DSGVO - BDSG - TTDSG

429

Mit anderen Worten führt dies dazu, dass die Hauptverwaltung eines Unternehmens nicht automatisch für sämtliche unternehmensweiten Datenverarbeitungen im Unternehmen als Hauptniederlassung anzusehen ist, sondern nur in Bezug auf solche Datenverarbeitungen, deren Zwecke und Mittel sie auch bestimmt. Soweit eine andere Niederlassung des Unternehmens diese Entscheidungen bezüglich eines bestimmten Datenverarbeitungsvorgangs trifft, ist die Hauptverwaltung im Hinblick auf diese Verarbeitung nicht als Hauptniederlassung anzusehen. Soweit diese Niederlassung auch über Datenverarbeitungen von anderen Niederlassungen bestimmt, agiert diese als Hauptniederlassung für diese Verfahren. Daher ist es durchaus möglich, dass es für unterschiedliche Bereiche der Datenverarbeitung unterschiedliche Entscheidungszentren und damit auch unterschiedliche Hauptniederlassungen geben kann.788

430

Eine Hauptniederlassung im Sinne des Gesetzes kann jedoch nur dann vorliegen, wenn eine innerhalb der EU ansässige Niederlassung über die Zwecke und Mittel einer Datenverarbeitung entscheidet. Sofern diese Entscheidungen gänzlich außerhalbder EU getroffen werden, findet das „One-Stop-Shop“-Verfahren keine Anwendung; der im Drittland ansässige Verantwortliche muss sich demnach potenziell mit sämtlichen nationalen Aufsichtsbehörden auseinandersetzen.789 Dies gilt insbesondere auch im Fall des Art. 3 Abs. 2 DSGVO, mithin in Fällen, in denen europäisches Datenschutzrecht auf Verantwortliche in Drittländern unabhängig davon Anwendung findet, ob diese über eine Niederlassung in der EU verfügen. Sofern der Verantwortliche über eine oder mehrere Niederlassungen in der EU verfügt, die jedoch nicht über Zwecke und Mittel hinsichtlich der Verarbeitung personenbezogener Daten bestimmen, kann eine dieser Niederlassungen im Hinblick auf ein bestimmtes Verarbeitungsverfahren als Hauptniederlassung bestimmt werden. Dies setzt jedoch voraus, dass dieser Niederlassung die Entscheidungsgewalt sowie die Haftung im Hinblick auf das jeweilige Verarbeitungsverfahren übertragen werden.790

431

Ebenfalls multinationalaufgestellte Auftragsverarbeiter können sich auf die Hauptniederlassungs-Regelung berufen. Art. 4 Nr. 16 lit. b DSGVO bestimmt dabei, dass der Sitz der Hauptverwaltung des Auftragsverarbeiters in der EU stets auch als dessen Hauptniederlassung anzusehen ist.791 Wenn die Hauptverwaltung des Auftragsverarbeiters sich außerhalb der EU befindet, gilt die Niederlassung (innerhalb der EU) als Hauptniederlassung, in der die Verarbeitungstätigkeiten hauptsächlich stattfinden. Auch diese Formulierung legt nahe, dass auch im Falle von Auftragsverarbeitern jede im Auftrag durchgeführte Datenverarbeitung gesondert zu betrachten sein wird. Maßgeblich ist, wo der räumliche Schwerpunkt der Steuerung der Datenverarbeitung liegt.792

432

Die Verteilung von Entscheidungskompetenzen bezüglich des Umgangs mit personenbezogenen Daten innerhalb eines Unternehmens oder einer Unternehmensgruppe wird damit zur organisatorischen Gestaltungsaufgabe.793 Durch eine bewusste Zuweisung bzw. Konzentrierung der datenschutzrechtlichen Verantwortlichkeit bzw. datenverarbeitenden Aktivitäten bei der Hauptverwaltung lässt sich die Zusammenarbeit mit Datenschutzaufsichtsbehörden deutlich vereinfachen, indem sich datenverarbeitende Unternehmen nur nach den nationalen Gepflogenheiten der jeweiligen federführenden Behörde orientieren müssen.

433

Die Möglichkeiten der Bestimmung einer Hauptniederlassung stellt auch die Art.-29-Datenschutzgruppe in den Vordergrund, statuiert jedoch gleichermaßen, dass eine solche Zuweisung auch gelebtwerden muss. Das heißt, dass Entscheidungskompetenzen nicht lediglich auf dem Papier existieren dürfen. Insofern obliegt den Unternehmen eine entsprechende Nachweispflicht.794 Vor diesem Hintergrund sollten Unternehmen auf eine entsprechende Dokumentierung sowohl der Verantwortlichkeiten als auch der letztlich getroffenen Entscheidungen achten.

434

Verantwortliche und Auftragsverarbeiter ohne eine Niederlassung in der Union können nach Maßgabe von Art. 27 DSGVO verpflichtet sein, einen in der EU ansässigen Vertreter zu bestellen, sofern sie nach Art. 3 Abs. 2 DSGVO in den extraterritorialen Anwendungsbereich der DSGVO fallen.

435

Durch dessen Bestellung rückt der Vertreter mit Blick auf die Regelung von Art. 27 Abs. 5 DSGVO wederin die Rolle des Verantwortlichen nochdes Auftragsverarbeiters. Vice versa werden weder Verantwortlicher noch Auftragsverarbeiter durch die Bestellung eines Vertreters von ihren datenschutzrechtlichen Pflichten befreit.795 Der Vertreter vertritt den Verantwortlichen bzw. Auftragsverarbeiter „in Bezug“ auf die ihnen jeweils nach der DSGVO obliegenden Pflichten und fungiert als Ansprechpartner für die Aufsichtsbehörden796 und die von der Datenverarbeitung betroffenen Personen.797

436

Der Vertreter findet zudem in weiteren Regelungen der DSGVO Erwähnung. Zum einen wird er vereinzelt mit eigenen, originärengesetzlichen Pflichtenversehen. So hat er gemäß Art. 30 Abs. 1 DSGVO das Verarbeitungsverzeichnis zu führen und soll nach Art. 31 DSGVO mit den zuständigen Aufsichtsbehörden hinsichtlich solcher Maßnahmen zusammenarbeiten, die die Einhaltung der Regelungen der DSGVO sicherstellen. Außerdem kann die Aufsichtsbehörde den Vertreter nach Art. 58 Abs. 1 lit. a DSGVO dazu verpflichten, Auskünfte zu erteilen, die für die Erfüllung ihrer Aufgaben erforderlich sind. Zum anderen sind Verantwortliche gemäß Art. 13 Abs. 1 lit. a und Art. 14 Abs. 1 lit. a DSGVO dazu verpflichtet, die betroffenen Personen über den von ihnen bestellten Vertreter zu informieren.798

437

Nach Art. 4 Nr. 17 DSGVO kann der Vertreter sowohl eine natürliche als auch eine juristische Person sein. In Ermangelung gegenteiliger Ausführungen in der DSGVO ist davon auszugehen, dass ein Vertreter für mehrereVerantwortliche bzw. Auftragsverarbeiter tätig werden kann, solange er in der Lage ist, seinen Aufgaben gewissenhaftund ordnungsgemäßnachzukommen.799

438

Voraussetzung ist nach Art. 27 Abs. 3 DSGVO allerdings, dass der Vertreter in einem Mitgliedstaatniedergelassen sein muss, in dem sich jedenfalls eine von der Verarbeitung (seitens des vertretenen Verantwortlichen bzw. Auftragsverarbeiters) betroffene Person befindet. Weitere fachliche oder persönliche Voraussetzungen stellt die DSGVO (im Gegensatz zum Datenschutzbeauftragten, vgl. Art. 37 Abs. 5 DSGVO) an die Person des Vertreters jedoch nicht.

439

Die Bestellung des Vertreters hat nach Art. 4 Nr. 17 DSGVO i.V.m. Art. 27 Abs. 1 DSGVO und ErwG 80 schriftlich und ausdrücklich zu erfolgen; die rein faktische Übernahme der Vertretung genügt daher nicht. Die Bestellung muss zudem so erfolgen, dass der Vertreter die ihm obliegende, gesetzlich vorgesehene Funktion als Anlaufstelle für betroffene Personen und Aufsichtsbehörden erfüllen kann. Demgemäß muss der Vertreter zumindest als Empfangsvertreter bestellt werden und entsprechend autorisiert sein, Erklärungen im Namen des Vertretenen abzugeben.800