Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter?
Wenn Sie den Versand von Newslettern auslagern, verarbeitet eine andere Organisation personenbezogene Daten für Sie. Die DSGVO unterscheidet dabei zwei Rollen, die jeweils eigene Rechte und Pflichten haben. Der Unterschied liegt darin, wer bestimmt, was mit den personenbezogenen Daten geschieht.
Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten. Entscheidet Ihre Organisation, warum und wie personenbezogene Daten verwendet werden, dann ist Ihre Organisation der Verantwortliche. Beim Versenden Ihres Newsletters ist das also Ihre eigene Organisation.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag der Organisation, die ihn beauftragt. Diese Rolle übernimmt Laposta: Laposta verarbeitet die Daten Ihrer Abonnenten, aber Sie bestimmen, was damit geschieht.
Vereinbarungen in der Auftragsverarbeitervereinbarung
Um Annahmen und Missverständnisse zu vermeiden, muss die Rollenverteilung mit den dazugehörigen Rechten und Pflichten klar sein. Dieses Weisungsverhältnis und die Vereinbarungen hat Laposta ausdrücklich in einer Auftragsverarbeitervereinbarung festgehalten.
Als Verantwortlicher sind Sie dafür verantwortlich, dass Sie in Laposta keine anderen Daten speichern, als in der Auftragsverarbeitervereinbarung vereinbart wurde. Laposta prüft in groben Zügen, ob nicht mehr personenbezogene Daten verarbeitet werden als vereinbart.
Laposta ist ausdrücklich nicht dafür geeignet, besondere Kategorien personenbezogener Daten zu verarbeiten. Denken Sie dabei an medizinische Daten, strafrechtliche Daten, Angaben über Religion, sexuelle Orientierung oder die Mitgliedschaft in politischen Organisationen.