Was sind Verantwortlicher und Auftragsverarbeiter?

Verantwortlicher (Data Controller) und Auftragsverarbeiter (Data Processor) sind die beiden zentralen Rollen, die die DSGVO jedem zuweist, der personenbezogene Daten verarbeitet. Der Verantwortliche bestimmt Zwecke und Mittel der Verarbeitung — warum Daten erhoben werden und wie sie genutzt werden —, während der Auftragsverarbeiter Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeitet. Die Unterscheidung ist alles andere als akademisch: Sie entscheidet, wer Nutzer informieren muss, wer ihre Betroffenenrechte bedient, wer Datenpannen an wen meldet und wen Aufsichtsbehörden zur Rechenschaft ziehen, wenn etwas schiefgeht.

Wie sich die Rollen in der Praxis verteilen

Ein Website-Betreiber, der Registrierungen sammelt, ist Verantwortlicher; die Cloud-Plattform, die die Datenbank hostet, der E-Mail-Dienst für die Bestätigungen und der Analytics-Anbieter, der Besuche zählt, sind typischerweise Auftragsverarbeiter. Der Verantwortliche trägt die Hauptpflichten — Rechtsgrundlage schaffen, Datenschutzhinweise bereitstellen, Auskunfts- und Löschanfragen erfüllen —, während der Auftragsverarbeiter Weisungen folgen, die Daten sichern und den Verantwortlichen bei diesen Pflichten unterstützen muss. Artikel 28 DSGVO verlangt, das Verhältnis in einem Auftragsverarbeitungsvertrag (AVV) zu fixieren, und jeder Unterauftragsverarbeiter braucht die Genehmigung des Verantwortlichen. Zwei Varianten verkomplizieren das Bild: Gemeinsame Verantwortlichkeit entsteht, wenn zwei Parteien die Zwecke zusammen festlegen — und ein Anbieter, der die Daten für eigene Ziele zu nutzen beginnt, etwa zum Training seiner Modelle oder für Werbeprofile, wird für diese Nutzung selbst Verantwortlicher, mit allen Pflichten, die daraus folgen.

Warum die Unterscheidung bei Sicherheits-Tools zählt

Jedes eingebettete Dritt-Widget — Analytics, Chat, Verifizierung — verarbeitet Besucherdaten im Auftrag des Betreibers, der damit Verantwortlicher für alles ist, was das Skript erhebt. Bot-Schutz ist ein pointiertes Beispiel, denn Erkennung untersucht naturgemäß Besuchersignale wie Netzwerkherkunft und Browser-Merkmale. Der Verantwortliche muss deshalb genau wissen, was sein Verifizierungsanbieter verarbeitet, auf welcher Rechtsgrundlage, wohin die Daten fließen und ob der Anbieter sie für eigene Zwecke nutzt. Ein Sicherheitsanbieter, der Verifizierungsdaten in Werbung oder Profilbildung recycelt, verschiebt die Risikoposition des Betreibers erheblich — und der Betreiber trägt als Verantwortlicher die Konsequenzen dieser Wahl.

Auftragsverarbeiter auswählen und steuern

Die DSGVO verpflichtet Verantwortliche, nur Auftragsverarbeiter mit hinreichenden Garantien einzusetzen — die Anbieterwahl ist selbst ein Compliance-Akt. Die praktische Prüfung: den AVV vor der Integration lesen, bestätigen, dass der Anbieter strikt als Auftragsverarbeiter agiert, und Dienste bevorzugen, die auf Datenminimierung gebaut sind — datenschutzfreundliche Verifizierung wie CaptchaFox verarbeitet Signale transient ohne Cookies oder persistente Identifikatoren, was den personenbezogenen Fußabdruck klein hält, für den der Verantwortliche einsteht. Auch der Serverstandort zählt, denn die Data Residency entscheidet, ob Drittlandtransfer-Regeln greifen. Die Leitfrage für jeden eingebetteten Dienst bleibt dieselbe: Was müsste man verteidigen, wenn eine Aufsichtsbehörde morgen fragt?