Verantwortlicher

Umfang

Das Kriterium, das den Verantwortlichen bestimmt, ist die Entscheidungsbefugnis darüber, „warum“ und „wie“ die Verarbeitungstätigkeit erfolgt. Nach der Erläuterung der Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu) sind juristische Personen im Rahmen ihrer eigenen Tätigkeiten selbst Verantwortliche, und die rechtliche Verantwortung entsteht in der Person der juristischen Person; insoweit wird zwischen juristischen Personen des öffentlichen und des privaten Rechts nicht unterschieden. Die wichtigsten Pflichten des Verantwortlichen sind: personenbezogene Daten nach den Grundsätzen und Verarbeitungsvoraussetzungen des Gesetzes zu verarbeiten (Art. 4–6); Daten, für deren Verarbeitung der Grund entfallen ist, zu löschen, zu vernichten oder zu anonymisieren (Art. 7); die betroffene Person bei der Erhebung der Daten zu informieren (Art. 10); technische und organisatorische Maßnahmen für ein angemessenes Sicherheitsniveau zu ergreifen und, wenn die Daten auf rechtswidrigem Weg von anderen erlangt werden, die betroffene Person und den Rat für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu) schnellstmöglich zu benachrichtigen (Art. 12); sowie Anträge betroffener Personen in der Regel spätestens innerhalb von dreißig Tagen abzuschließen (Art. 13). Außer in den vom Rat vorgesehenen Ausnahmen ist vor Beginn der Datenverarbeitung die Eintragung in das Verzeichnis der Verantwortlichen (Veri Sorumluları Sicili) verpflichtend (Art. 16).

Bedeutung in der Praxis

Wer bei einem Vorgang Verantwortlicher ist, richtet sich weniger nach der im Vertrag verwendeten Bezeichnung als danach, wer die Zwecke und Mittel der Verarbeitung tatsächlich festlegt. Der Verantwortliche ist zusammen mit den Personen, die Daten in seinem Namen verarbeiten, für die Ergreifung der Sicherheitsmaßnahmen gemeinsam verantwortlich (Art. 12/2); daher sind die Auswahl des Dienstleisters und die Vertragsbestimmungen von Bedeutung. Verstöße gegen die Pflichten zur Information, zur Datensicherheit, zur Befolgung von Entscheidungen des Rates und zur Registrierung können ein Verwaltungsbußgeld nach sich ziehen (Art. 18); da die im Gesetz genannten Beträge angepasst werden können, ist der anzuwendende Betrag gesondert zu prüfen.

Häufig verwechselte Begriffe

Der Verantwortliche darf nicht mit dem Auftragsverarbeiter verwechselt werden: Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung, der Auftragsverarbeiter handelt dagegen aufgrund der vom Verantwortlichen erteilten Befugnis in dessen Namen. Der Verantwortliche ist auch von der „betroffenen Person“ zu unterscheiden, der natürlichen Person, deren Daten verarbeitet werden (Art. 3/1-ç). Auch wenn in einem Unternehmen tatsächlich Beschäftigte die Verarbeitung durchführen, ist Verantwortlicher im Sinne des Gesetzes in der Regel die juristische Person des Unternehmens.