch untereinander als Empfänger im Sinne der Datenschutzinformation

• Auftragsverarbeiter verarbeitet pbD ausschließlich auf Wiesung des Verantwortlichen

• haben keine eigene Zwecksetzung der Datenverarbeitung

• Verantwortliche haben Pflicht zur sorgfältigen Auswahl von Auftragsverarbeitern

• Auswahl je nach Risiko der Daten

• Fachwissen und Zuverlässigkeit des Auftragsverarbeiters

• technisch-organisatorische Maßnahmen zum Datenschutz

• Verstöße gegen Prüfpflicht kann zu Schadensersatzansprüchen der betroffenen Person führen

• Verantwortliche und Auftragsverarbeiter können haften

  • Beide haften im Außenverhältnis (also zur betroffenen Person)

  • im Innenverhältnis (zwischen Verantwortlichen und Auftragsverarbeiter) haften beide je nach Verschuldensbeitrag

• Verantwortliche kann bewiesen, dass er nicht für den Schaden verantwortlich ist

• Auftragsverarbeiter bestimmt Zweck und Mittel der Verarbeitung und wird damit zum eigenen Verantwortlichen (=Funktionsexzess)

• Rechte und Pflichten in Auftragsverarbeitungsvertrag (AVV) vereinbaren

• Vertrag muss schriftlich sein

• AVV besteht aus Hauptvertrag, Subunternehmer/Unterauftragnehmer, Technisch-organisatorische Maßnahmen

• Beschreibung Gegenstad der Verarbeitung

• Dauer der Verarbeitung

• Art und Zweck der Verarbeitung, der pbD & Kategorien betroffener Personen

• Erläuterung der Pflichten und Rechte des Verantwortlichen

• Erläuterung Weisungsrecht

• Pflicht Auftragnehmer alle technisch-organisatorischen Maßnahmen zu ergreifen

• Bedingungen für Inanspruchnahme weitere Auftragsverarbeiter

• Pflicht Auftragsverarbeiter zur Unterstützung des Verantwortlichen bei EInhaltung der Betroffenenrechte

• Pflicht Auftragsverarbeiter zur Unterstützung des Verantwortlichen bei EInhaltung versch. Pflichten

• Regelung zur Datenvernichtung oder Rückgabe

• Regelung zur Überprüfung der Pflichten des AVV

• AVV zwischen Verantowrtlichen und Auftragsverarbeiter und AVV zwischen Auftragsverarbeiter und Unterauftragsverarbeiter

• Genehmigung des Verantwortlichen erforderlich für Änderung oder hinzufügen von Unterauftragsverarbeitern

• Unterauftragsverarbeiter müssen mind. identisches Datenschutzniveau haben

• Auftragsverarbeiter haftet gegenüber Verantwortlichen für alle Unterauftragsverarbeiter in der Kette