Ist Cyber Crucible ein Verantwortlicher oder ein Auftragsverarbeiter für Daten?

Kurze Antwort: In den meisten Engagements agiert Cyber Crucible als Auftragsverarbeiter im Auftrag des Kunden, der der Verantwortliche ist. Der Kunde legt die Zwecke und Mittel der Verarbeitung fest; Cyber Crucible verarbeitet Daten nur gemäß den dokumentierten Anweisungen des Verantwortlichen, im Rahmen einer schriftlichen Auftragsverarbeitungsvereinbarung (Data Processing Agreement).

Warum diese Unterscheidung wichtig ist

Fast jedes Regelwerk in dieser Familie — PDPL, GDPR und deren Ableitungen — verteilt Pflichten nach Rolle. Verantwortliche entscheiden, warum und wie Daten verarbeitet werden, und tragen die schwerwiegenderen Pflichten: die Information betroffener Personen, die Bearbeitung von Rechteanfragen und in manchen Fällen die Registrierung.

Auftragsverarbeiter müssen rechtmäßigen Anweisungen folgen und die Daten schützen. Unter PDPL würde ein Auftragsverarbeiter, der Daten über die Anweisungen des Verantwortlichen hinaus nutzt, selbst als Verantwortlicher behandelt werden — weshalb der Umfang vertraglich festgelegt und nicht der Auslegung überlassen wird.

In der Praxis

Cyber Crucible arbeitet im Rahmen einer schriftlichen Auftragsverarbeitungsvereinbarung oder eines Dienstleistungsvertrags, der den Umfang der Verarbeitung festlegt, und verwendet oder speichert Daten nicht außerhalb dieser Anweisungen weiter.

Da es sich normalerweise um einen Auftragsverarbeiter handelt, liegen die verantwortlichenspezifischen Pflichten bei Ihnen: die Information betroffener Personen über die Verarbeitung, die Beantwortung von Rechteanfragen und Ähnliches.

Die Ausnahme

Nur wenn Cyber Crucible personenbezogene Daten für eigene Zwecke verarbeiten würde, wäre es ein Verantwortlicher, und würde dann vollständige Verantwortlichen-Pflichten übernehmen, einschließlich Registrierung und Einwilligung, sofern zutreffend. Das ist nicht das Betriebsmodell.