Was ist der Unterschied zwischen Verantwortlichem und Auftragsbearbeiter?
Der Verantwortliche entscheidet allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung. Der Auftragsbearbeiter bearbeitet Personendaten dagegen im Auftrag des Verantwortlichen. Der Kernunterschied liegt also in der Entscheidungsbefugnis über Zweck und Mittel der Bearbeitung.
Nach dem DSG ist der Verantwortliche die private Person oder das Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet. Entscheidend ist damit, wer festlegt, wozu Personendaten bearbeitet werden und wie diese Bearbeitung ausgestaltet ist. Das Gesetz definiert Bearbeiten sehr weit als jeden Umgang mit Personendaten, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten. Für die Einordnung sollte daher geprüft werden, wer diese grundlegenden Entscheidungen trifft und ob dies allein oder gemeinsam mit anderen geschieht.[1]
Ein Auftragsbearbeiter ist nach dem DSG die private Person oder das Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet. Die Rolle ist also nicht durch eigene Entscheidung über Zweck und Mittel geprägt, sondern durch die Bearbeitung für den Verantwortlichen. Für die Abgrenzung ist deshalb wichtig zu prüfen, ob eine Stelle nur Tätigkeiten der Bearbeitung ausführt oder ob sie selbst bestimmt, wozu und mit welchen Mitteln die Personendaten bearbeitet werden. Relevant ist dabei auch, dass sich die Begriffe auf Personendaten beziehen, also auf alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.[1]
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor weiterem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.[1]