DSGVO - BDSG - TTDSG

167

Hierbei ist jedoch zu beachten, dass, soweit Informationen bereits zu einem gewissen Grad vorstrukturiert sind, insbesondere bereits nach jedenfalls einem Kriterium zugänglich sind (etwa eine Kennzeichnung mit Namen oder Aktenzeichen), eine Zugänglichkeit nach einem weiteren Kriterium in aller Regel mit verhältnismäßigem Aufwand herzustellen sein wird.342 Damit dürfte nahezu jegliche Formder ordentlichen Aktenführung, mit Ausnahme von einer chaotischen Zettelwirtschaft, dem sachlichenAnwendungsbereich der DSGVO unterfallen.343

168

Gemäß Art. 2 Abs. 1, 2. Alt. DSGVO genügt es für die Anwendung der DSGVO bereits, dass nichtautomatisiert verarbeitete personenbezogene Daten (später) in einem Dateisystem gespeichert werden sollen. Insofern ist bereits etwa die handschriftliche Aufzeichnung personenbezogener Daten (etwa im Rahmen eines Formulars) von dem sachlichenAnwendungsbereich der DSGVO erfasst, sofern im Zeitpunkt der Aufzeichnung bereits der Zweck verfolgt wird, die Aufzeichnungen später in ein Dateisystem aufzunehmen.344

169

§ 26 Abs. 7 BDSG erweitert den sachlichen Anwendungsbereich der DSGVO sowie der ergänzenden Regelungen des BDSG zum Beschäftigtendatenschutzauch auf die nichtautomatisierte Datenverarbeitung, die nicht in einem Dateisystem gespeichert ist oder gespeichert werden soll. Die Regelung entspricht damit im Ergebnis den bisherigen Vorgaben des § 32 Abs. 2 BDSG a.F.345 Demgemäß ist es für die Anwendbarkeit datenschutzrechtlicher Vorgaben im Beschäftigungskontext unerheblich, ob (manuell) verarbeitete, personenbezogene Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen oder nicht.346 Typische Anwendungsfälle dieser Regelung in der betrieblichen Praxis sind etwa das Befragen oder Beobachten von Beschäftigten.347 Erfasst werden somit zum Beispiel auch (handschriftliche) Protokolle oder Notizen des Arbeitgebers im Rahmen eines Vorstellungsgesprächs; ferner fallen auch mündliche Datenverarbeitungen wie zum Beispiel Telefongespräche mit früheren Arbeitgebern eines Bewerbers unter den Anwendungsbereich des Beschäftigtendatenschutzes.348

170

Gemäß Art. 4 Nr. 7 DSGVO ist „Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; [...]“.

171

Die Definition des Verantwortlichenin Art. 4 Nr. 7 DSGVO entspricht inhaltlich derjenigen des § 3 Abs. 7 BDSG a.F. und Art. 2 lit. d DSRl, wobei die Möglichkeit einer gemeinsamen Verantwortlichkeit nicht in das BDSG a.F. übernommen wurde.349 Die Arbeitspapiere der Art.-29-Datenschutzgruppe und EuGH-Entscheidungen mit Bezug zur Auslegung des Begriffs noch nach der DSRl sind dementsprechend auch unter der DSGVO heranzuziehen.350

172

Als eine der elementaren Definitionen der DSGVO bestimmt der Begriff des „ Verantwortlichen“ nach Art. 4 Nr. 7 DSGVO, welche Stelle zur Einhaltung der jeweils anwendbaren datenschutzrechtlichen Vorgaben in Bezug auf ein Datenverarbeitungsverfahren verpflichtet ist. Nachgelagert bestimmt sich durch die Zuweisung der Stellung als „Verantwortlicher“ ferner, gegenüber welcher Stelle betroffene Personen ihre Rechte nach den Art. 12ff. sowie Art. 82 DSGVO ausüben können.351

173

Im Gegensatz zur Rechtslage unter der DSRl bzw. des BDSG a.F. sind Verantwortliche nicht nur dazu verpflichtet, personenbezogene Daten (stets) rechtmäßig zu verarbeiten. Vielmehr verlagert die DSGVO den Schwerpunkt datenschutzrechtlicher Compliance weg von einzelfallorientierten Zulässigkeitsprüfungen hin zur Pflicht einer systemischen Aufarbeitungvon Datenschutz und des Aufbaus entsprechender Management- und Organisationsstrukturen, durch welche die Rechtmäßigkeit der Verarbeitung im Einzelfall gewährleistet werden soll.352 So statuiert Art. 24 Abs. 1 DSGVO, dass der Verantwortliche „[...] geeignete technische und organisatorische Maßnahmen um[setzt], um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß [der DSGVO] erfolgt“.

174

Der Begriff des Verantwortlichenweist in erster Linie Zusammenhänge mit den Begriffen des „Auftragsverarbeiters“ nach Art. 4 Nr. 8 DSGVO sowie des „Dritten“ nach Art. 4 Nr. 10 DSGVO auf. Im Gegensatz zur Rolle als Verantwortlicher tragen Auftragsverarbeiter keine (umfassende) Verantwortung für im Auftrag eines Verantwortlichen verarbeitete personenbezogene Daten;353 Auftragsverarbeiter sind lediglich verpflichtet, dabei gewisse sie ausdrücklich adressierende Vorschriften der DSGVO, etwa Art. 32 DSGVO, einzuhalten.354 Vice versa bleibt der Auftraggeber für die Datenverarbeitung verantwortlich, auch wenn diese in seinem Auftrag durch einen Auftragsverarbeiter durchgeführt wird. Sofern im Rahmen eines Datenverarbeitungsverfahrens daher mehrere Akteure involviert sind, ist regelmäßig zu prüfen, welche der Beteiligten als Verantwortliche und welche als Auftragsverarbeiter tätig werden. Im Verhältnis zum (auftraggebenden) Verantwortlichen sind Auftragsverarbeiter zwar Empfänger i.S.v. Art. 4 Nr. 9 DSGVO, nicht hingegen Dritte i.S.v. Art. 4 Nr. 10 DSGVO.355 Demgegenüber stehen sich zwei (getrennt) Verantwortliche in aller Regel als Dritte gegenüber.356

175

Eine weitere Dependenzergibt sich im Verhältnis zur Begriffsbestimmung der „Hauptniederlassung“ nach Art. 4 Nr. 16 lit. a DSGVO. So wird der für eine grenzüberschreitende Datenverarbeitung i.S.v. Art. 4 Nr. 23 DSGVO Verantwortliche in aller Regel auch als Hauptniederlassung für diesen Verarbeitungsvorgang zu klassifizieren sein.357

176

Verantwortlicher kann grundsätzlich jedenatürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle sein, unabhängig davon, ob sie privat- oder öffentlich-rechtlich tätig ist.358 Hingegen kann die Verantwortlichkeit keinem technischen System, wie etwa einem intelligenten Algorithmus, zugewiesen werden, da ansonsten ihr Zweck, die Einhaltung der DSGVO-Vorgaben in handlungsfähige Hände zu legen, unterlaufen würde.359

177

Im Ausgang ist dabei auf die jeweilige datenverarbeitende rechtliche Einheit abzustellen. Im Falle juristischer Personen oder anderer Organisationen, bei denen personenbezogene Daten nicht durch die rechtliche Einheit selbst, sondern durch die dort beschäftigten natürlichen Personen verarbeitet werden, wird dieses Handeln in aller Regel der rechtlichen Einheit zugerechnet. Dies gilt jedenfalls, sofern und soweit die Verarbeitungfür die Zwecke der jeweiligen rechtlichen Einheit sowie in Ausübung der innerorganisatorischen Tätigkeit des Mitarbeiters und damit unter der potenziellen Kontrolle der rechtlichen Einheit erfolgt.360 Eine entsprechende Zurechnung erfolgt gleichermaßen bei der Datenverarbeitung durch Abteilungen, Funktionseinheiten, Organe und unselbstständige Zweigstellen.361 In Konsequenz trifft in erster Linie auch die rechtliche Einheit die Haftung gegenüber betroffenen Personen und Aufsichtsbehörden für etwaige Verstöße durch dessen Organe oder Mitarbeiter. Verarbeitet ein Mitarbeiter personenbezogene Daten hingegen für eigene (private) Zwecke, ist er regelmäßig als Verantwortlicher anzusehen.362