DSGVO-Rollen-Simulator
Verantwortlicher, Auftragsverarbeiter oder gemeinsame Verantwortlichkeit?
Dieser interaktive Check unterstützt Unternehmen dabei, eine konkrete Datenverarbeitung vorläufig rollenrechtlich einzuordnen. Im Fokus stehen Zweck- und Mittelentscheidung, Weisungsbindung, Art.-28-AVV, Art.-26-Konstellationen, Unterauftragnehmer, Drittlandtransfers, TDDDG-Tracking, KI-/Analytics-Nutzung und Nachweisdokumentation.
- vorläufige Rollen-Einordnung je Verarbeitungsvorgang
- Risikostufe mit Gründen und Priorität
- konkrete Prüfpunkte und typische Unterlagen
- kopierbaren Kurzüberblick für eine Anfrage an ITMR
Orientierung
So ordnet der Simulator die Rollenlage ein
Die DSGVO-Rolle hängt nicht vom Vertragstitel allein ab, sondern von der tatsächlichen Verarbeitung. Maßgeblich ist, wer Zwecke und wesentliche Mittel bestimmt, ob eine Stelle nur auf dokumentierte Weisung handelt und ob mehrere Parteien gemeinsam über Kernfragen entscheiden.
AVV, Konzern, Tool-Kette, Kooperation, Streitfall oder Audit werden unterschiedlich gewichtet.
Eine Stelle kann je Zweck unterschiedlich einzuordnen sein. Der konkrete Vorgang ist entscheidend.
Zweck, Rechtsgrundlage, Datenarten, Empfänger, Speicherfrist und technische Kernmittel sind starke Indizien.
Auftragsverarbeitung setzt eine echte Weisungsstruktur, Art.-28-Regelung und fehlende Eigenzwecke voraus.
Art. 26 DSGVO wird relevant, wenn Parteien Zwecke oder wesentliche Mittel gemeinsam bestimmen.
VVT, Datenschutzhinweise, TOM, Subprocessor, DSFA und Transferdokumentation müssen zur Rolle passen.
Leistung
Was dieser Check leistet
Der Simulator liefert eine strukturierte Erstorientierung für typische digitale Verarbeitungskonstellationen: SaaS, Cloud, IT-Support, Marketingtools, Konzernservices, Plattformen, Leadgenerierung, KI-Training, Analytics, HR-Prozesse und gemeinsame Projekte.
Das Ergebnis ersetzt keine Einzelfallprüfung. Es hilft aber, die richtigen Fragen zu stellen, Unterlagen vorzubereiten und typische Fehlzuordnungen früh zu erkennen.
Warum die Rollenfrage praktisch wichtig ist
Die Rollenlage entscheidet regelmäßig über AVV oder Art.-26-Vereinbarung, Datenschutzhinweise, VVT, Betroffenenrechte, Unterauftragnehmer, Haftung, Auditfähigkeit und Kundenkommunikation. Falsch eingeordnete Rollen können Verträge, Lieferketten und Datenschutzdokumentation destabilisieren.
Typische Warnsignale
AVV trotz eigener Datenverwendung, Produktverbesserung, KI-Training, Benchmarking, nicht dokumentierte Subprocessor, unklare Konzernzugriffe, internationale Supportzugriffe, Tracking ohne Rollenabgrenzung oder gemeinsam betriebene Datenbanken sind typische Vertiefungspunkte.
Grenzen der automatischen Einordnung
Der Check bewertet Indizien. Er kann nicht abschließend beurteilen, ob ein Vertrag wirksam ist, ob eine Weisung tatsächlich gelebt wird oder ob eine komplexe Verarbeitung in mehrere Teilvorgänge aufzuspalten ist.
Interaktiver Fragebogen
DSGVO-Rolle simulieren
Beantworten Sie die Fragen für genau einen Verarbeitungsvorgang. Bei mehreren Zwecken sollte der Check getrennt wiederholt werden.
Vorläufiges Ergebnis
Warum dieses Ergebnis?
Empfohlene nächste Prüfpunkte
Sinnvoll für die Anfrage vorbereiten
Risikomatrix
Typische Rollenfragen, Fristen und Maßnahmen
Die Matrix zeigt häufige Prüfblöcke. Sie ist als Orientierung gedacht und muss für den konkreten Verarbeitungsvorgang angepasst werden.
| Konstellation | Typische Rollenfrage | Besondere Dringlichkeit | Erste Maßnahme |
|---|---|---|---|
| SaaS, Cloud, IT-Support | Auftragsverarbeiter, Unterauftragsverarbeiter oder eigene Verantwortlichkeit? | vor Vertragsschluss, Kundenaudit, Vendor-Onboarding | AVV, TOM, Subprocessor, Löschung/Rückgabe und internationale Zugriffe prüfen |
| Gemeinsame Kampagne, Plattform, Leadprozess | Getrennte oder gemeinsame Verantwortlichkeit nach Art. 26 DSGVO? | vor Launch, vor Datenerhebung, bei gemeinsamen Datenschutzhinweisen | Zwecke, Mittel, Informationspflichten und Zuständigkeiten schriftlich abgrenzen |
| Konzern und Shared Services | Interne Weisung, Auftragsverarbeitung, getrennte oder gemeinsame Verantwortlichkeit? | bei HR-, CRM-, Analytics-, Security- und ERP-Zugriffen | jede Verarbeitung getrennt nach Gesellschaft, Zweck, Zugriff und Entscheidungsbefugnis mappen |
| Tracking, Apps, Analytics, Ads | Wer ist verantwortlich für Endgerätezugriff, Consent, Zweck und Empfänger? | vor Kampagnenstart, CMP-Wechsel, SDK-Einbau, Aufsichtsanfrage | TDDDG-/DSGVO-Rollen, Consent-Logs, Empfänger, Drittlandtransfer und Widerruf prüfen |
| KI, Produktverbesserung, Modelltraining | Eigener Zweck des Dienstleisters oder Verarbeitung auf Weisung? | vor KI-Go-live, Vendor-Freigabe, DSFA, Kundenfreigabe | Servicezweck und Eigenzwecke trennen; Rechtsgrundlagen, DSFA, Rechteketten und Vertragsklauseln prüfen |
| Datenpanne oder Betroffenenanfrage | Wer muss melden, informieren, antworten und nachweisen? | 72-Stunden-Prüfung bei Datenschutzverletzungen; regelmäßig 1 Monat bei Betroffenenrechten | Rollenlage, Zuständigkeit, Kommunikationskette, Logs und Beweissicherung sofort klären |
Nächste sinnvolle Schritte
Verwandte ITMR-Checker und Anschlussprüfungen
Je nach Ergebnis kann eine Rollenprüfung mit weiteren Compliance-Bausteinen verbunden werden, etwa Legal Readiness, Datenschutzvorfall, NIS2, allgemeiner Compliance-Radar oder reputationsbezogene Risiken.
Kontakt
DSGVO-Rollenlage rechtlich belastbar prüfen lassen
Wenn AVV, Art.-26-Vereinbarung, Drittlandtransfer, Subprocessor, Datenschutzhinweise, VVT, DSFA oder Kundenkommunikation von der Rollenfrage abhängen, sollte die Einordnung verarbeitungsspezifisch dokumentiert werden.
Rechtlicher Hinweis: Dieser DSGVO-Rollen-Simulator bietet eine unverbindliche Erstorientierung. Die tatsächliche Rollenverteilung hängt vom konkreten Verarbeitungsvorgang, der Vertragslage, der gelebten Praxis und den beteiligten Parteien ab. Eine individuelle rechtliche Prüfung wird dadurch nicht ersetzt.