DSGVO - BDSG - TTDSG

185

Die Rolle des Verantwortlichenist dabei je Datenverarbeitungsverfahren zu bestimmen. Die Verantwortlichkeit kann sich dabei sowohl auf den gesamten als auch lediglich auf gewisse Abschnitte eines Verarbeitungsvorgangs erstrecken, je nachdem wie weit sich die Entscheidungsfähigkeit über Zwecke und Mittel der beteiligten Akteure erstreckt.390

186

Die Identifizierungdes Verantwortlichen kann dabei weitestgehend unproblematisch sein, etwa im Falle rein interner Vorgänge. Im Zeitalter der Digitalisierung ist die Verarbeitung von personenbezogenen Daten jedoch zunehmend durch die Vernetzung und die arbeitsteilige bzw. ineinandergreifende Zusammenarbeit mehrerer Akteure geprägt.391 Diese Zusammenarbeit kann sich durchaus auch auf einen an sich einheitlich zu betrachtenden, jedoch mehrere Akteure überspannenden Datenverarbeitungsvorgang beziehen. In solchen Fällen kann es daher Schwierigkeiten bereiten, den (oder die) Verantwortlichen zu identifizieren sowie den Umfang der jeweiligen Verantwortung zu bestimmen, sofern es sich um abtrennbare Verarbeitungsschritte handelt.392 Ferner können auch mehrere Stellen für gewisse Abschnitte gemeinsam verantwortlich sein.393

187

Zu beachten ist ferner, dass sich die Zwecksetzungsbefugnisstets auf die Verarbeitung eines konkreten Datensatzes bezieht. Insofern führt die abstrakte Bestimmung von Verarbeitungszwecken und -mitteln zu keiner Stellung als Verantwortlicher; vielmehr ist maßgeblich, welche Stelle sich autark dazu entscheidet, sich in ihrer Verantwortlichkeit befindende personenbezogene Daten anhand dieser Zwecke und Mittel zu verarbeiten.394 So stellt sich bei Verwendung geschlossener Systeme, die zwar durch den Hersteller abschließend programmiert wurden, dennoch der Betreiber bzw. Nutzer des Systems als Verantwortlicher dar, da er über die Zwecke und Mittel hinsichtlich des konkreten Verarbeitungsvorganges (bzw. die konkret zu verarbeitenden personenbezogenen Daten) bestimmt.395

188

Ausweislich des Wortlautsvon Art. 4 Nr. 7 Hs. 1 DSGVO kann die Verantwortung über einen bestimmten Datenverarbeitungsvorgang auch gemeinsam von zwei oder mehreren Parteien gemeinsam getragen werden.

189

In den letzten Jahren hat dabei kaum ein anderes datenschutzrechtliches Thema (neben dem internationalen Datentransfer) mehr Aufmerksamkeit in der Rechtsprechung erhalten als die gemeinsame Verantwortlichkeit. Insofern ist das Konstrukt der gemeinsamen Verantwortlichkeit in seiner aktuellen Ausprägung im Wesentlichen durch drei, zeitlich kurz aufeinander folgende Urteile des EuGH geprägt.396 Auch wenn diese zwar noch auf Grundlage der DSRl erfolgten, sind diese Judikate aufgrund des durch den Regimewechsel zur DSGVO nicht veränderten Verantwortlichenbegriffs auch noch aktuell von höchster Relevanz.397

190

Nicht jede Zusammenarbeit mit Dritten bei der Verarbeitung von personenbezogenen Daten führt jedoch zu einer gemeinsamen Verantwortlichkeit. Insofern können sich derartige Kooperationen datenschutzrechtlich auch in der Weise darstellen (bzw. darstellen lassen), dass beide Unternehmen als eigenständig Verantwortlicheagieren, sie also jeweils selbst und unabhängig voneinander für die Rechtmäßigkeit ihrer jeweiligen Datenverarbeitungen bzw. der von ihnen jeweils kontrollierten Abschnitte einer Datenverarbeitung einzustehen haben. Dies ist etwa dann der Fall, wenn sich die Einfluss- und damit Verantwortungsbereiche eines Datenverarbeitungsvorgangs eindeutig voneinander abgrenzen lassen, ohne dass die Akteure wechselseitig den Verarbeitungsabschnitt des jeweils anderen Akteurs nach Maßgabe der nachfolgenden Ausführungen beeinflussen können oder die Verarbeitungsanteile der Akteure untrennbarmiteinander verwoben sind.398

191

Mehrere Parteien verarbeiten personenbezogene Daten in gemeinsamer Verantwortlichkeit, sofern sie die Zwecke und die wesentlichen Elemente der Mittel gemeinsam festlegen.399 Die Bewertung, ob eine gemeinsame Verantwortlichkeit vorliegt, erfolgt generell wie bei der alleinigen Kontrolle, wobei bei der gemeinsamen Verantwortlichkeit der Schwerpunkt darauf zu legen ist, dass mehr als eine Partei über die Zwecke (das „Warum“) und Mittel (das „Wie“) entscheidet.400 Demgemäß ist auch im Falle einer gemeinsamen Verantwortlichkeit erforderlich, dass ein Beteiligter über Zwecke und Mittel eines bestimmten Datenverarbeitungsverfahrens jedenfalls (mit-)bestimmen kann, mithin ihm faktische oder rechtliche Einflussmöglichkeiten zustehen.

192

Unproblematischliegt eine gemeinsame Verantwortlichkeit vor, wenn mehrere Akteure über alle Zwecke und Mittel der Verarbeitungstätigkeiten gemeinsam entscheidenund gemeinsame Mittel für die Erreichung gemeinsamer Zwecke einsetzen.401 Möglich ist es aber auch, dass die Beteiligungen der Parteien an den gemeinsamen Entscheidungen verschiedene Formen aufweisen und nicht gleichmäßig verteilt sind; auch der Grad an Entscheidungsgewalt kann variieren.402 Insofern kann sich eine gemeinsame Verantwortlichkeit auch nur auf bestimmte Verarbeitungsschritte oder lediglich gewisse Aspekte eines Datenverarbeitungsverfahrens erstrecken.

193

Ferner sind auch Konstellationen denkbar, in denen die gemeinsam Verantwortlichen individuelle Zwecke der Datenverarbeitung verfolgen, dies jedoch auf Grundlage von gemeinsam festgelegten und betriebenen Mitteln, etwa einer bestimmten Vorgehensweise oder Infrastruktur. Die gemeinsame Verantwortlichkeit kann sich in solchen Fällen logischerweise dann allenfalls auf die Mittel der Datenverarbeitung beziehen (wobei eine gemeinsame Bestimmung wesentlicher Mittel in der Regel mit einer gemeinsamen Bestimmung der Verarbeitungszwecke einhergeht, vgl. oben).403

194

Der Abschluss eines Vertragsnach Art. 26 DSGVO hat hingegen keine konstitutive Wirkung.404 Vielmehr führt die (faktische) Vorlage einer gemeinsamen Verantwortlichkeit dazu, dass die gemeinsam Verantwortlichen einen Vertrag nach Maßgabe von Art. 26 DSGVO abschließen müssen. Gleichwohl sind vertragliche Abreden im Hinblick auf tatsächliche und/oder rechtliche Einflussmöglichkeiten auf ein Datenverarbeitungsverfahren zwischen den Akteuren bei der Bewertung einer möglichen gemeinsamen Verantwortlichkeit angemessen zu würdigen.405

195

Eine gemeinsame Verantwortlichkeit liegt nicht (mehr) vor, wenn eine Partei auf die Verarbeitung in einer bestimmten Phase keinen faktischen Einflussmehr nehmen kann und die konkrete Verarbeitungsphase auch nicht aus Eigeninteresseakzeptiert wird (etwa weil daraus kein eigenständiger Nutzen für die jeweilige Partei erwächst).406 Wird etwa über eine Schnittstelle auf Daten durch Partei A zugegriffen, die im Verantwortungsbereich von Partei B gespeichert sind, und werden diese Daten infolge des Zugriffs durch Partei A der Kontrolle von Partei B entzogen, so ist auch nur Partei A als Alleinverantwortliche hinsichtlich der durch sie durchgeführten Verarbeitung dieser Daten anzusehen.407 Eine Grenzziehung zwischen Einfluss- und somit Verantwortlichkeitsbereichen kann mitunter schwierig sein. Zur Zerteilung und anschließenden Segmentierung einer Verarbeitungssequenz kann dabei auf die in der Definition der Verarbeitung in Art. 4 Nr. 2 DSGVO vorgesehenen, unterschiedlichen Verarbeitungsformen rekurriert werden.408

196

Nicht ausreichendist ferner, wenn mehrere Akteure bei einer Datenverarbeitung lediglich zusammenarbeiten, ohne jedoch im Hinblick auf dieses Datenverarbeitungsverfahren gemeinsam Zwecke und/oder wesentliche Mittel festzulegen bzw. gemeinsam beeinflussen zu können. Hierbei kann es sich sowohl um eine sequenzielle(derselbe Datensatz wird nacheinander von verschiedenen Stellen verarbeitet) als auch um eine sternförmige(verschiedene Stellen speisen unabhängig voneinander Daten in ein System ein) Zusammenarbeithandeln. So ist in beiden Konstellationen durchaus denkbar, dass jede beteiligte Stelle – separat – nur für die auch von ihr aktiv durchgeführte Verarbeitung (etwa die Einspeisung ihrer Daten) verantwortlich ist, da es – am Beispiel einer sternförmigen Zusammenarbeit – an einer gemeinsamen Bestimmung der Zwecke und Mittel hinsichtlich der Gesamtheit der Daten im jeweiligen System fehlen kann, sofern die zentrale Stelle nicht gemeinsam betrieben wird bzw. dort keine gemeinsame Zweckfestsetzung erfolgt.409 Entsprechendes gilt bei gemeinsam genutzten Infrastrukturen oder Datenbanken, wenn jede teilnehmende Stelle diese Infrastruktur bzw. Datenbank nutzt, um ihre eigenen personenbezogenen Daten zu verarbeiten (ohne auf die Datenverarbeitung der anderen Beteiligten Einfluss nehmen zu können).410