Controller
Definition: Der Controller (Verantwortlicher) ist die natürliche oder juristische Person, Behörde oder Einrichtung, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Diese zentrale Rolle definiert die datenschutzrechtliche Verantwortung und Rechenschaftspflicht innerhalb der DSGVO und vergleichbarer Regularien.
Rollendefinition und rechtliche Verankerung
Der Begriff Controller stammt aus dem angelsächsischen Rechtskreis und wurde durch die Datenschutz-Grundverordnung (DSGVO) als „Verantwortlicher“ in den kontinentaleuropäischen Rechtsrahmen überführt. Die Legaldefinition findet sich in Artikel 4 Nummer 7 DSGVO. Wer als Controller agiert, trägt die primäre Verantwortung für die Einhaltung sämtlicher Datenschutzprinzipien. Das umfasst die Rechtmäßigkeit der Verarbeitung, die Datenminimierung, die Zweckbindung sowie die Gewährleistung der Betroffenenrechte. Die Rolle ist keine bloße Formalie. Sie bestimmt, wer im Falle von Verstößen haftet, welche Bußgelder drohen und welche organisatorischen Pflichten bestehen.
Die Frage „Wer ist Controller?“ ist keine akademische Übung. Sie entscheidet über Haftung, Compliance-Pflichten und die operative Gestaltung von Datenflüssen.
Abgrenzung zu Processor und Joint Controllership
Die Abgrenzung zum Auftragsverarbeiter (Processor) ist der häufigste Streitpunkt in der Praxis. Ein Processor handelt ausschließlich auf dokumentierte Weisung des Controllers. Er entscheidet weder über Zwecke noch über wesentliche Mittel der Verarbeitung. Entscheidend ist der Grad der faktischen Entscheidungsmacht. Ein Cloud-Dienstleister, der Speichertechnologie bereitstellt, ist typischerweise Processor. Ein Marketing-Agentur, die eigenständig Kampagnenstrategien entwickelt und Zielgruppen definiert, kann schnell zum Joint Controller werden.
Bei der gemeinsamen Verantwortlichkeit (Joint Controllership) legen zwei oder mehr Parteien gemeinsam Zwecke und Mittel fest. Die DSGVO verlangt hier eine transparente Vereinbarung, die die jeweiligen Verantwortungsbereiche klar regelt. Der Europäische Gerichtshof hat diese Konstellation in mehreren Urteilen präzisiert. Besonders relevant ist dies im B2B-Kontext bei gemeinsamen CRM-Systemen, integrierten Vertriebspartnerschaften oder Shared-Service-Modellen.
Interdisziplinäre Perspektive: Controller in Sales, Finance und AI
Der Begriff Controller besitzt in anderen Fachdomänen eine vollständig andere Bedeutung. Im Finanz- und Rechnungswesen bezeichnet der Controller eine Person oder Abteilung, die für Planung, Steuerung und Kontrolle betriebswirtschaftlicher Prozesse zuständig ist. Diese kaufmännische Rolle hat nichts mit Datenschutz zu tun, führt aber in der Praxis häufig zu Verwechslungen. In der Softwareentwicklung und im AI-Kontext existiert der Controller als architektonisches Muster (Model-View-Controller) oder als Komponente in Regelungssystemen.
Die Schnittstelle zwischen datenschutzrechtlichem Controller und kaufmännischem Controlling wird in modernen Unternehmen zunehmend relevant. Ein CFO-Controller, der Vertriebsdaten für Umsatzprognosen verarbeitet, agiert datenschutzrechtlich als Teil des Controllers. Die Rollen kollidieren nicht, müssen aber organisatorisch sauber getrennt werden. Im AI-Kontext verschärft sich die Lage: Wer ein KI-System trainiert, das personenbezogene Daten verarbeitet, muss die Controller-Rolle explizit definieren. Die EU-KI-Verordnung ergänzt die DSGVO um zusätzliche Pflichten für den Betreiber solcher Systeme.
Praktische Implikationen und Compliance-Anforderungen
Die Controller-Rolle erzeugt konkrete, operative Pflichten. Dazu gehören die Führung des Verarbeitungsverzeichnisses, die Durchführung von Datenschutz-Folgenabschätzungen bei risikoreichen Verarbeitungen und die Implementierung technischer und organisatorischer Maßnahmen. Der Controller muss zudem Verträge mit Processors abschließen, die den Anforderungen des Artikels 28 DSGVO genügen. Bei grenzüberschreitenden Datenübermittlungen trägt der Controller die Verantwortung für geeignete Garantien wie Standardvertragsklauseln oder Angemessenheitsbeschlüsse.
| Pflicht | Beschreibung | Konsequenz bei Verstoß |
|---|---|---|
| Verarbeitungsverzeichnis | Dokumentation aller Verarbeitungstätigkeiten | Bußgeld bis 10 Mio. EUR |
| Auftragsverarbeitungsvertrag | Vertragliche Absicherung mit Processors | Bußgeld bis 10 Mio. EUR |
| Datenschutz-Folgenabschätzung | Risikobewertung bei hohem Risiko | Bußgeld bis 20 Mio. EUR |
| Betroffenenrechte | Auskunft, Löschung, Berichtigung | Bußgeld bis 20 Mio. EUR |
Die Bußgeldrahmen orientieren sich am Unternehmensumsatz. Bei großen Konzernen können bis zu vier Prozent des weltweiten Jahresumsatzes als Sanktion verhängt werden. Die Benennung eines Datenschutzbeauftragten ist bei bestimmten Verarbeitungsarten verpflichtend. Unternehmen sollten die Controller-Rolle nicht als Last betrachten, sondern als Chance für vertrauensbildende Datenstrategien. Ein klar definierter Controller schafft Rechtssicherheit, optimiert interne Prozesse und reduziert das Risiko regulatorischer Eingriffe. Die Rolle erfordert ein tiefes Verständnis der eigenen Datenflüsse und eine enge Zusammenarbeit zwischen Rechtsabteilung, IT und Fachbereichen.
« Back to Glossary Index