DER VERANTWORTLICHE NACH DSGVO

Die Regelungen der Datenschutz-Grundverordnung richten sich in erster Linie an den „Verantwortlichen“ (zum Begriff vgl. Art. 4 Nr. 7 DSGVO sowie. Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Vorgaben der Datenschutz-Grundverordnung verantwortlich. Ihm obliegt es somit, die Rechtmäßigkeit der von ihm verantworteten Verarbeitungen personenbezogener Daten zu gewährleisten. Bestehen hinsichtlich einer bestimmten Verarbeitung mehrere Verantwortliche („gemeinsam Verantwortliche“), sind die Bestimmungen des Art. 26 DSGVO zu beachten.
Die Datenschutz-Grundverordnung weist dem Verantwortlichen in diesem Zusammenhang insbesondere (keine abschließende Aufzählung!) die folgenden Pflichten zu:

1. Der Verantwortliche ist für die Einhaltung der in Art. 5 Abs. 1 DSGVO normierten Grundsätze für die Verarbeitung personenbezogener Daten verantwortlich. Er muss die Einhaltung dieser Grundsätze nachweisen können („Rechenschaftspflicht„, Art. 5 Abs. 2 DSGVO).
2. Der Verantwortliche ist Adressat der Rechte der betroffenen Personen nach Art. 12 ff. DSGVO (gegebenenfalls in Verbindung mit dem hierbei einschlägigen nationalen Recht, v Er hat somit sicherzustellen, dass diese Rechte ordnungsgemäß wahrgenommen werden können.
3. Nach Art. 24 DSGVO hat der Verantwortliche im Hinblick auf die jeweilige Verarbeitung und unter Berücksichtigung der mit ihr einhergehenden Risiken für die Rechte und Freiheiten natürlicher Personen angemessene und geeignete technische und organisatorische Maßnahmen umzusetzen. Diese Verpflichtung wird insbesondere durch die Vorgaben des Art. 25 DSGVO („Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“) und des Art. 32 DSGVO („Sicherheit der Verarbeitung“) näher konkretisiert.
4. Der Verantwortliche hat ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, zu führen (Art. 30 DSGVO). Dieses Verarbeitungsverzeichnis stellt zugleich einen wichtigen Bestandteil dar, um der in Art. 5 Abs. 2 DSGVO normierten Rechenschaftspflicht Genüge zu tun.
5. Verletzungen des Schutzes personenbezogener Daten hat der Verantwortliche nach Maßgabe des Art. 33 DSGVO an die zuständige Aufsichtsbehörde zu melden. Unter den Voraussetzungen des Art. 34 DSGVO sind in einem solchen Fall zudem die betroffenen Personen durch den Verantwortlichen zu benachrichtigen.
6. Bei bestimmten Verarbeitungsvorgängen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, hat der Verantwortliche vorab eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35 DSGVO).
7. Öffentliche Stellen haben als Verantwortliche in jedem Fall einen Datenschutzbeauftragten zu benennen (Art. 37 Abs. 1 Buchst. a DSGVO).

Zusammenfassend:
„Verantwortlicher“ im Sinne der Datenschutz-Grundverordnung ist diejenige öffentliche Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Damit trägt die Leitung der jeweiligen öffentlichen Stelle die Verantwortung für den Datenschutz in ihrem Zuständigkeitsbereich.
Der Verantwortliche hat zu gewährleisten, dass die datenschutzrechtlichen Vorgaben der Datenschutz-Grundverordnung eingehalten werden und die Verarbeitung personenbezogener Daten in seinem Verantwortungsbereich rechtmäßig erfolgt. Er muss die Einhaltung der Verarbeitungsgrundsätze nachweisen können.

Auszug der bayerische Landesbeauftragte für den Datenschutz (BayLfD)