Rn. |
I. Allgemeines |
1 |
II. Personenbezogene Daten (Nr. 1) |
2 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
2 |
2. Informationen |
5 |
3. Personenbezug |
8 |
a) Personenbezogene Daten/Sachdaten |
10 |
b) Natürliche/Betroffene Person |
15 |
aa) Juristische Personen |
16 |
bb) Verstorbene/Ungeborene |
18 |
c) Identifizierte bzw. identifizierbare Person |
22 |
aa) Identifizierte Person |
24 |
bb) Identifizierbare Person |
30 |
d) Foto- und Videoaufnahmen/Abgrenzung zum KUG |
40 |
e) Anonyme Daten |
47 |
f) Pseudonyme Daten |
55 |
III. Verarbeitung (Nr. 2) |
56 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
56 |
2. Allgemeine Definition der Verarbeitung |
60 |
a) Ausgeführte(r) Vorgang/Vorgangsreihe |
62 |
b) Mit oder ohne Hilfe automatisierter Verfahren |
63 |
c) Im Zusammenhang mit personenbezogenen Daten |
66 |
d) Verarbeitungswille |
67 |
3. Beispiele für Verarbeitungsformen |
68 |
a) Das Erheben personenbezogener Daten (1. Alt.) |
70 |
b) Das Erfassen personenbezogener Daten (2. Alt.) |
73 |
c) Die Organisation personenbezogener Daten (3. Alt.) |
74 |
d) Das Ordnen personenbezogener Daten (4. Alt.) |
75 |
e) Die Speicherung personenbezogener Daten (5. Alt.) |
76 |
f) Die Anpassung personenbezogener Daten (6. Alt.) |
77 |
g) Die Veränderung personenbezogener Daten (7. Alt.) |
78 |
h) Das Auslesen personenbezogener Daten (8. Alt.) |
79 |
i) Das Abfragen personenbezogener Daten (9. Alt.) |
80 |
j) Die Verwendung personenbezogener Daten (10. Alt.) |
81 |
k) Die Offenlegung personenbezogener Daten (11. Alt.) |
83 |
aa) Übermittlung |
88 |
bb) Verbreitung |
92 |
cc) Andere Form der Bereitstellung |
93 |
l) Der Abgleich personenbezogener Daten (12. Alt.) |
95 |
m) Die Verknüpfung personenbezogener Daten (13. Alt.) |
96 |
n) Die Einschränkung der Verarbeitung (14. Alt.) |
97 |
o) Das Löschen personenbezogener Daten (15. Alt.) |
98 |
p) Die Vernichtung personenbezogener Daten (16. Alt.) |
105 |
IV. Einschränkung der Verarbeitung (Nr. 3) |
106 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
106 |
2. Begriff der Einschränkung der Verarbeitung |
109 |
a) Inhalt |
109 |
b) Rechtsfolgen |
112 |
c) Mittel zur Umsetzung der Einschränkung der Verarbeitung |
113 |
V. Profiling (Nr. 4) |
114 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
114 |
a) Profiling |
114 |
b) Automatisierte Entscheidungen im Einzelfall einschließlich Profiling |
116 |
2. Begriff des Profiling |
118 |
a) Automatisierte Datenverarbeitung |
119 |
b) Verarbeitung in Bezug auf personenbezogene Daten |
120 |
c) Zweck der Datenverarbeitung: Bewertung bestimmter persönlicher Aspekte |
121 |
VI. Pseudonymisierung (Nr. 5) |
124 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
124 |
2. Rechtliche Wirkung und Anreize |
128 |
3. Voraussetzung einer wirksamen Pseudonymisierung |
133 |
a) Zuordnung von Daten ohne Hinzuziehung zusätzlicher Informationen nicht möglich |
135 |
b) Getrennte Aufbewahrung der zusätzlichen Informationen |
136 |
c) Gewährleistung der Nichtzuordnung durch technische und organisatorische Maßnahmen |
140 |
4. Abgrenzung zur Anonymisierung |
143 |
5. Varianten der Pseudonymisierung |
144 |
a) Beim Verantwortlichen selbst |
145 |
b) Durch einen Dritten |
146 |
c) Direkte Erhebung des Pseudonyms |
149 |
6. Pseudonymisierungsverfahren |
152 |
VII. Dateisystem (Nr. 6) |
157 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
157 |
2. Merkmale eines Dateisystems |
160 |
a) Sammlung personenbezogener Daten |
161 |
b) Struktur |
162 |
c) Zugänglichkeit nach bestimmten Kriterien |
164 |
d) Unstrukturierte Erhebung als Vorstufe ausreichend |
168 |
3. Ausnahme: § 26 Abs. 7 BDSG |
169 |
VIII. Verantwortlicher (Nr. 7) |
170 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
172 |
2. Mögliche Adressaten |
176 |
3. Bestimmung des Verantwortlichen |
180 |
a) Entscheidungsbefugnis über Zwecke und Mittel der Datenverarbeitung |
181 |
b) Gegenständlicher Anknüpfungspunkt zur Bestimmung der Verantwortlichkeit |
185 |
4. Gemeinsame Verantwortlichkeit/Anderweitige Zusammenarbeit |
188 |
a) Voraussetzungen einer gemeinsamen Verantwortlichkeit |
191 |
aa) Grundsätzliches |
191 |
bb) Bisherige EuGH-Rechtsprechung |
197 |
cc) Zusammenfassung/Ableitung |
209 |
b) Übertragbarkeit auf andere Konstellationen/Abgrenzung zur bloßen Zusammenarbeit |
217 |
c) Rechtsfolgen gemeinsamer Verantwortlichkeit |
222 |
5. Delegation datenschutzrechtlicher Verantwortlichkeiten |
223 |
a) Zwischen rechtlichen Einheiten: Zuweisung des Status als Verantwortlicher |
224 |
aa) Grundregel: Verantwortung innerhalb des eigenen Einflussbereichs |
226 |
bb) Zuweisung des Status als Verantwortlicher an eine andere Stelle |
227 |
cc) Übertragung bestimmter Verantwortlichen-Pflichten auf andere Stellen |
233 |
b) Innerhalb einer rechtlichen Einheit: Aufbau einer Datenschutz-Organisation |
235 |
IX. Auftragsverarbeiter (Nr. 8) |
238 |
1. Allgemeines/Gesetzessystematischer Zusammenhang |
238 |
a) Rechtlicher Hintergrund |
238 |
b) Datenschutzrechtliche Klassifizierung der Auftragsverarbeitung |
239 |
c) (Gesetzliche) Pflichten und Haftung des Auftragsverarbeiters |
241 |
2. Merkmale eines Auftragsverarbeiters bzw. einer Auftragsverarbeitung |
243 |
a) Person des Auftragsverarbeiters |
246 |
b) Möglicher Gegenstand einer Auftragsverarbeitung |
248 |
c) Bestimmung der Zwecke und Mittel der Datenverarbeitung durch den Auftraggeber |
251 |
d) Weisungsgebundenheit |
254 |
3. Notwendigkeit einer (aktiven) Verarbeitung |
257 |
4. Auftragsverarbeiter in Drittstaaten |
261 |
X. Empfänger (Nr. 9) |
262 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
262 |
2. Begriff des Empfängers |
264 |
a) Offenlegung personenbezogener Daten |
265 |
b) Mögliche Adressaten |
267 |
aa) Allgemeine Merkmale |
267 |
bb) Personen oder Stellen innerhalb (der Organisation) des Verantwortlichen |
270 |
cc) Gemeinsam Verantwortliche |
274 |
dd) Ausnahme für bestimmte Behörden |
275 |
XI. Dritter (Nr. 10) |
276 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
276 |
2. Begriff des Dritten |
279 |
a) Auftragsverarbeiter innerhalb/außerhalb der EU bzw. des EWR |
280 |
b) Personen, die dem Verantwortlichen/Auftragsverarbeiter zuzurechnen sind |
281 |
aa) Unselbstständige Filialen, Zweigstellen und Betriebe |
283 |
bb) Mitarbeitervertretungen und betriebliche Datenschutzbeauftragte |
284 |
cc) Unternehmen innerhalb einer Unternehmensgruppe. |
286 |
dd) Gemeinsam Verantwortliche |
287 |
c) Ausnahme: Personen unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters |
288 |
XII. Einwilligung (Nr. 11) |
291 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
291 |
a) Funktion der Einwilligung |
291 |
b) Einwilligung nach Art. 2 lit. h DSRl |
292 |
c) Weitere Anforderungen an die Einwilligung in anderen Vorschriften der DSGVO |
293 |
d) Entwicklung der Definition im Rahmen des Gesetzgebungsprozesses |
294 |
2. Begriff der Einwilligung |
297 |
a) Anforderungen an den Inhalt der Einwilligung |
302 |
aa) Freiwilligkeit der Einwilligung |
302 |
bb) Bestimmtheit der Einwilligung |
325 |
cc) Informiertheit der Einwilligung |
335 |
b) Formale Anforderungen der Einwilligung |
348 |
aa) Erteilung durch die betroffene Person |
348 |
bb) Unmissverständliche Erteilung der Einwilligung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung/Form der Einwilligung |
349 |
cc) Einwilligungsfähigkeit |
359 |
c) Zeitpunkt und Wirksamkeitsdauer der Einwilligung |
360 |
XIII. Verletzung des Schutzes personenbezogener Daten (Nr. 12) |
365 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
365 |
2. Merkmale einer Verletzung des Schutzes personenbezogener Daten |
366 |
a) Verletzung der Sicherheit |
368 |
b) Mögliche Verletzungserfolge |
373 |
aa) Integritätsschutz (Vernichtung, Verlust, Veränderung) |
374 |
bb) Unbefugte Kenntnisnahme (Offenlegung, Zugang) |
377 |
XIV. Genetische Daten (Nr. 13) |
380 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
380 |
2. Begriff der genetischen Daten |
384 |
XV. Biometrische Daten (Nr. 14) |
390 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
390 |
2. Begriff der biometrischen Daten |
391 |
a) Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen der betroffenen Person |
394 |
b) Ermöglichung bzw. Bestätigung der eindeutigen Identifizierung der betroffenen Person |
395 |
c) Rohdaten und Templates |
398 |
XVI. Gesundheitsdaten (Nr. 15) |
399 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
399 |
2. Begriff der Gesundheitsdaten |
404 |
a) Allgemeine Voraussetzungen |
404 |
b) Beispiele für Gesundheitsdaten |
405 |
c) Nummern, Symbole und Kennzeichen |
410 |
d) Zweck der Verarbeitung von Gesundheitsdaten, Tatsachen, Prognosen, Wahrscheinlichkeiten und Vermutungen |
411 |
e) Mittelbare Gesundheitsinformationen |
412 |
f) Mischdatensätze |
417 |
XVII. Hauptniederlassung (Nr. 16) |
418 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
418 |
2. Begriff der Niederlassung |
421 |
3. Bestimmung der Hauptniederlassung im Falle eines Verantwortlichen |
423 |
a) Bestimmungsregeln/zu berücksichtigende Faktoren |
423 |
b) Designation durch Verantwortlichen/Grenzfälle |
426 |
c) Einzelnes Verarbeitungsverfahren als Anknüpfungspunkt |
428 |
d) Bestimmung der Zwecke und Mittel durch außerhalb der EU ansässige Stelle |
430 |
4. Bestimmung der Hauptniederlassung im Falle eines Auftragsverarbeiters |
431 |
5. Organisatorische Gestaltungsmöglichkeiten |
432 |
XVIII. Vertreter (Nr. 17) |
434 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
434 |
2. Merkmale des Vertreters |
437 |
XIX. Unternehmen (Nr. 18) |
440 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
440 |
2. Merkmale der Definition |
442 |
3. Erweiterter Unternehmensbegriff bei der Bußgeldbemessung |
445 |
XX. Unternehmensgruppe (Nr. 19) |
448 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
448 |
2. Merkmale einer Unternehmensgruppe |
454 |
3. Abgrenzung zur Gruppe von Unternehmen |
456 |
XXI. Verbindliche interne Datenschutzvorschriften (Nr. 20) |
457 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
457 |
2. Verbindliche interne Datenschutzvorschriften und internationale Datentransfers |
460 |
XXII. Aufsichtsbehörde (Nr. 21) |
463 |
XXIII. Betroffene Aufsichtsbehörde (Nr. 22) |
466 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
466 |
2. Merkmale einer betroffenen Aufsichtsbehörde |
470 |
a) Niederlassung im Mitgliedstaat (Art. 4 Nr. 22 lit. a) |
471 |
b) Erhebliche Auswirkungen auf Einwohner im Mitgliedstaat (Art. 4 Nr. 22 lit. b) |
475 |
c) Einreichung einer Beschwerde durch Betroffenen (Art. 4 Nr. 22 lit. c) |
477 |
XXIV. Grenzüberschreitende Verarbeitung (Nr. 23) |
480 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
480 |
2. Merkmale einer grenzüberschreitenden Verarbeitung |
481 |
a) Niederlassungsprinzip (Art. 4 Nr. 23 lit. a) |
482 |
b) Marktortprinzip (Art. 4 Nr. 23 lit. b) |
486 |
XXV. Maßgeblicher und begründeter Einspruch (Nr. 24) |
488 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
488 |
2. Merkmale eines maßgeblichen und begründeten Einspruchs |
491 |
XXVI. Dienst der Informationsgesellschaft (Nr. 25) |
495 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
495 |
2. Merkmale des Dienstes der Informationsgesellschaft |
496 |
a) Dienstleistung |
498 |
b) In der Regel gegen Entgelt erbracht |
499 |
c) Im Fernabsatz erbracht |
500 |
d) Elektronisch erbracht |
501 |
e) Auf individuellen Abruf eines Empfängers erbracht |
503 |
XXVII. Internationale Organisation (Nr. 26) |
504 |
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang |
504 |
2. Merkmale einer internationalen Organisation |
507 |