Wer ist Verantwortlicher und wer ist Auftragsverarbeiter?

⏱️ Lesezeit: 11 min · 📁 Kategorie: KVKK & Digitale Compliance

Wer ist Verantwortlicher und wer ist Auftragsverarbeiter? (KVKK-Leitfaden mit Beispielen)

„Wer ist Verantwortlicher nach der KVKK?“, „Was ist ein Auftragsverarbeiter?“, „Bin ich Verantwortlicher?“,
„Ist eine Agentur Verantwortlicher?“, „Ist eine Wohnanlagenverwaltung Verantwortlicher?“ Solche Fragen
gehören in der KVKK-Praxis zu den am häufigsten gesuchten und fehleranfälligsten Themen.

In diesem Leitfaden erläutern wir die Begriffe möglichst einfach, mit Beispielen aus dem Alltag und branchenspezifischen Erläuterungen
.

📌 Wer ist Verantwortlicher? (Einfache Definition nach der KVKK)

Ein Verantwortlicher ist die Person oder Organisation, die bei personenbezogenen Daten Folgendes entscheidet:

• Warum sie verarbeitet werden
• Zu welchem Zweck sie erhoben werden
• Wie lange sie gespeichert werden
• Mit wem sie geteilt werden

Diese Entscheidungen bestimmen die Rolle des Verantwortlichen.

💡 Der Hauptsatz für SEO ist:
Die Partei, die über personenbezogene Daten entscheidet ist nach der KVKK der Verantwortliche. 🧪 Stellen Sie sich diese Frage (Schnelltest)

Wenn Sie mindestens eine der folgenden Fragen mit „Ja“ beantworten, sind Sie wahrscheinlich Verantwortlicher:

• Warum sammle ich diese Daten?
• Was mache ich mit diesen Daten?
• Entscheide ich, wann ich es löschen soll?
• Entscheide ich mich für eine Weitergabe an Dritte?

✅ Wer ist Verantwortlicher? (Anschauliche Beispiele) 🔹 1) Unternehmen (Das am häufigsten gesuchte Szenario)

Beispiel: Ein Unternehmen erhebt Vor- und Nachnamen, Telefonnummern, E-Mail-Adressen und Rechnungsdaten seiner Kunden und speichert sie im CRM-System.

Ergebnis: Unternehmen = Verantwortlicher
Warum? Weil das Unternehmen entscheidet, welche Daten es erhebt, wofür es sie verwendet und wie lange es sie speichert.

Suchbegriffe: Unternehmen als Verantwortlicher, Arbeitgeber als Verantwortlicher, KVKK-Haftung von Unternehmen

🔹 2) E-Commerce-Websites und mobile Anwendungen

Beispiel: Ein Onlineshop registriert Mitglieder, erstellt Bestellungen, teilt Versandinformationen und versendet Marketing-E-Mails.

Ergebnis: Websitebetreiber / App-Betreiber = Verantwortlicher
Hinweis: Die Aussage „Jemand anderes stellt die Infrastruktur bereit“ hebt die Verantwortung nicht auf. 🔹 3) Haus- und Wohnanlagenverwaltungen (Häufig gesucht)

Beispiel: Eine Wohnanlagenverwaltung erstellt Videoaufzeichnungen, speichert Kontaktdaten der Bewohner und führt Hausgeldlisten.

Ergebnis: Wohnanlagenverwaltung = Verantwortlicher
Häufiger Fehler: „Die Verwaltung erfolgt ehrenamtlich, daher gilt die KVKK nicht.“ Falsch. Ehrenamtliche Tätigkeit hebt die Verantwortung nicht auf. 🔹 4) Ärzte, Kliniken und Krankenhäuser

Beispiel: Eine Klinik erhebt Patientenaufnahmeformulare, führt Untersuchungsnotizen und nutzt ein Terminsystem.

Schlußfolgerung: Klinik / Arzt = Verantwortlicher
Patientendaten sind besonders sensibel; daher müssen die Abläufe sorgfältig gestaltet werden.

Suchbegriffe: Krankenhaus als Verantwortlicher, KVKK-Haftung von Ärzten

🔹 5) Rechtsanwälte und Steuerberater

Beispiel: Ein Rechtsanwalt speichert Mandantendaten und erstellt eine Verfahrensakte.

Ergebnis: Rechtsanwalt = Verantwortlicher
Berufsgeheimnis und besondere Regelungen nehmen diese Tätigkeiten nicht vom Anwendungsbereich der KVKK aus. 📌 Wer ist Auftragsverarbeiter? (Einfache Definition)

Ein Auftragsverarbeiter ist eine Person oder Organisation, die personenbezogene Daten verarbeitet:

• Nicht im eigenen Namen,
• Sondern auf Weisung des Verantwortlichen,
• In dessen Auftrag

Diese Merkmale kennzeichnen die Rolle.

💡 Hauptsatz:
Die Partei, die keine eigenen Entscheidungen trifft und nur Weisungen ausführt, ist Auftragsverarbeiter. ✅ Wer ist Auftragsverarbeiter? (Konkrete Alltagsbeispiele) 🔹 1) Software-Firma / Cloud Service

Beispiel: Ein Unternehmen nutzt CRM-Software. Der Softwareanbieter hostet und sichert die Daten und leistet technischen Support.

Ergebnis: Softwareanbieter = Auftragsverarbeiter
Suchbegriff: Softwareanbieter als Auftragsverarbeiter 🔹 2) Agentur für digitales Marketing

Beispiel: Die Agentur versendet im Auftrag des Unternehmens E-Mails, führt SMS-Kampagnen durch oder verwaltet ein Werbekonto.

Grundregel: Agentur = Auftragsverarbeiter (wenn das Unternehmen Zweck und Zielgruppe bestimmt)
⚠️ Ausnahme: Wenn die Agentur unabhängige Entscheidungen über "wer, wann, wie" trifft, kann sich die Rolle ändern. 🔹 3) Call Center Unternehmen

Beispiel: Eine Bank lagert ihren Callcenter-Service aus.

Ergebnis: Bank = Verantwortlicher · Callcenter = Auftragsverarbeiter 🔹 4) Lohnabrechnungs- und Personaldienstleister

Beispiel: Ein externer Lohnabrechnungsdienstleister berechnet Gehälter und reicht Meldungen bei der SGK ein.

Ergebnis: Lohnabrechnungsdienstleister = Auftragsverarbeiter 📊 Verantwortlicher und Auftragsverarbeiter: Der Unterschied (SEO-Tabelle)

Frage	Verantwortlicher	Auftragsverarbeiter
Wer bestimmt den Zweck der Verarbeitung?	✅	❌
Wer gibt die Anweisung?	✅	❌
Wer handelt auf Weisung?	❌	✅
Gegen wen wird eine KVKK-Sanktion verhängt?	✅	⚠️ (bei Kompetenzüberschreitung oder Sicherheitsverstoß)
Wer registriert sich bei VERBİS?	✅	❌

❓ Häufig gestellte Fragen (FAQ - Traffic Focus) Ist eine Agentur Verantwortlicher?

In den meisten Fällen nein; bestimmt das Unternehmen Zweck und Umfang, handelt die Agentur meist als Auftragsverarbeiter.

Ist eine Wohnanlagenverwaltung Verantwortlicher?

Ja. Wegen Videoaufzeichnungen, Kontaktdaten und Hausgeldverwaltung gilt sie meist als Verantwortlicher.

Ist das Softwareunternehmen für KVKK verantwortlich?

Überschreitet der Anbieter seine Weisungen oder verletzt er Sicherheitspflichten, kann eine Haftung entstehen. Hält er sich an die Weisungen, handelt er meist als Auftragsverarbeiter.

Kann auch ein Auftragsverarbeiter sanktioniert werden?

Ja. Eine Haftung kommt insbesondere bei Kompetenzüberschreitung, Sicherheitsverstößen und weisungswidriger Verarbeitung in Betracht.

❌ Häufigste Fehler

• Die Annahme „Die Agentur ist verantwortlich, nicht ich“
• Keinen schriftlichen Vertrag und keine Weisungen mit dem Auftragsverarbeiter festlegen
• Alle als Verantwortliche einstufen oder die Rollen verwechseln
• Fehlerhafte VERBİS-Registrierung

✅ Fazit: Wenn Sie der Entscheidungsträger sind, sind Sie der Verantwortliche für die Datenverarbeitung Die KVKK-Logik ist klar:
Entscheidung = Verantwortlicher für die Datenverarbeitung
Weisungen = Auftragsverarbeiter

Bei falscher Abgrenzung richten sich KVKK-Sanktionen direkt gegen Sie; „Das wusste ich nicht“ beseitigt das Compliance-Risiko in der Regel nicht.

Rollenanalyse für Verantwortliche und Auftragsverarbeiter anfordern