Für alle datenschutzrechtlichen Belange ist grundsätzlich die Verantwortliche Stelle i.S.d. Art. 4 Nr. 7 DSGVO verantwortlich. Das bedeutet, dass die verantwortliche Stelle Maßnahmen zu treffen hat, die nach Ihrer Einschätzung für einen datenschutzkonformen Umgang notwendig sind. Werden Verarbeitungsvorgänge personenbezogener Daten ganz oder teilweise an externe Dienstleister ausgelagert, verbleibt der Auftraggeber grundsätzlich für die Verarbeitungen „seiner“ Daten verantwortlich.
Der Auftragsverarbeiter, also der externe Dienstleister, ist dabei das ausführende Organ. Er ist insofern zur Auskunft und Unterstützung verpflichtet, um dem Auftraggeber eine datenschutzkonforme Entscheidung über zu treffende Maßnahmen zu ermöglichen. Er ist zudem dazu verpflichtet, die Daten des Auftraggebers nach dessen Weisung zu behandeln und über Umstände, die sich in der Risikosphäre des Dienstleisters ereignen, zu informieren.
Grundsätzlich bedeutet dies, dass die verantwortliche Stelle einen nicht datenschutzkonformen Umgang zu vertreten hat und dementsprechend für Verstöße haftet, gleich bei wem oder wo die tatsächliche Verarbeitung stattfindet.
Dieser Grundsatz gilt allerdings nicht uneingeschränkt.
Innenverhältnis
Setzt sich der Dienstleister über Weisungen des Auftraggebers hinweg, löst dies im Innenverhältnis Haftungsansprüche gegen den Dienstleister aus.
Auch eine Verletzung der vorab aufgezeigten Pflichten des Dienstleisters begründet ggf. vertragliche Haftungsansprüche des Auftraggebers. Unterlässt es der Dienstleister beispielsweise, den Auftraggeber darauf aufmerksam zu machen, dass eine Datenverarbeitung möglicherweise gegen geltendes Datenschutzrecht verstößt, kann dies im Innenverhältnis Schadensersatzansprüche auslösen.
Bußgeld neben Anordnungen
Auch im Außenverhältnis kann der Dienstleister haftbar gemacht werden. Bezogen auf Maßnahmen der Datenschutzbehörden ist auch der Dienstleister eigenständig verpflichtet, Weisungen der Datenschutzbehörde nach Art. 58 DSGVO Folge zu leisten. Diese Anordnungen können auch gemäß Art. 58 Abs. 2 lit. i DSGVO alternativ oder parallel durch ein Bußgeld geahndet werden. Die grundsätzliche Verantwortlichkeit des Auftraggebers wird hierdurch ein Stück weit durchbrochen. Ausschlaggebend bei der Verhängung eines Bußgeldes ist nach Art. 83 Abs. 2 lit. d DSGVO der „Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters“. Um diesen Grad der Verantwortung auszutarieren, ist es dem Dienstleister angeraten, auf mögliche datenschutzrechtliche Verstöße hinzuweisen und eine ausdrückliche Weisung der verantwortlichen Stelle einholen, um nicht von der Datenschutzbehörde für den Verstoß zur Rechenschaft gezogen zu werden. Bereits die Unterlassung einer Mitteilung über mögliche datenschutzrechtliche Verstöße stellt eine nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrte Handlung dar (neben den möglichen zivilrechtlichen Ansprüchen im Innenverhältnis).
Inanspruchnahme durch Geschädigte
Neben der Inanspruchnahme durch die Aufsichtsbehörde können durch Verstöße gegen das Datenschutzrecht auch Schadensersatz und Unterlassungsansprüche auf Seiten von Betroffenen / Geschädigten ausgelöst werden. Durch eine Haftungsanordnung in Art. 82 Abs. 4 DSGVO entsteht letzten Endes auch eine gesamtschuldnerische Haftung gegenüber Geschädigten. Dem Geschädigten ist es unbenommen, seinen Haftungsgegner selbst zu wählen. Der Geschädigte kann sowohl den Verantwortlichen als auch den Auftragsverarbeiter in Anspruch nehmen. Unabhängig von möglichen Ausgleichsmöglichkeiten im Innenverhältnis untereinander entsteht durch diese Regelung zumindest das Prozess- und Ausfallrisiko auch auf Seiten des Dienstleisters.
Weitere Haftungserweiterung bei Datentransfers in Drittländer
Durch Wegfall des Privacy Shields zur Legitimation von Datenübermittlungen in die USA ergeben sich zusätzliche Haftungsfelder zwischen Verantwortlichen und Dienstleistern. Datenübermittlungen, die bislang auf den Privacy Shield gestützt waren, sind ohne Übergangsfrist nach dem Urteil des EuGH rechtswidrig und bußgeldbewehrt und durch Geschädigte verfolgbar, sofern nicht andere Maßnahmen zur Sicherstellung des Datenschutzes durch den Verantwortlichen getroffen werden. Als alternative Möglichkeit zur Herstellung eines adäquaten Datenschutz-Niveaus im nicht-europäischen Ausland bieten sich die vorab von der Europäischen Kommission genehmigten Standard-Vertragsklauseln (SVK) an.
Hierin enthalten ist in Klausel 6 (SVK bei Übermittlungen an einen Auftragsverarbeiter) eine umfassende Ausdehnung der Haftung auf Subdienstleister. Diese Haftungsübernahme durch den Subdienstleister besteht sogar verschuldensunabhängig. Einzige Voraussetzung ist der faktische Ausfall des erstrangig in Anspruch zu nehmenden Verantwortlichen.
Zusammenfassend
Nicht immer gilt der Grundsatz der Haftung der verantwortlichen Stelle. Zugunsten des Rechtsschutzes für Betroffene wurde die Haftung an vielen Stellen auch auf den Dienstleister ausgeweitet. Es liegt im Interesse aller Beteiligten, klare Verhältnisse zu schaffen. Insbesondere im Falle einer Änderung der Rechtslage sollten die Verantwortlichkeiten klar kommuniziert werden und Entscheidungen durch den Verantwortlichen herbei geführt werden, um mögliche Haftungsrisiken auf allen Seiten zu minimieren.
Nicole Krause
juristische Mitarbeiterin der GINDAT GmbH