Zusammen stärker? - Die gemeinsame Verantwortung

In Episode 117 dreht sich fast alles um das große Wort
"Verantwortung". Diese ist ein Grundpfeiler des Datenschutzrechts:
Wo personenbezogene Daten verarbeitet werden, muss jemand
existieren, der für die Mittel und die Zwecke verantwortlich
zeichnet. Diese reale oder juristische Person muss die Rechte von
Betroffenen berücksichtigen, sorgt für rechtmäßige technische
Maßnahmen und erfüllt die Compliance-Anforderungen. Nur ist es in
der komplexen technischen Welt so, dass eher selten ein
Verantwortlicher alles in der eigenen Hand hat. In der Regel werden
Datenverarbeitungen ausgelagert, sei es zu einem Cloud-Anbieter
oder eine Marketingagentur. Meist vereinbaren die Partner eine
Auftragsverarbeitung, bei der der Verarbeiter nur Deligierter, aber
kein Verantwortlicher ist. Mitunter kommt es aber auch vor, dass
sich mehrere Parteien die Verantwortung zur Verarbeitung teilen.
das sogenannte "Joint Controlling" nach Art. 26 DSGVO. Und hier
wird es kompliziert. c't-Redakteur Holger und
heise-Verlagsjustiziar Joerg besprechen dieses komplexe Feld mit
Dr. Johannes Marosi. Johannes arbeitet als Rechtsanwalt für IT- und
Datenschutzrecht bei Graf von Westphalen in Frankfurt am Main.
Insbesondere aber hat er seine Dissertation über das Thema der
gemeinsamen Verantwortung im Datenschutzrecht geschrieben. Johannes
bestätigt, dass die alleinige Verantwortung heute selten vorkommt,
da die meisten Unternehmen externe Dienstleister für verschiedene
Aufgaben hinzuziehen. Ein typisches Beispiel für vertraglich
gefestigte Auftragsverarbeitung ist das Webhosting, bei dem ein
Cloud-Anbieter Kundendaten speichert und verarbeitet. Bei der
gemeinsamen Verantwortung müssen die beteiligten Parteien in einem
sogenannten Joint-Controller-Agreement festlegen, wer welche
Aufgaben und Pflichten übernimmt. Johannes betont, dass es wichtig
sei, derlei Vereinbarungen detailliert auszuarbeiten, um spätere
Konflikte zu vermeiden. Im Gespräch wird deutlich, dass die
gemeinsame Verantwortung komplex und oft schwer zu handhaben ist.
Obwohl die DSGVO rechtliche Rahmenbedingungen vorgibt, bleibt
vieles in der Praxis unklar. Unternehmen müssten daher sorgfältig
prüfen, wie sie ihre Datenschutzverantwortung organisieren und
dokumentieren, resümiert Johannes.