Schwarz/Pahlke/Keß, AO § 32h Datenschutzrechtliche Aufsi ... / 2.3.2 Pflichten des Verantwortlichen

Rz. 29

Dem Verantwortlichen obliegt es, die Rechtmäßigkeit der von ihm verantworteten Verarbeitungen personenbezogener Daten zu gewährleisten. Bestehen hinsichtlich einer bestimmten Verarbeitung mehrere Verantwortliche ("gemeinsam Verantwortliche"), sind die Bestimmungen des Art. 26 DSGVO zu beachten. Die DSGVO weist dem Verantwortlichen insbesondere die folgenden Pflichten zu:

• Einhaltung der in Art. 5 Abs. 1 DSGVO normierten Grundsätze für die Verarbeitung personenbezogener. Dies hat er gegenüber der Datenschutzaufsicht zu vertreten. Er muss die Einhaltung dieser Grundsätze nachweisen können
• Der Verantwortliche ist Adressat der Betroffenenrechte. Er hat sicherzustellen, dass diese Rechte der betroffenen Person gewahrt werden. Auch dies kann die Datenschutzaufsicht prüfen.
• Nach Art. 24 DSGVO hat der Verantwortliche im Hinblick auf die jeweilige Verarbeitung und unter Berücksichtigung der mit ihr einhergehenden Risiken für die Rechte und Freiheiten natürlicher Personen angemessene und geeignete technische und organisatorische Maßnahmen umzusetzen.^[1] Diese Verpflichtung wird insbesondere durch die Vorgaben des Art. 25 DSGVO ("Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen") und des Art. 32 DSGVO ("Sicherheit der Verarbeitung") näher konkretisiert. Der Verantwortliche hat ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, zu führen.^[2] Dieses Verzeichnis wird von der Datenschutzaufsicht geprüft.
• Verletzungen des Schutzes personenbezogener Daten hat der Verantwortliche nach Maßgabe des Art. 33 DSGVO an die zuständige Aufsichtsbehörde zu melden.^[3] Unter den Voraussetzungen des Art. 34 DSGVO sind in einem solchen Fall zudem die betroffenen Personen durch den Verantwortlichen zu benachrichtigen.
• Bei bestimmten Verarbeitungsvorgängen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, hat der Verantwortliche vorab eine Datenschutz-Folgenabschätzung durchzuführen.^[4]
• Die Finanzbehörde als öffentliche Stellen hat in jedem Fall einen Datenschutzbeauftragten zu benennen.^[5] Dieser ist auch Ansprechpartner für die Datenschutzaufsicht.

[1] Baum, NWB 45/2017, 3415 (3415).

[2] Art. 30 DSGVO.

[3] Baum, NWB 45/2017, 3415 (3417).

[4] Art. 35 DSGVO.

[5] Art. 37 Abs. 1 Buchst. a DSGVO.