Informationen und Handlungshilfen zum grenzüberschreitenden ...

2.4.2 Auftraggeber
Auftraggeber sind diejenigen, die Daten für einen bestimmten Zweck bearbeiten,
verwenden, weiterleiten, etc. Ein Unternehmen beispielsweise, das die Daten seiner MitarbeiterInnen
für die Buchhaltung zur Lohnverrechnung verarbeitet, ist Auftraggeber. Auftraggeber
sind natürliche oder juristische Personen und zwar unabhängig davon, ob sie
die Verarbeitung selbst durchführen oder dazu andere heranziehen (§ 4 Z 4 DSG). Auftraggeber
tragen die Verantwortung dafür, dass der Dienstleister die Daten auch vertrags -
gemäß, also auch gemäß dem Datenschutzgesetz verwendet (§ 11 DSG).
Auftraggeber
Pflichten der Auftraggeber
Ein Auftraggeber darf einen Dienstleister nur beauftragen wenn
der Dienstleister die rechtmäßige und sichere Verarbeitung der Daten gewährleisten
kann,
der Auftraggeber und der Dienstleister die zur Datenverarbeitung notwendigen Vereinbarungen
treffen (z.B. zu Datensicherheit, Verwendungszweck, Informationsrecht
der Betroffenen, Löschung nach Auftragsbeendigung, …),
der Auftraggeber sich von die Einhaltung der Vereinbarungen auch wirklich überzeugt.
2.4.3 Dienstleister
Auch DienstleisterInnen können natürliche oder juristische Personen sein (z.B. Personengemeinschaft,
Gebietskörperschaft, Unternehmen). Sie verarbeiten die Daten, die ihnen
überlassen wurden, um eine Dienstleistung zu erbringen (§ 4 Z 5 DSG).
Dienstleister
Entscheidend für die Definition von Dienstleister und Auftraggeber im Sinne des DSG ist,
wer über die Datenverarbeitung entscheidet. Wer über die Daten und ihre Verwendung
entscheidet, ist Auftraggeber - unabhängig davon, ob Auftraggeber ihre Daten auch
gleich selbst verarbeiten, sind sie in beiden Fällen Auftraggeber. Überträgt der Auftraggeber
die Durchführung der Datenverarbeitung einem Dienstleister, liegt ein Dienstleister -
verhältnis vor.
Abgrenzung von
Auftraggeber und
Dienstleister
Die Abgrenzung zwischen Auftraggeber und Dienstleister ist oft schwierig. Dienst -
leisterInnen können zu AuftraggeberInnen werden, wenn sie eigenverantwortlich über
die Datenverwendung entscheiden.
Dieses Problem der Unterscheidung stellt sich vor allem in großen Konzernen, in denen
Abteilungen für andere Abteilungen oder Konzerngesellschaften Leistungen erbringen.
Abgrenzungsprobleme können bei Abteilungen wie Buchhaltung, Personalverwaltung
und Controlling entstehen. Es kann beispielsweise vorkommen, dass die Controlling -
abteilung als selbstständige Auftraggeberin anderen Konzerngesellschaften oder Ab -
teilungen übergeordnet ist. Ebenso verkomplizieren die personellen Verflechtungen und
zentralisierten Organisationsstrukturen in multinationalen Konzernen die Sachlage. So
sind z.B. oft Personalverwaltung und Controlling im Konzern zentralisiert, die
Beschäftigten dieser Abteilungen jedoch in unterschiedlichen Ländern und Konzern -
gesellschaften angesiedelt. Somit ist es in der Praxis oft höchst aufwendig aus diesen
Strukturen die datenschutzrechtlich Verantwortlichen herauszufiltern.
Der Dienstleister hat die Pflicht, die ihm überlassenen Daten nur für den vereinbarten
Zweck zu verwenden. Die Weiterleitung an Dritte ist - wenn sie nicht vertraglich vereinbart
wurde - ausdrücklich verboten (§ 11 DSG). Die Rechte der Betroffenen auf
Infor mation, Richtigstellung, Löschung und Widerruf müssen gewahrt bleiben und die
dazu nötigen technischen und organisatorischen Voraussetzungen müssen
geschaffen werden. Nach Beendigung der Dienstleistung müssen alle Verarbeitungs -
ergebnisse und Unterlagen, die Daten enthalten, dem Auftraggeber übergeben werden
oder in dessen Auftrag für ihn weiter aufbewahrt oder vernichtet werden.
Pflichten der Dienstleister
11