Wer ist der Verantwortliche nach DSGVO?
Du betreibst einen Online-Shop. Dein Hoster speichert die Bestellungen, ein Tool verschickt den Newsletter, eine Agentur schaltet die Anzeigen. Wer haftet, wenn etwas schiefgeht? In den meisten Fällen du. Denn du bist der Verantwortliche.
Art. 4 Nr. 7 DSGVO sagt es so: Verantwortlich ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Das Warum und das Wie also. Das kann eine Einzelperson sein, eine Firma, eine Behörde oder ein Verein.
Der Begriff ist funktional. Es zählt, was tatsächlich passiert. Das betont der Europäische Datenschutzausschuss (EDSA) in seinen Leitlinien 07/2020. Und verantwortlich ist das Unternehmen, nicht die Mitarbeiterin, die die Kampagne plant.
Welche Pflichten hat der Verantwortliche?
Art. 24 DSGVO fasst es zusammen: Du musst sicherstellen, dass die Verarbeitung rechtmäßig läuft, und das auch nachweisen können. In der Praxis heißt das:
- Du brauchst eine Rechtsgrundlage für jede Verarbeitung.
- Du informierst Betroffene in der Datenschutzerklärung.
- Du führst das Verzeichnis von Verarbeitungstätigkeiten.
- Du schließt Auftragsverarbeitungsverträge mit Dienstleistern.
- Du triffst technische und organisatorische Maßnahmen.
- Du beantwortest Anfragen von Betroffenen, etwa auf Auskunft oder Löschung.
Und das kostet, wenn es fehlt. Verstöße gegen die Grundsätze aus Art. 5 können bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes kosten. Pflichten aus Art. 25 bis 39 liegen bei bis zu 10 Mio. Euro oder 2 %. Das ist der Rahmen, kein Tarif. Ein Beispiel: Die Hamburger Aufsicht verhängte 2018 gegen ein kleines Unternehmen 5.000 Euro wegen eines fehlenden Auftragsverarbeitungsvertrags.
Wer ist hier eigentlich wofür zuständig?
Drei Rollen musst du auseinanderhalten:
Rolle
Kennzeichen
Verantwortlicher
bestimmt Zweck und wesentliche Mittel
Auftragsverarbeiter
arbeitet nach Weisung, ohne eigenen Zweck
Gemeinsam Verantwortliche
entscheiden zusammen, Art. 26 DSGVO
Wesentliche Mittel sind zum Beispiel: welche Daten, wie lange, an wen, über wen. Das legst du fest. Die Software darunter darf der Dienstleister wählen. Die Rolle gilt dabei je Verarbeitung, nicht je Firma. Deine Agentur kann für deine Kampagne Auftragsverarbeiter sein und für ihre eigene Buchhaltung Verantwortlicher.
Typische Fälle aus dem Marketing
- Website mit Social-Plugin: Wer einen „Gefällt mir“-Button einbindet, kann für das Erheben und Übermitteln gemeinsam mit dem Anbieter verantwortlich sein, für die spätere Verarbeitung dort grundsätzlich nicht (EuGH, Fashion ID, 2019).
- Fanpage: Der EuGH sah den Betreiber 2018 als gemeinsam verantwortlich (Wirtschaftsakademie). Die Reichweite ist weiter strittig: Das VG Köln hob 2025 einen Bescheid auf, die Berufung läuft.
- Agentur nach Weisung: in der Regel Auftragsverarbeiter. Nutzt sie die Daten für eigene Zwecke, wird sie dafür selbst verantwortlich.
- Google: Für Analytics und Customer Match sieht sich Google vertraglich als Auftragsverarbeiter, für andere Ads-Dienste als eigenständig Verantwortlicher. Die Einordnung der Behörden kann davon abweichen.
Häufige Fehler
Fehler 1 · „Der Vertrag regelt die Rolle“
Steht im Vertrag „Auftragsverarbeiter“, entscheidet der Dienstleister aber selbst über Zweck und Daten, ist er Verantwortlicher. Die Tatsachen zählen, nicht das Etikett. Überschreitet er deine Weisungen, sieht Art. 28 Abs. 10 DSGVO genau das vor.
Fehler 2 · „Ich sehe die Daten ja gar nicht“
Datenzugang ist nicht nötig. Stellst du bei einem Dienst Parameter ein, die beeinflussen, wessen Daten verarbeitet werden, kannst du verantwortlich sein. Das gilt zum Beispiel für Zielgruppen in Werbetools.
Fehler 3 · „Das Tool ist von Meta, also deren Problem“
Die Nutzung einer Plattform befreit dich nicht. Hast du das Tool eingebunden, musst du für diesen Teil geradestehen. Das betrifft auch Einwilligung und Information.
Fehler 4 · Gemeinsamen Vorteil mit gemeinsamer Verantwortung verwechseln
Nur weil beide Seiten von einem Auftrag profitieren, sind sie nicht gemeinsam verantwortlich. Wer keinen eigenen Zweck verfolgt und nur fürs Arbeiten bezahlt wird, bleibt Auftragsverarbeiter.
So klärst du die Rollen sauber
- Liste machen: Welche Verarbeitungen laufen, und wer ist beteiligt?
- Je Verarbeitung fragen: Wer legt Zweck und wesentliche Mittel fest?
- Verträge passend wählen: Auftragsverarbeitungsvertrag oder Vereinbarung nach Art. 26.
- Verzeichnis pflegen: Trag die Rollen im Verzeichnis ein.
- Agentur nachfragen: Nutzt sie deine Daten auch für eigene Zwecke, etwa für Benchmarks oder Trainingsdaten? Das gehört geklärt.
Häufige Fragen
Wer ist auf meiner Website der Verantwortliche?
In der Regel du als Betreiber, also die Firma oder Person aus dem Impressum. Du entscheidest, welche Daten erhoben werden und wozu. Deshalb musst du in der Datenschutzerklärung auch als Verantwortlicher genannt sein.
Ist meine Marketing-Agentur Auftragsverarbeiter oder Verantwortlicher?
Das hängt vom Einzelfall ab. Arbeitet sie nach deiner Weisung mit deinen Daten, ist sie in der Regel Auftragsverarbeiter. Nutzt sie die Daten für eigene Zwecke, wird sie dafür selbst Verantwortlicher. „Agenturen sind immer Auftragsverarbeiter“ stimmt nicht.
Ist der Datenschutzbeauftragte der Verantwortliche?
Nein. Er berät und überwacht, entscheidet aber nicht. Die Pflichten bleiben bei der Firma und ihrer Leitung. Die DSGVO trennt beide Rollen deshalb klar.
Wer zahlt das Bußgeld, wenn mein Dienstleister Mist baut?
Das kommt darauf an, wer den Fehler zu vertreten hat. Handelt der Auftragsverarbeiter im Rahmen deiner Weisungen, kannst laut EuGH auch du dafür belangt werden. Überschreitet er sie, gilt er selbst als Verantwortlicher. Prüf deshalb deine Dienstleister vorher sorgfältig.
