Datenverarbeiter
Ein Datenverarbeiter ist eine Stelle, die personenbezogene Daten im Auftrag und nach den Weisungen eines Verantwortlichen verarbeitet. Im Kontext politischer Werbung verarbeiten Auftragsverarbeiter personenbezogene Daten zu Targeting- oder Anzeigenauslieferungszwecken, entscheiden jedoch nicht darüber, wie oder warum die Daten verwendet werden. Der Verantwortliche bleibt letztendlich für die rechtmäßige Verarbeitung verantwortlich.
Rechtsgrundlage
„‚Auftragsverarbeiter' [ist] eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet."
— Artikel 4 Absatz 8, Verordnung (EU) 2016/679 (DSGVO)
Die Verordnung (EU) 2024/900 definiert den Datenverarbeiter zwar nicht, verweist jedoch auf das Datenschutzrecht und weist Verantwortlichen und Auftragsverarbeitern spezifische Pflichten zu, wenn personenbezogene Daten für das Targeting politischer Online-Werbung verwendet werden.
Warum es wichtig ist
Das Verständnis der Rolle von Datenverarbeitern ist entscheidend für die Einhaltung sowohl der DSGVO als auch der Verordnung über politische Werbung. Wenn eine politische Partei, Kampagne oder ein Sponsor eine Online-Plattform, einen Werbetechnologie-Anbieter oder ein Analyseunternehmen nutzt, um gezielte politische Werbung auszuliefern, handelt dieser Anbieter typischerweise als Auftragsverarbeiter. Der Sponsor oder politische Akteur bleibt Verantwortlicher und muss sicherstellen, dass der Auftragsverarbeiter alle rechtlichen Anforderungen erfüllt.
Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen umsetzen, Verantwortliche bei der Erfüllung ihrer Pflichten unterstützen (z. B. bei der Beantwortung von Anträgen betroffener Personen) und Daten nur auf dokumentierte Weisungen hin verarbeiten. Sie dürfen personenbezogene Daten nicht für eigene Zwecke verwenden. Wenn ein Auftragsverarbeiter eigene Zwecke für die Verarbeitung festlegt, wird er zum Verantwortlichen und übernimmt die volle Verantwortung nach dem Datenschutzrecht.
Für politische Werbung ist diese Unterscheidung wichtig, da Targeting unter Verwendung personenbezogener Daten nach Kapitel III der Verordnung (EU) 2024/900 stark eingeschränkt ist. Verantwortliche müssen sicherstellen, dass ihre Auftragsverarbeiter die Targeting-Beschränkungen, Einwilligungsanforderungen und Verbote der Verwendung bestimmter sensibler Datenkategorien einhalten.
Kernpunkte
- Handelt nach Weisungen: Auftragsverarbeiter behandeln personenbezogene Daten nur nach Anweisung des Verantwortlichen; sie können nicht entscheiden, wie oder warum Daten verarbeitet werden.
- Bleibt rechenschaftspflichtig: Verantwortliche sind letztendlich dafür verantwortlich, dass Auftragsverarbeiter die DSGVO und die Vorschriften für politische Werbung einhalten.
- Schriftliche Vereinbarungen erforderlich: Verantwortliche müssen einen Vertrag oder einen Rechtsakt mit Auftragsverarbeitern abschließen, der die Verarbeitungsbedingungen, Sicherheitsmaßnahmen und Pflichten festlegt.
- Unterstützt bei der Compliance: Auftragsverarbeiter müssen Verantwortliche bei der Beantwortung von Anträgen auf Ausübung von Rechten betroffener Personen, der Durchführung von Folgenabschätzungen und der Meldung von Datenschutzverletzungen unterstützen.
- Kann zum Verantwortlichen werden: Wenn ein Auftragsverarbeiter Zwecke und Mittel der Verarbeitung festlegt, wird er als Verantwortlicher mit voller rechtlicher Verantwortung eingestuft.
- Spezielle Regeln für Targeting: Wenn Auftragsverarbeiter gezielte politische Online-Werbung ausliefern, müssen sie die Beschränkungen aus Kapitel III einhalten und dürfen keine besonderen Kategorien personenbezogener Daten für Targeting-Zwecke verwenden.
Datenverarbeiter vs. Verantwortlicher
Ein Verantwortlicher legt die Zwecke und Mittel der Verarbeitung personenbezogener Daten fest – er entscheidet, welche Daten erhoben werden, wie sie verwendet werden und warum. Ein Auftragsverarbeiter handelt nur nach den Weisungen des Verantwortlichen und trifft diese Entscheidungen nicht.
In der politischen Werbung ist eine politische Partei, die eine gezielte Werbekampagne durchführt, der Verantwortliche. Die Social-Media-Plattform oder der Werbetechnologie-Dienst, der diese Werbung nach den Weisungen der Partei ausliefert, ist der Auftragsverarbeiter. Wenn die Plattform die Daten auch für eigene Zwecke verwendet (z. B. zur Verbesserung ihres Empfehlungsalgorithmus), handelt sie für diesen separaten Zweck als Verantwortlicher.
Die Unterscheidung ist entscheidend, da Verantwortliche und Auftragsverarbeiter unterschiedliche Pflichten nach der DSGVO haben und die Haftung für Nichteinhaltung letztendlich beim Verantwortlichen liegt.