Verantwortlicher oder Auftragsverarbeiter? Verwechselte Rollen und ihre Folgen

KVKK & Leitfaden zur Datenverantwortung

KVKK führt häufig zu Verwechslungen zwischen den Rollen Verantwortlicher und Auftragsverarbeiter. Agenturen, CRM-Anbieter und andere Dienstleister nehmen unterschiedliche Positionen in der Datenkette ein. Falsche Einordnung kann Haftungs- und Bußgeldrisiken verursachen.

Zusammenfassung: Der Verantwortliche entscheidet; der Auftragsverarbeiter setzt Weisungen um. Je nach Dienstleistung kann diese Grenze unscharf werden.

1. Grundlegende Begriffsbestimmungen (KVKK-Artikel 3)

Rolle	Definition	Beispiel
Verantwortlicher	Es ist die Person oder Institution, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt.	Die Marke oder das datenverantwortliche Unternehmen
Auftragsverarbeiter	Eine natürliche oder juristische Person, die Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet.	Agentur, CRM-Anbieter, Hosting-Firma

„Wer entscheidet, trägt Verantwortung; wer umsetzt, legt Rechenschaft ab.“

2. Rollen von Agenturen und CRM-Anbietern bestimmen

• Digitale Agentur: In diesem Szenario handelt eine Agentur als Auftragsverarbeiter, wenn sie nur Plattformen integriert und nicht die Kampagnenstrategie bestimmt.
• CRM-Anbieter: Ein Anbieter, der Kundendaten hostet und das System bereitstellt, ist Auftragsverarbeiter; eigene Analysezwecke können ihn zum Verantwortlichen machen.
• Influencer-Management: Bei der beschriebenen Datenerhebung durch Content-Sharing ist die Marke Verantwortlicher und die Agentur Auftragsverarbeiter.

3. Verantwortlichkeitskette bei Diensten Dritter

• Jede Datenübertragung schafft ein "gemeinsames Verantwortungsverhältnis".
• Ein Auftragsverarbeitungsvertrag (DPA) ist erforderlich.
• Der Auftragsverarbeiter hat Datensicherheitspflichten nach KVKK-Artikel 12.
• Bei einer Übertragung ins Ausland ist eine ausdrückliche Einwilligung oder eine Genehmigung des Vorstandes erforderlich.

"Das schwache Glied in der Datenkette gefährdet das gesamte System."

4. Beispiele für richterliche Entscheidungen

• Behördenentscheidung (2022/1023): Der E-Mail-Infrastrukturanbieter wurde als Auftragsverarbeiter wegen eines Verstoßes bei der Protokollaufbewahrung sanktioniert.
• Behördenentscheidung (2023/331): Die Nutzung von Kundendaten für Analysen führte zur Einordnung des CRM-Anbieters als Verantwortlicher.
• Gerichtsentscheidung (2024/215): Das fehlende Datenübermittlungsprotokoll zwischen Agentur und Marke führte wegen gemeinsamer Verantwortung zu Sanktionen für beide Parteien.

5. Checkliste zur Reduzierung von Risiken

• Die Rollensetzung sollte bei jedem Projektbeginn schriftlich erfolgen,
• DPA (Datenverarbeitungsvertrag) muss unterzeichnet werden,
• Ein Datenflussdiagramm erstellen,
• Die Datenweitergabe durch den Auftragsverarbeiter an Dritte untersagen,
• Das Verfahren zur Meldung von Verstößen ist zu bestimmen.

B10-Empfehlung: Die Datenkette zwischen Agentur und Marke vor der technischen Umsetzung rechtlich bestimmen. Pflichten beider Parteien klar im Vertrag festhalten.

Klären Sie die Datenrolle Ihrer Agentur.
B10 Digital Agency berät zu Verantwortlichen- und Auftragsverarbeiterrollen, DPAs und Prüfungen im Rahmen ihrer KVKK-Leistungen.

Beratung zu Datenverarbeitungsrollen anfragen Meine Agentur kümmert sich nur um Werbung, zählt sie als Datenverantwortlicher?

Nicht zwangsläufig. Bestimmt die Agentur nicht die Erhebungs- oder Verarbeitungszwecke, ist sie meist Auftragsverarbeiter. Eigene Analysen können die Rolle verändern.

Wie kann man den Unterschied zwischen einem CRM-Anbieter und einem Verantwortlichen ermitteln?

Reine Speicherung und Zugangsbereitstellung sprechen für Auftragsverarbeitung. Eigene Auswertung, Segmentierung oder kommerzielle Analyse können eine Verantwortlichenrolle begründen.

Was bedeutet gemeinsame Verantwortung?

Gemeinsame Entscheidungen über die Verarbeitung können bei Verstößen oder Sanktionen eine gesamtschuldnerische Haftung begründen.

Schlagwörter: KVKK • Verantwortlicher • Auftragsverarbeiter • CRM-Anbieter • Agentur-Compliance • DPA • B10 Digital Agency