Grundsätzlich haftet der Verantwortliche bzw. Auftragsverarbeiter. Der Vertreter fungiert ohne eigene Haftung. Er macht sich nur dann haftbar, wenn er im Außenverhältnis selbst gegen das Datenschutzrecht verstößt oder sich im Innenverhältnis über das Mandat seines Auftraggebers hinwegsetzt.