Source: https://www.dr-datenschutz.de/bestimmung-der-verantwortlichkeit-im-sinne-der-dsgvo/
Timestamp: 2020-07-07 23:33:11+00:00

Document:
Die Frage ist bisher nicht gerichtlich entschieden. Die Aufsichtsbehörden haben sich jedoch teilweise bereits zu der Frage geäußert. Beispielsweise positioniert sich der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württembergs in seinem Tätigkeitsbericht Datenschutz 2018 deutlich zu dieser Frage – nach Auffassung der Aufsichtsbehörde aus Baden-Württemberg ist der Betriebsrat als eigener verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO einzustufen.
Mehr zum Thema: Betriebsrat, Bußgeld, EuGH, Facebook, verantwortliche Stelle
Wer ist denn der Verantwortliche für die Datenverarbeitung wenn bei uns im Laden, an einem PC, Daten eines Kunden von einem unserer Mitarbeiter direkt in die Eingabemaske auf der Homepage eines Lieferanten eingegeben werden?
Anonymous am 12. September 2019, 16:11 Uhr
Verantwortlicher im Sinne der DS-GVO seit Ihr, da Ihr die Daten erhebt und eingebt. Ihr müsstet dann einen AV-Vertrag mit Eurem Lieferanten haben. Somit sollte es gemäß DS-GVO konform sein.
MF am 17. September 2019, 15:34 Uhr
Hallo, wer ist denn Verantwortlicher in einer Lieferkette. Ist der Hersteller Verantwortlicher, wenn dieser Endverbraucherdaten vom Verkäufer erhält? Sagen wir mal, der Hersteller verarbeitet diese Endverbraucherdaten (durch Speicherung) um ein Individualprodukt für den Verkäufer herzustellen. VG
Mr Noname am 15. Januar 2020, 17:28 Uhr
In den meisten Lieferketten sind der Hersteller und der Verkäufer jeweils als verantwortliche Stelle einzustufen (2 Verantwortliche). Bestellt ein Endverbraucher beispielsweise bei einem Verkäufer ein paar individualisierte Schuhe, die vom Hersteller noch angefertigt werden müssen, sind für die Verarbeitung der erforderlichen personenbezogenen Daten sowohl der Verkäufer als auch der Hersteller jeweils selbst verantwortlich (zwei Verantwortliche). Sowohl der Verkäufer als auch der Hersteller verarbeiten die Daten im Wesentlichen für eigene Zwecke. Es kommt letztendlich jedoch immer noch darauf an, welche personenbezogenen Daten für welche Zwecke weitergegeben werden, so dass man um eine Einzelfallbetrachtung nicht herumkommen wird.
Dr. Datenschutz am 16. Januar 2020, 17:40 Uhr
Vielen Dank für Ihre rasche Antwort! In der Lieferkette haben Hersteller und Endverbraucher ja selten direkten Kontakt zueinander. Es erschließt sich mir nicht, wie der Schuhhersteller eine Einwilligung vom Verbraucher für seine Daten einholen soll (womöglich werden dabei ja sogar Gesundheitsdaten zwecks Plattfüßen ausgetauscht, Art 9 Abs. 1, 2a DSGVO). Und wie soll der Hersteller den Verbraucher nach Art. 14 DSGVO entsprechend informieren (Art. 14 DSGVO, da keine direkte Datenerhebung des Herstellers beim Verbraucher)? VG
Mr Noname am 17. Januar 2020, 13:59 Uhr
Welche Rechtgrundlage für die Übermittlung von personenbezogenen Daten eines Bestellers vom Verkäufer an den Hersteller herangezogen werden kann, hängt vom jeweiligen Einzelfall ab. In der Regel wird man hier auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) zurückgreifen können – bei Gesundheitsdaten kann hingegen eine vorherige Einwilligung erforderlich sein. Informationen zum Datenschutz könnten der jeweiligen Paketsendung beigelegt oder auf anderem Wege zur Verfügung gestellt werden. Hilfreiche Abgrenzungskriterien zu den datenschutzrechtlichen Verantwortlichkeiten finden sich z.B. in der Auslegungshilfe „Was ist Auftragsverarbeitung und was nicht?“ des BayLDA (https://www.lda.bayern.de/media/veroeffentlichungen/FAQ_Abgrenzung_Auftragsverarbeitung.pdf)
Dr. Datenschutz am 17. Januar 2020, 15:58 Uhr
Das beantwortet nicht den Diskussionspunkt um die Einholung der Einwilligung in dem Beispiel. Dies zeigt mir, wie verwirrend im Moment die Vorgaben der DSGVO in der Praxis sein können. Allerdings denke ich, dass bei meinem Beispiel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) eben nicht einschlägig ist. Vertragspartei des Herstellers ist ja eben nicht der Verbraucher. Hier wäre Art. 6 a) oder f) einschlägig. Bei Gesundheitsdaten wie im Beispiel komm meiner Meinung nach nur die Einwilligung in Betracht. Wie dies praxisgerecht gelöst werden kann, bleibt leider offen. VG
Mr Noname am 17. Januar 2020, 18:01 Uhr
Wie ist das datenschutzrechtlich zu bewerten, wenn zwischen zwei Unternehmen ein Betriebsführungsvertrag abgeschlossen wurde! Muss hier ein Vertrag gem. Art. 28 DSGVO oder Art. 26 DSGVO abgeschlossen werden?
Anonymus am 6. Mai 2020, 12:19 Uhr
Dies lässt sich i.d.R. nicht so leicht beantworten. Es kommt wie so oft darauf an, was innerhalb des Betriebsführungsvertrags vereinbart wird.
Wird das Konstrukt objektiv betrachtet, lässt sich eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO ausschließen, da eine Souveränität bzgl. der Eigentümergesellschaft trotz fremder Führung des Unternehmens weiterhin besteht und davon ausgegangen werden darf, dass das dienstleistende Unternehmen die personenbezogenen Daten nicht zu eigene Zwecke verarbeiten wird. Eine Auftragsverarbeitung würde ich ebenfalls ausschließen, da hierbei nicht die Verarbeitung von personenbezogenen Daten im Fokus steht. Demnach kann eine Eigenverantwortlichkeit des Dienstleisters angenommen werden.
Ich möchte jedoch darauf hinweisen, dass jeder Fall eine individuelle Abgrenzung benötigt.
Dr. Datenschutz am 19. Mai 2020, 18:45 Uhr

References: Art. 4
 Art. 14
 Art. 6
 Art. 6
 Art. 6
 Art. 28
 Art. 26
 Art. 26