Verantwortlicher für die Verarbeitung nach DSGVO

How is the role of the controller defined in the General Data Protection Regulation?

The regulations of the General Data Protection Regulation (GDPR) richten sich in vielfacher Hinsicht an den „Verantwortlichen“. Article 4 Nr. 7 DSGVO definiert ihn als diejenige natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Verantwortlicher für die Verarbeitung nach DSGVO muss gewährleisten, dass die Vorschriften der DSGVO eingehalten werden und die Verarbeitung personenbezogener Daten in seinem Verantwortungsbereich rechtmäßig erfolgt. Dies muss der Verantwortliche nachweisen können.

Gibt es für die Verarbeitung mehrere Verantwortliche, so gelten die Bestimmungen des Article 26 GDPR. Die gemeinsam Verantwortlichen müssen in einer Vereinbarung transparent festlegen, wer von ihnen welche Pflichten nach der DSGVO erfüllt. Das gilt besonders für die Betroffenenrechte und die Informationspflichten.

What are the responsibilities of the person in charge?

Die DSGVO weist dem Verantwortlichen eine ganze Reihe von Pflichten zu, die hier nicht alle vollständig aufgelistet werden können. So ist der Verantwortliche für die Einhaltung der in Article 5 GDPR normierten Grundsätze für die Verarbeitung personenbezogener Daten zuständig und hat dafür die Rechenschaftspflicht. Nach Article 12 GDPR muss dieser Personen, die von der Verarbeitung personenbezogener Daten betroffen sind, alle Informationen und Mitteilungen transparent und verständlich übermitteln, die in Article 13 et seq. GDPR geregelt sind. Dazu zählen zum Beispiel die Informationspflicht bei der Datenerhebung und das Recht auf Berichtigung und Löschung der Daten sowie die Einschränkung der Verarbeitung.

Abhängig von den Umständen der Verarbeitung muss der Verantwortliche gemäß Article 24 GDPR geeignete technische und organisatorische Maßnahmen ergreifen, um eine DSGVO-gerechte Verarbeitung sicherzustellen. Dazu zählen die Grundsätze des Privacy by Design and Privacy by Default as well as the IT security of the systems. Article 32 GDPR specifically mentions the pseudonymisation und Verschlüsselung von Daten als mögliche technische Mittel für den Schutz der Rechte und Freiheiten von Menschen.

Datenschutzverletzungen muss der Verantwortliche für die Verarbeitung nach DSGVO nach Maßgabe des Article 33 GDPR möglichst binnen 72 Stunden an die Aufsichtsbehörde melden. Eine Ausnahme davon macht das Gesetz, wenn die Datenpanne voraussichtlich zu keinem Risiko für die Rechte und Freiheiten von Menschen führt. Bei einem hohen Risiko sind im Regelfall auch die betroffenen Personen durch den Verantwortlichen zu benachrichtigen, wie Article 34 GDPR .

According to Article 82 GDPR haftet der Verantwortliche für immaterielle und materielle Schäden des Betroffenen, die durch den Verstoß des Datenverarbeiters gegen die Verordnung entstehen. Davon wird er nur befreit, wenn er nachweist, dass er in keinerlei Hinsicht verantwortlich ist für den Umstand, der zum Schaden geführt hat.