Verantwortlicher

Was die Prüfung erwartet

Sachgebiet 2 des Rahmenplans führt Art. 4 DS-GVO als Grundbegriff des Datenschutzrechts ein — die IHK prüft, ob du Verantwortlichen und Auftragsverarbeiter sauber unterscheidest und weißt, wann ein beauftragter Sicherheitsdienst seine Rolle wechselt. Typische Prüfungsszenarien:

• Wer entscheidet über Zweck und Mittel einer Videoüberwachung?
• Wann wird ein beauftragter Sicherheitsdienst selbst Verantwortlicher?

So funktioniert es

Art. 4 DS-GVO legt fest: Verantwortlich ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet — beim bewachten Objekt meist dein Auftraggeber, wenn er etwa eine Videoüberwachung anordnet. Der Auftragsverarbeiter verarbeitet personenbezogene Daten dagegen im Auftrag des Verantwortlichen, ohne selbst über Zwecke und Mittel zu bestimmen.

Die Rolle hängt damit an der Entscheidungsmacht, nicht am Briefkopf — und sie kann kippen: Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die DS-GVO die Zwecke und Mittel der Verarbeitung, gilt er in Bezug auf diese Verarbeitung selbst als Verantwortlicher (Art. 28 DS-GVO).

Beispiel aus dem Dienst

Dein Sicherheitsunternehmen betreibt im Auftrag eines Einkaufszentrums die Videoüberwachung der Eingänge. Der Auftraggeber legt fest, wie lange die Aufnahmen gespeichert werden und wofür sie ausgewertet werden dürfen — dein Unternehmen setzt das nur technisch um. Verantwortlich für diese Verarbeitung bleibt das Einkaufszentrum. Würde dein Unternehmen dagegen ohne Absprache eigene Auswertungen für interne Schulungen erstellen, würde es für genau diesen Teil selbst zum Verantwortlichen.

Nicht zu verwechseln mit …

Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten durch einen Dritten im Auftrag des Verantwortlichen, auf Grundlage eines schriftlichen Vertrags. Sicherheitsunternehmen sind häufig Auftragsverarbeiter ihrer Auftraggeber — verantwortlich bleibt, wer den Auftrag erteilt und den Zweck der Verarbeitung festlegt.

Typischer Fehler in der Prüfung

Verantwortliche werden oft für Behörden gehalten. Art. 4 DS-GVO nennt neben Behörden ausdrücklich natürliche und juristische Personen sowie andere Stellen — ob dein Auftraggeber ein Amt oder ein privates Einkaufszentrum ist, ändert an seiner Rolle nichts.

Quellen

• Art. 4, 28 DS-GVO – Verantwortlicher und Auftragsverarbeiter · abgerufen 2026-09-04
• DIHK-Rahmenplan Bewachungsgewerbe · abgerufen 2026-09-04