Datenverantwortlicher

Datenverantwortlicher (data controller) ist im Datenschutzrecht die natürliche oder juristische Person, öffentliche Stelle oder andere Stelle, die allein oder gemeinsam Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Er bestimmt, zu welchen Zwecken, welche Datenkategorien und welche Art der Verarbeitung erfolgen.

Zu den zentralen Pflichten des Datenverantwortlichen gehören die Gewährleistung der Datenschutzprinzipien (Zweckbindung, Datenminimierung, Transparenz, Rechtmäßigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit), die Umsetzung technischer und organisatorischer Maßnahmen (TOM), sowie die Erfüllung der Informationspflichten gegenüber Betroffenen. Der Verantwortliche muss Betroffenenrechte wie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch ermöglichen. Er trägt die Pflicht zur Durchführung oder Überwachung von Datenschutz-Folgenabschätzungen (DSFA), wenn eine Verarbeitung voraussichtlich hohes Risiko verursacht. Außerdem ist er verpflichtet, Verstöße gegen den Datenschutz an die zuständige Aufsichtsbehörde zu melden und Betroffene ggf. über die Verletzung zu informieren. Weiterhin führt der Verantwortliche ein Verzeichnis von Verarbeitungstätigkeiten und wählt Auftragsverarbeiter (Processor) mit entsprechenden Verträgen aus, die den Datenschutz sicherstellen.

Bei mehreren Verantwortlichen gelten sie als gemeinsame Verantwortliche (joint controllers); sie treffen untereinander Vereinbarungen über Pflichten, Verantwortlichkeiten und Kostenverteilung.

Beziehung zum Datenschutzbeauftragten: Der Datenschutzbeauftragte ist eine beratende und überwachte Funktion; er muss nicht immer bestellt werden, ist aber beispielsweise bei Kernaufgaben mit umfangreicher Datenverarbeitung Pflicht. Der DPO unterstützt den Verantwortlichen, ersetzt ihn jedoch nicht.

Der Begriff ist zentral im GDPR-basierten Rechtsrahmen und findet auch im nationalen Datenschutzrecht Ausdruck, etwa im BDSG, mit weitergehenden Detailregelungen.