AVV-Rollen-Klassifikator

Die Rollenzuweisung entscheidet über das anwendbare Pflichtenregime: Wer „über die Zwecke und Mittel der Verarbeitung entscheidet" (Art. 4 Nr. 7 DSGVO), trägt die volle datenschutzrechtliche Verantwortung; wer „im Auftrag des Verantwortlichen" tätig wird (Art. 4 Nr. 8 DSGVO), unterliegt den Pflichten aus Art. 28 DSGVO; bei gemeinsamer Festlegung von Zwecken und Mitteln greift Art. 26 DSGVO. Der Wizard prüft die Tatbestandsmerkmale in der von der EuGH-Rechtsprechung vorgezeichneten Reihenfolge:

1. Zweckbestimmung: Wer legt fest, wozu die personenbezogenen Daten verarbeitet werden? Eine eigenständige Zweckbestimmung indiziert (Mit-)Verantwortlichkeit.
2. Mittelbestimmung: Wer entscheidet über die wesentlichen Mittel der Verarbeitung (Datenkategorien, Speicherdauer, Empfängerkreis)? Auch eine faktische Einflussnahme auf die wesentlichen Mittel kann Verantwortlichkeit begründen (EuGH C-210/16, Wirtschaftsakademie).
3. Weisungsgebundenheit: Handelt der Beteiligte ausschließlich nach dokumentierten Weisungen oder verfolgt er eigene Zwecke? Eigene Zweckverfolgung führt regelmäßig zu eigener oder gemeinsamer Verantwortlichkeit und schließt eine reine Auftragsverarbeitung aus (vgl. EuGH C-25/17, Zeugen Jehovas).
4. Gemeinsame Festlegung: Bei zwei oder mehr Stellen, die Zwecke und Mittel gemeinsam festlegen, liegt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor; eine arbeitsteilige Beteiligung an der Verarbeitungskette genügt (EuGH C-40/17, Fashion ID; EuGH C-604/22, IAB Europe).
5. Mehrfachrollen: Eine Stelle kann für dieselbe Datenmenge in unterschiedlichen Verarbeitungsphasen verschiedene Rollen einnehmen. Der Wizard kennzeichnet diese Konstellation und schlägt eine phasenweise Vertragsgestaltung vor.

1. Verarbeitung benennen: Tragen Sie die konkrete Verarbeitung ein (z. B. „Hosting des Lernmanagementsystems durch Anbieter X"). Die Bezeichnung erscheint im Workpaper.
2. Zweck- und Mittelbestimmung: Beantworten Sie die Fragen, wer Zweck und wesentliche Mittel der Verarbeitung festlegt. Mehrfachauswahl ist möglich, wenn mehrere Stellen beteiligt sind.
3. Weisungsgebundenheit und Eigenkompetenz: Beantworten Sie die Fragen zur Weisungsbindung des Auftragnehmers und zu eigenständigen Entscheidungsspielräumen (eigene Speicherdauer, eigene Zwecke, Profilbildung).
4. Ergebnis lesen: Der Wizard zeigt die Rollenzuordnung an (Verantwortlicher, gemeinsam Verantwortliche, Auftragsverarbeiter oder Mehrfachrollen) mit dem passenden EuGH-Begründungsbaustein.
5. Workpaper drucken: Klick auf „Druckansicht" erzeugt ein Workpaper für die Akte mit Eingaben, Datum, Verarbeitungsname und Begründungstext.

Datenverarbeitung: Sämtliche Eingaben werden ausschließlich lokal im Browser verarbeitet (localStorage für Wiederaufnahme, kein Server-Roundtrip). Es findet keine Übermittlung an Anbieter, Tracker oder Analyse-Dienste statt.

• Art. 4 Nr. 7 und Nr. 8, Art. 26, Art. 28 DSGVO (Verordnung (EU) 2016/679)
• EDSA-Guidelines 07/2020 zu den Begriffen „Verantwortlicher" und „Auftragsverarbeiter", Version 2.0 vom 07.07.2021
• EuGH 05.06.2018, C-210/16 (Wirtschaftsakademie Schleswig-Holstein) – faktische Einflussnahme auf die Mittel
• EuGH 10.07.2018, C-25/17 (Zeugen Jehovas) – gemeinsame Verantwortlichkeit von Organisation und Mitglied bei eigener Zweckverfolgung
• EuGH 29.07.2019, C-40/17 (Fashion ID) – arbeitsteilige Verarbeitungskette und gemeinsame Verantwortlichkeit
• EuGH 07.03.2024, C-604/22 (IAB Europe) – gemeinsame Festlegung von Zwecken und Mitteln
• Vertiefende Themenseite: Auftragsverarbeitungsvertrag